Newshot 研究 / 2026年11月12日
热门 AI 工具的安全漏洞数量几乎增至三倍
17 款热门开源 AI 工具（包括 Open WebUI、Flowise、vLLM 和 LangChain）的报告安全漏洞，从 2025 年全年的 156 个跃升至 2026 年截至 10 月 28 日的 423 个。自 2023 年以来被评为严重的 133 个漏洞中，有 72 个可让攻击者在服务器上运行自己的代码。这些是团队为了运行自己的聊天机器人和 AI 工作流而安装的工具，通常是在安全团队审查之前就安装了，因此它们需要像其他任何软件一样进行资产清点、访问控制和打补丁。
开源 AI 工具已成为企业运行自己的模型、构建内部聊天机器人或将 AI 连接到自己的文档时的默认起点。其中大多数几分钟内即可安装。我们想知道它们会带来什么安全风险，因此进行了统计。
我们考察了什么
我们提取了 GitHub 针对 17 款广泛使用的开源 AI 工具审核过的、发布于 2023 年 1 月至 2026 年 10 月 28 日期间的所有安全公告。名单涵盖与模型聊天的界面（Open WebUI）、用于运行模型的服务器（Ollama、vLLM、SGLang）、将模型连接到数据的框架（LangChain、LlamaIndex、Haystack）、可视化工作流构建器（Flowise、Langflow），以及围绕它们的基础设施（LiteLLM、MLflow、Ray、BentoML 等）。
共计 737 条安全公告。每条都包含发布日期、严重性评级以及涉及的弱点类型。
我们发现了什么
2026 年报告的漏洞数量几乎增至三倍。2025 年全年这些工具共有 156 条安全公告，而 2026 年 1 月至 10 月 28 日有 423 条。
严重漏洞通常意味着对服务器的完全控制。133 条安全公告被评为严重。其中 72 条允许攻击者在运行该工具的机器上运行自己的代码。这些服务器通常存有 API 密钥、提供给 AI 的文档，以及对内部系统的网络访问权限。
四款工具占总数的大部分。Open WebUI（161）、Flowise（114）、vLLM（89）和 MLflow（86）占所有安全公告的 61%。它们也是名单中部署最广泛的工具之列。
这些弱点并不陌生。最常见类型是访问控制薄弱或缺失（180 条安全公告）、允许攻击者运行代码（147 条），以及在预期范围之外读取或写入文件（87 条）。这些是长期存在的 Web 应用程序问题，而不是新的 AI 特有攻击。
如何解读这些数字
报告漏洞增加并不能证明软件变差了。与一年前相比，有更多研究人员在检查 AI 工具，多个项目同时发布了大批安全公告（2026 年 5 月有一天出现了 48 条），而且严重漏洞在 2026 年总数中所占比例（13%）低于 2025 年（20%）。已发布的安全公告是项目公开修复问题的迹象。只有当有人根据它们采取行动时，它们才会保护用户。
组织应该做什么
- 清点它们。识别组织内运行的每一个 AI 工具，包括在 IT 部门之外安装的工具。
- 让它们远离公共互联网。将它们置于 VPN 之后或要求登录。其中一些工具默认不启用身份验证。
- 按计划打补丁。跟踪每个工具的 GitHub 安全公告，或启用 Dependabot 警报。
- 限制访问。只给每个工具提供其所需的数据、凭据和网络访问权限。
- 安装前审查。采用与其他任何软件相同的安全审查。
数据与方法
完整数据集（每条安全公告都链接到其 GitHub 记录）以及用于重建该数据集的脚本已发布在 GitHub 上。漏洞类型是我们对 GitHub 的弱点（CWE）类别所做的分组。工具名单排除了 TensorFlow 和 PyTorch 等较旧的机器学习框架，因为它们庞大的历史计数会扭曲趋势。
数据与方法
注意事项
- 计数是已报告的漏洞，而非已被利用的事件。
- 覆盖 17 款开源 AI 工具；其他工具未包含在内。
- 漏洞类型是 BirdyFoot 对 CWE ID 的分组。
下载数据 · GitHub 上的代码与数据（在新标签页中打开）