AI 安全 发布日期: 2026-07-22 · 阅读时长约 16 分钟

AI 容器安全方案与优秀开源项目全景

AI 工作负载几乎 100% 跑在容器里，但它的攻击面远超普通微服务：GPU 设备暴露放大逃逸风险、模型权重是百万级核心资产、pickle 加载即代码执行、Agent 代码沙箱是全新高危场景。本文从威胁模型讲到纵深防御架构，并给出一份可直接照搬的开源工具地图与 90 天落地路线。

一、为什么 AI 容器安全是独立话题

AI 训练 / 推理 / Agent / RAG 几乎全部运行在 Docker / K8s / Ray 中，但它与普通微服务有本质差异：镜像动辄数 GB（含 CUDA/PyTorch/权重）、依赖图极深、经常需要 GPU 设备访问与共享内存、模型权重是核心资产、LLM 输出与 Agent 行为高度不确定、且大量外联（HuggingFace、OpenAI、向量库）。

五个核心风险点：

  1. GPU 设备暴露 = 容器逃逸放大（NVIDIA Container Toolkit 历史 CVE）；
  2. 模型即资产：权重被盗等同核心代码泄露；
  3. AI 框架 RCE：PyTorch、Transformers、vLLM、Triton、Ray 都有历史；
  4. Pickle 反序列化：torch.load / pickle.load 加载即代码执行；
  5. Agent 沙箱逃逸：让 Agent 写代码执行的容器必须假设代码是恶意的。

二、AI 容器威胁模型（三层）

1) 镜像层

  • 基础镜像供应链：nvidia/cuda:*-devel（10GB+）、pytorch/pytorch 常带高危 CVE，镜像签名缺失可被中间人替换；
  • Python 依赖污染：Typosquatting / Dependency Confusion / Slopsquatting（LLM 幻觉包名被抢注）；
  • 模型文件即代码：torch.load() 默认 weights_only=False、HuggingFace trust_remote_code=True 可加载恶意 .py。

2) 运行时

  • GPU 逃逸：CVE-2024-0132（TOCTOU）、CVE-2025-23266（"NVIDIAScape"，3 行 Dockerfile 逃逸）；
  • --ipc=host、大 --shm-size 打破隔离、显存旁路；
  • 推理框架 RCE：vLLM、Triton、TorchServe（ShellTorch）、Ray Dashboard（ShadowRay，未授权 RCE）、Gradio、Jupyter；
  • Agent 代码执行：单层容器不够，需 gVisor / Kata / Firecracker。

3) K8s 层

  • RBAC 过度授权：AI Operator 常需 cluster-admin，Pod 被攻破即拿集群；
  • 网络策略缺失：推理服务无认证暴露（Ollama 11434、Ray 8265 公网暴露成灾）；
  • GPU 无 cgroup 强隔离、MIG 配置错误跨实例访问；PVC 未加密导致模型/数据集泄露。

三、纵深防御架构（CI/CD → 准入 → 运行时 → AI 应用）

  • CI/CD：Trivy/Grype 镜像扫描 + modelscan/picklescan 模型扫描 + Syft 生成 SBOM + pip-audit/osv-scanner 依赖审计 + Cosign 签名；
  • Admission：Kyverno/OPA 验证镜像签名、强制 PSS（禁 privileged/hostPID/hostNetwork）、模型来源白名单、GPU/内存配额；
  • Runtime：gVisor/Kata/Firecracker 隔离 + Falco/Tetragon eBPF 行为检测 + Cilium L7 网络策略 + Istio mTLS + MIG/HAMi GPU 隔离；
  • AI 应用层：AI 网关（LiteLLM + LLM Guard）、Tool/MCP 沙箱、输入输出 DLP、OpenTelemetry/Langfuse 审计。

关键 Pod 安全配置（要点）

  • ❌ 禁 privileged、hostNetwork/hostPID/hostIPC、挂载 docker.sock 或 /；
  • ✅ 模型目录 readOnly、automountServiceAccountToken:false、镜像用 digest 而非 tag；
  • ✅ runAsNonRoot、readOnlyRootFilesystem、Drop 所有 capabilities、seccomp RuntimeDefault；
  • ✅ 强隔离场景 runtimeClassName: gvisor，默认拒绝出站 NetworkPolicy 并屏蔽元数据服务（含阿里云 100.100.100.200）。

四、开源工具地图（组合即可覆盖 95% 场景）

  • 镜像/依赖扫描：Trivy、Grype、Syft、Dockle、Hadolint；
  • AI 模型专用扫描：modelscan、picklescan、fickling、NB Defense、garak（LLM 漏洞扫描）；
  • 准入控制：Kyverno（K8s 原生）、OPA Gatekeeper、Kubescape（NSA/CIS 合规）；
  • 运行时检测：Falco、Tetragon（eBPF 实时阻断）、Tracee、KubeArmor；
  • 隔离运行时：gVisor、Kata Containers、Firecracker；
  • 网络：Cilium（L7）、Calico、Istio Ambient；
  • 供应链：Cosign/Sigstore、in-toto、SLSA；
  • 密钥：External Secrets、Vault、Infisical、SOPS；
  • AI 护栏：LLM Guard、NeMo Guardrails、Llama Guard、Rebuff、PyRIT（AI 红队）；
  • Agent 沙箱：E2B、Daytona、Open Interpreter；
  • GPU 虚拟化：HAMi、NVIDIA GPU Operator、Volcano。

五、按场景推荐落地

  • 中小团队（轻量）：Trivy + modelscan + Kyverno（5 条核心策略）+ Falco + Calico 默认拒绝 + Vault + LLM Guard；
  • 中大型多租户：叠加 Tetragon 实时阻断、Cilium L7、MIG/HAMi、gVisor+Firecracker、Kubescape 合规、Langfuse 可观测；
  • 金融 / 医疗强隔离：Chainguard 签名基础镜像、默认 Kata、代码执行走 Firecracker + 网络完全隔离、PVC 全加密、零信任 mTLS + Egress 白名单、对标 ISO 42001 / EU AI Act。

Kyverno 必备 5 策略：禁 privileged、禁 hostPath、强制 runAsNonRoot、强制 Cosign 签名验证、强制 resources.limits。

六、关键 CVE 速查

  • CVE-2025-23266 NVIDIA Container Toolkit「NVIDIAScape」→ 升级 1.17.4+；
  • CVE-2024-0132 同组件 TOCTOU 逃逸 → 1.16.2+；
  • CVE-2023-48022 Ray Dashboard「ShadowRay」未授权 RCE → 2.8.1+ 并启用认证；
  • CVE-2023-43654 TorchServe「ShellTorch」→ 0.8.2+；
  • CVE-2024-37032 Ollama「Probllama」路径穿越 → 0.1.34+；CVE-2021 起 runc「Leaky Vessels」CVE-2024-21626 → 1.1.12+。
先做最基础的四件事就能挡掉 80% 实际攻击：升级 NVIDIA Toolkit、关闭 Ray/推理服务公网暴露、禁用 pickle（用 safetensors）、启用默认拒绝 NetworkPolicy。

七、90 天落地路线

  1. 第 1-30 天（基线）：盘点所有 AI 容器资产；Trivy 扫描全部镜像、modelscan 扫描全部模型；排查并修复 privileged/hostPath；升级 NVIDIA Container Toolkit。
  2. 第 31-60 天（策略与运行时）：部署 Kyverno 5 条核心策略、Falco 行为检测、默认拒绝出站 NetworkPolicy；接入 Vault + External Secrets 移除硬编码 Key；启用 Cosign 签名与验证。
  3. 第 61-90 天（AI 专项）：为 LLM 应用接入 LLM Guard / NeMo Guardrails 护栏；用 garak / PyRIT 做 AI 红队扫描；Code Interpreter 类 Agent 接入 gVisor / E2B 沙箱；建立 AI 应用上线安全评审流程。

八、安全成熟度自评（L1→L5）

L1 仅依赖云厂商基础能力；L2 镜像扫描 + PSS + Vault；L3 准入控制 + 运行时检测 + 网络策略 + 镜像签名；L4 沙箱隔离 + AI 护栏 + Cilium L7 + AI 红队；L5 零信任 + 实时阻断 + AI SOC + ISO 42001。多数企业的 AI 工作负载成熟度普遍落后传统业务 1-2 个等级。

核心结论：AI 容器安全 = 云原生安全 ∪ AI 安全 ∪ GPU 特殊性。不要重复造轮子——本文的开源组合已覆盖 95% 场景；运行时检测优先于一次性扫描；让 LLM 写代码的场景，沙箱即默认。

Halocent 光晕科技可为您的 AI 平台提供一次「AI 容器安全基线评估」，覆盖镜像、模型、K8s 配置与运行时，并输出可执行的整改清单。欢迎联系我们。

← 返回行业资讯

想为你的 AI 平台做一次容器安全基线评估？

1 个工作日内响应，覆盖镜像/模型/K8s/运行时，输出可执行整改清单。