谷歌子公司Wiz发布的《2026年云中AI现状报告》指出，人工智能（AI）已不再是部分企业的实验工具，而是实际上已成为基础的云基础设施。调查结果显示，81%的调查环境运营着托管型AI服务，90%使用自行托管的AI软件。
本报告基于2025年一年间从数十万个云环境中收集的匿名化配置元数据、AI资产检测及现场调查结果编写而成。Wiz对此说明，这一数据并非代表全球普及率的全貌，而更接近实际普及水平的“下限”。
企业未直接选择的AI也成为安全风险
最引人注目的部分在于，AI现在已不再是需要单独决定“是否引入”的对象。调查结果显示，63%的组织在自行托管AI模型，但其中68%至少通过第三方软件间接引入了部分模型。18%的组织则完全依赖这些“传递性组件”。
这意味着，企业未直接选择，甚至未列入资产清单的AI要素，可能构成攻击面。换句话说，随着AI应用的增加，安全团队未能识别的“隐藏暴露”也在同步扩大。
集中风险也同样得到了确认。42%的组织仅依赖单一AI模型，而运营超过100个模型的组织不到7%。运营超过10个托管型模型的组织也仅为21%。对特定模型或供应商的依赖度越高，发生故障或漏洞时的冲击就可能越大。
开发领域AI也已饱和……生产效率背后伴随的漏洞
在开发工具领域，AI的普及也已接近饱和。在至少80%的组织中发现了集成AI的开发环境扩展程序，71%的组织已部署了一个或多个AI辅助编程工具（Copilot）。Wiz引用GitHub数据称，80%的新入职开发者在入职第一周内就开始使用AI Copilot，整体代码推送量较去年增长了25%。
此外，LogicStar AI与苏黎世联邦理工学院（ETH Zürich）的另一项研究分析显示，AI Agent已介入高达10%的公开拉取请求。这意味着AI正在提升开发速度，但同时也引发了更大担忧：错误的默认设置和有漏洞的代码模式可能会以更快的速度被复制。
Wiz Research早在2025年9月就曾指出，五分之一使用AI驱动“氛围编程”平台的组织，其应用程序受到了结构性安全漏洞的影响。报告还提到，在Base44中，因通用生成逻辑产生了可复现的缺陷，导致可未授权访问私有应用；在Moltbook中，因防护措施不足导致敏感信息泄露。报告指出，如果AI生成的默认值被大规模复用，就可能会从个别错误演变为“系统性漏洞”。
AI Agent基础设施激增，安全控制却滞后
AI编排基础设施也在快速增长。至少57%的组织已引入自行托管的AI Agent技术，模型上下文协议（MCP）服务器在超过80%的云环境中被确认。不过，拥有直接暴露于互联网的MCP服务器的环境仅为5%的水平。
表面上看，外部暴露的比例似乎不高，但Wiz指出，这一新层级中实际事故已经发生。其典型案例是2024年Wiz发现的“Probllama”漏洞（CVE-2024-37032），该漏洞使攻击者能够对Ollama实例执行远程代码。当时发现，暴露于互联网的实例多达数千个。
此外，针对Nx构建系统的“Singularity”供应链攻击利用了命令行AI工具。据调查，在攻击过程中，Anthropic的Claude、Alphabet的Gemini、亚马逊（$AMZN）的Amazon Q等被用于侦察和凭据窃取阶段。
AI既是新攻击目标，也是攻击加速器
报告特别关注的是攻击“经济性”的变化。Wiz分析指出，AI与AI Agent并非创造出全新的攻击类型，而是压缩了现有攻击的开发时间，并降低了所需熟练度的门槛。也就是说，AI一方面是攻击的目标，另一方面也扮演着让攻击更快、更容易实现的“加速器”角色。
这一趋势并不局限于科技企业。目前，AI的引入正向金融、能源、航空航天等受监管行业扩展。相应地，因“间接引入的AI”导致的暴露问题，已不再是部分AI领先企业独有的课题，而是正在演变为各行业普遍面临的风险。
最终，Wiz的结论很明确：AI不应被视为单独的创新课题，而应作为“云的一级基础设施”来对待。与其他工作负载一样，应同样适用资产清单编制、配置审查、权限管理、外部暴露检查等管理措施。
研究团队认为，将AI治理交给单一的创新团队是不够的。云安全、应用安全、数据治理部门应共同管理，才能对分散的所有权结构及第三方组件实现有效控制。随着AI普及速度的加快，企业的竞争力可能越来越多地不取决于引入本身，而取决于能否安全地运营它。
TP AI 注意事项 本文基于TokenPost.ai语言模型进行摘要。正文主要内容可能被省略或与事实存在差异。