2025年云与AI安全状况调查报告

核心观点与关键数据

• 混合云与多云架构主导：82% 的组织采用混合云架构，63% 使用多个云提供商。安全工具需实现跨云和本地环境的统一监控和风险优先级排序。
• 身份风险突出但管理不足：59% 的组织认为不安全的身份和风险权限是云基础设施的首要安全风险。三大身份风险原因：过度权限（31%）、不一致的访问控制（27%）、薄弱的身份卫生（27%）。安全指标仍以 MFA/SSO 采用率（42%）为主，缺乏对深层风险指标的监控。
• 专业能力差距导致领导层协调挑战：34% 的组织将缺乏专业能力列为云安全的首要挑战。这影响领导层对策略、预算和优先级的决策。31% 的受访者认为高管对云安全风险的理解不足。
• 以应对事故而非预防为导向：43% 的组织以安全事件频率和严重性（事后指标）衡量绩效。平均 2.17 次云相关事故，但仅 8% 被评为“严重”。常见事故原因可预防：配置错误（33%）、过度权限（31%）、内部威胁（20%）、凭证泄露（15%）。
• AI 采用加速，但安全准备不足：55% 的组织将 AI 用于业务需求（25% 用于特定工作负载，23% 跨系统集成）。34% 的 AI 工作负载组织已发生 AI 相关事故。常见事故原因：软件漏洞（21%）、AI 模型缺陷（19%）、内部威胁（18%）、配置错误（16%）。
• 对 AI 风险认知与实际原因存在偏差：组织最担心 AI 模型操纵（18%）和未经授权的 AI 模型使用（15%），但实际事故主要源于传统威胁。安全控制侧重合规（51%），核心技术措施（如 AI 安全测试、数据加密、MLOps）采用率低（26%、22%、15%）。

研究结论

• 组织需进行安全策略重置，超越过时假设，投资于提供集成可见性、降低复杂性和支持前瞻性风险管理的基础设施和流程。
• 建议措施包括：构建跨混合云环境的统一可见性和策略执行、成熟身份治理（包括对人类和非人类身份）、将 KPI 扩展到预防和弹性、提升领导层对运营需求的认知、将合规视为 AI 安全的起点而非终点。
• 安全成熟度依赖于战略协同和风险驱动规划。组织需超越点解决方案和被动操作，构建理解、优先级排序和降低风险的能力，以应对不断演变的云和 AI 环境。