IBM称AI驱动的泄露事件平均令企业损失600万美元

IBM发现，超过20%的受研究组织遭遇了针对AI模型或应用的泄露事件，因此将AI安全推上了google news的焦点。这个醒目的数字令人不安，但它只揭示了冲突的一半。攻击者也在利用AI，让传统入侵更快、成本更低，也更难被防御方遏制。

IBM的2026年泄露报告将这两个问题区分开来。其一是针对AI系统的攻击，包括其API、插件、云工作负载、模型和训练数据。其二是AI驱动的攻击，即犯罪分子借助深度伪造、恶意软件或自动化工作流，对更广泛的目标发起攻击。

这一划分很重要，因为最常被引用的数字描述的是不同群体。IBM在其关于研究结果的官方公告中称，四分之一的恶意泄露事件由AI驱动，较上一年增长56%。另有超过20%的组织报告称，其AI模型或应用曾成为泄露事件的目标。

英国的数据又提供了另一项衡量指标。据对该研究的报道，22%的英国企业在此前一年经历过与AI相关的安全泄露。将这三个百分比视为可互换的数据，会夸大这项研究实际能够证明的结论。

更深层的发现则更难忽视。企业AI带来了更多需要安全团队治理的身份、接口、数据流和自动化操作。攻击者并不总是需要攻破模型本身；他们可以利用其周边的常规系统。

这使其成为AI快速部署与建立控制体系这一较慢工作之间的较量。同一项技术也能强化防御，因此组织有理由部署更多AI，而非从中退缩。

IBM的2026年数据实际说明了什么

AI如今同时出现在泄露事件的两端：既是攻击者的目标，也是他们使用的工具。

IBM于7月29日发布了2026年《数据泄露成本报告》。Ponemon Institute开展了基础研究，IBM则提供赞助并进行分析。该数据集涵盖了全球602家组织在2025年3月至2026年2月期间经历的泄露事件。

报告将全球平均数据泄露成本定为499万美元。这意味着同比增长12%，并创下该研究的纪录。IBM将成本上升归因于更高的检测、升级处置和业务损失成本。

AI驱动的恶意泄露成本更高。IBM报告称，其平均成本为600万美元，比全球整体平均值高约100万美元。这类事件占恶意泄露的四分之一，较上一年增长56%。

AI驱动意味着攻击者在行动期间使用了AI。据聚焦英国的报道，深度伪造冒充是最常被报告的形式，占该类别的45%。AI驱动的恶意软件和网络钓鱼也推动了这一增长。

针对AI系统的攻击构成一个相关但独立的类别。超过20%的组织报告称，其AI模型或应用曾遭到以其为目标的泄露。最常见的入口点并非针对模型数学机制的奇特攻击。

遭入侵的API、应用或插件占报告原因的27%。影响AI工作负载的云配置错误也占27%。这种对称性指向一个熟悉的安全问题：新的AI服务往往继承了访问控制、集成和基础设施管理中的旧有弱点。

API，即应用程序编程接口，让软件系统能够交换请求和数据。插件让应用能够访问另一项服务或能力。当AI应用获得广泛权限或处理敏感企业信息时，两者都可能成为高价值通道。

最初的报道也强调了英国的数据。报道指出，22%的英国企业在过去一年经历了与AI相关的安全泄露。英国平均泄露成本从2025年的329万英镑降至2026年的313万英镑，尽管报告中的泄露数量从29,000起增至29,870起。

这些国家层面的数据让全球叙事变得更复杂。在英国样本中，泄露事件变得更频繁，但平均成本有所下降。金融服务业的平均成本仍达546万英镑，而能源企业的平均成本为403万英镑。

重点并不是世界各地每五起泄露都有同一种原因。IBM的研究在全球和国家样本中采用了数项相互重叠的衡量指标。可以站得住脚的结论是，与AI相关的风险暴露已不再是企业安全中的边缘案例。

为什么Google News标题需要谨慎解读

“AI相关泄露”这一表述涵盖多种不同事件，而每一种都需要不同的防御应对。

通过google news看到这则报道的读者，或许会合理地认为，在每五起泄露事件中就有一起是犯罪分子直接入侵了AI模型。IBM的数据并不支持这种简化解读。

组织可能遭遇以其AI系统为目标的攻击。攻击者可能利用AI攻击传统系统。员工也可能通过未经授权的AI服务暴露数据。这些事件彼此交叉，但并不相同。

这一衡量问题并非只是技术上的保留意见。它决定了组织需要哪些控制措施，以及安全团队应将有限的注意力投向何处。

针对模型的攻击可能会觊觎训练数据、凭证、提示词，或可通过检索系统获取的机密信息。它也可能操纵模型输入，或利用授予自主代理的过度权限。

AI驱动的攻击则是在攻击者一侧使用这项技术。深度伪造语音电话可以冒充高管。生成式工具可帮助制作令人信服的钓鱼信息、翻译诱饵，或更快地调整恶意软件。

影子AI构成第三条路径。该术语指未经正式批准、缺乏可见性或治理的AI工具。员工可能将客户记录粘贴到面向消费者的聊天机器人中，安装未经审核的浏览器扩展，或将会议助手连接到内部文档。

IBM关于AI监管缺口的2025年研究提供了有用的历史背景。研究发现，13%的受研究组织曾经历涉及AI模型或应用的泄露。另有8%的组织不知道是否发生过此类入侵。

在报告AI相关入侵的组织中，97%缺乏适当的AI访问控制。此类事件中，60%导致数据泄露，31%造成运营中断。

同一研究发现，五分之一的组织报告称发生过与影子AI有关的泄露。影子AI使用程度高的组织，其平均泄露成本比几乎不使用或完全不使用影子AI的组织高出67万美元。

治理早已滞后。63%的遭泄露组织要么没有AI治理政策，要么仍在制定中。在拥有政策的组织中，只有34%会定期审计未经授权的AI使用情况。

这些较早的结果让2026年的增长更具可信度。企业又花了一年时间，将模型连接到数据、应用和业务流程。许多企业的控制基线本就薄弱。

不过，年度间比较仍需谨慎。IBM近期引入了更深入的AI衡量指标，而定义变化可能影响报告中的普遍程度。更好的检测也可能让问题看似在增长，因为组织终于识别出此前未被归类的事件。

IBM的样本同样值得接受任何泄露成本研究应有的审视。它涵盖的是发生过泄露的组织，而非对所有企业进行的随机普查。其平均值不应被视为对某家特定公司损失的预测。

尽管如此，这项研究仍有价值，因为它揭示了反复出现的模式。AI事件集中于薄弱的访问控制、不安全的集成、云配置错误和可见性不足。即使标题中的百分比需要结合背景理解，这些仍是可采取行动的发现。

AI让攻击成本更低，而防御仍然昂贵

核心权衡在于经济性：攻击者可以将更多工作自动化，而防御者仍需为调查、遏制、恢复和业务损失买单。

IBM称，AI正在改变网络风险的经济学。这项技术可以减少构建诱饵、冒充可信人士或测试攻击变体所需的人力。受害者却仍要承担完整的组织响应成本。

IBM Cybersecurity Services全球管理合伙人Mark Hughes表示，先进的前沿模型让攻击者能够“在数分钟而非数天内”执行行动。这一说法反映了IBM对威胁的解读，但即使具体加速幅度会因攻击而异，其基本趋势仍具可信度。

深度伪造体现了这种不平衡。犯罪分子无需在每种情境下完美复刻一名高管。合成语音或视频只需制造足够的紧迫感和熟悉感，就可能让一名员工绕过控制措施。

传统网络钓鱼过滤器也会评估信息、链接和已知恶意基础设施。通过语音、视频或既有协作账户发送的高度个性化请求，可能绕过这些熟悉的信号。

AI代理提高了企业一侧的风险。代理是一种能够在有限人工干预下规划并跨系统执行操作的软件。它可以搜索文档、更新客户记录、执行代码或启动工作流。

每项操作都需要身份和权限。如果代理获得广泛访问权限，被盗令牌或遭操纵的指令就可能产生远超单条聊天机器人回复的影响。安全边界从模型接口延伸到代理能够触及的每一个系统。

IBM的报告称，超过半数组织使用代理进行威胁检测和遏制。仅有18%的组织将其用于漏洞管理。这个缺口使已知弱点得不到解决，而攻击者则获得更快的定位或利用方式。

关键基础设施承担了不成比例的风险。IBM称，研究中62%的AI驱动攻击瞄准了关键基础设施行业。金融服务业和能源业的占比最高。

金融服务业数据泄露的全球平均成本为630万美元。能源业泄露的平均成本为520万美元。任一行业的事件都可能通过支付网络、供应商、客户或基本服务，影响受害者之外的范围。

勒索软件带来了另一重经济压力。IBM报告称，勒索软件事件占受研究泄露事件的比例从34%升至39%。攻击者越来越多地将声誉作为施压手段，在41%的勒索软件案件中被提及，其后是员工数据，占35%，以及知识产权，占31%。

这种策略改变了恢复成本的计算方式。恢复系统并不能消除泄露信息或声誉损害。公司可能遏制住技术入侵，却仍持续面临通知、调查、诉讼和客户流失。

AI 可以在规模上提供协助，但并不能消除攻击者获取访问权限的需求。凭据、暴露的服务、未修补的软件和社会工程操纵仍然是核心问题。新工具放大了这些路径，而非取而代之。

这就是为什么主要矛盾并非人与机器的对抗，而是快速自动化与碎片化控制之间的冲突。攻击者可以将精力集中在一个突破口上，而防御者必须了解每一个身份、集成、数据存储和代理操作。

同样的 AI 工具也能降低数据泄露成本

IBM 的警告并不是反对使用防御性 AI，因为该报告同样指出，大规模应用安全自动化可带来显著节省。

与完全不使用 AI 和自动化的组织相比，在安全运营中广泛使用 AI 和自动化的组织，平均可节省 193 万美元成本。IBM 2025 年的研究也报告了约 190 万美元的差距，以及数据泄露生命周期缩短 80 天。

数据泄露生命周期衡量识别和遏制事件所需的时间；按 IBM 的方法论，其中还包括服务恢复。更短的生命周期可降低调查成本、业务中断损失，以及攻击者在网络中横向移动的时间。

这一发现带来了真实的权衡。企业需要借助 AI 检测以机器速度作出响应，但每个防御代理也都会成为需要管控的新增身份。若部署时缺乏资产清单、权限限制和审计轨迹，反而可能制造其本应减少的风险暴露。

自动化最适合证据明确、权限边界清晰的任务。安全系统可以关联异常登录与可疑令牌请求、隔离终端，或对已知漏洞进行优先级排序。但当代理能够在未经审核的情况下更改生产系统时，这些操作的风险就会升高。

IBM 建议为代理实施动态、基于身份的访问控制。实际而言，代理应仅获得完成当前任务所需的权限。其操作应能够追溯到负责的人员或服务，安全团队也应能还原事件经过。

数据控制同样重要。组织需要了解敏感记录存放在哪里、哪些模型可以检索这些记录，以及生成的输出会流向何处。分类和实时监控有助于将 AI 交互与其产生的数据风险关联起来。

云配置仍是优先事项，因为 AI 工作负载很少独立运行。它们依赖对象存储、数据库、身份服务、模型端点和第三方 API。即使模型本身防护完善，也无法弥补公开的数据存储桶或暴露的管理凭据。

加密则是另一项尚未解决的薄弱环节。IBM 样本中，仅 37% 遭遇数据泄露的组织表示，其敏感数据在静态和传输过程中均已加密。只有 34% 能够掌握其加密资产的可见性。

这些数字并不处于 AI 新闻的焦点，但它们说明了为何常规控制措施依然重要。AI 可以加速入侵，但后果取决于数据是否受到保护、访问是否被分段，以及异常行为是否被检测到。

安全团队还需要准确盘点 AI 系统。该清单应包括获批模型、嵌入式 AI 功能、代理、服务账户、插件、数据连接，以及员工可访问的消费级服务。

仅靠政策文件无法提供这种可见性。IBM 此前发现，拥有 AI 治理政策的组织中，只有 34% 会定期开展影子 AI 审计，这说明书面治理与运营执行之间存在差距。

因此，最可信的应对方式是将治理与工程实践结合起来。政策界定可接受的使用方式和责任归属；技术控制则用于发现系统、限制权限、监控行为并保留证据。

事件响应演练应纳入 AI 特定场景。企业应知道如何撤销代理凭据、停用受损集成、保留提示词和日志，并确定系统访问过哪些数据。

这种准备不应演变为对 AI 的一刀切禁令。禁令可能促使员工转向可见性更低的工具。获批替代方案、明确的数据规则和易用的审核流程，能在保留安全可见性的同时为员工提供更安全的路径。

IBM 的警告并不能证明什么

该报告确立了一种严肃的风险暴露模式，但并未证明每一起被标记为 AI 相关的事件都是由 AI 引发。

安全统计往往将原因、攻击目标和促成技术混合在一起。围绕 AI 应用的受损插件，可能涉及常规的凭据盗窃。即使工作负载服务于传统分析，云配置错误也可能暴露同样的数据。

将这些事件称为 AI 相关是合理的，因为受影响系统处理 AI 工作负载。但这并不意味着模型引入了最初的缺陷。

同样的谨慎也适用于 AI 赋能的攻击。攻击者可能使用语言模型起草钓鱼邮件，但决定性的失误仍可能是身份验证薄弱，或员工批准了欺诈请求。

归因还带来另一个问题。受害者可能因收到合成音频或视频而识别出深度伪造。要证明恶意软件由 AI 开发、修改或指挥，则可能更加困难。

不同组织识别 AI 参与情况的能力也不同。成熟的安全团队可能识别出受损的代理令牌，并准确地对事件进行分类。准备不足的公司则可能将相同行为记录为一般的未经授权访问。

这造成了一种报告悖论。更强的监控即使降低了事件严重性，也可能增加被测得的 AI 相关事件数量。发生率上升并不自动意味着所有防御措施都已失效。

IBM 的商业立场也值得透明披露。该公司销售安全软件、咨询、身份管理、数据保护和 AI 治理服务。其报告可以包含有价值的研究，同时也能推动对这些产品的需求。

方法论有助于读者评估这些主张。Ponemon Institute 研究了全球 602 家发生数据泄露的组织，IBM 赞助并分析了这项工作。2026 年 5 月的后续调查覆盖了其中 456 家组织。

在这项后续调查中，85% 的受访者表示，对先进前沿 AI 能力的认知将促使其增加安全投入。相比之下，初始研究中有 64% 计划在经历数据泄露后增加投入。

这一对比表明，前沿 AI 报告会在事件发生前影响预算。它并不能证明每一项计划中的投资都会降低风险，也不能证明自主防御始终是资金的最佳用途。

组织仍需判断哪些控制措施能够产生可衡量的收益。更多安全工具可能带来重复告警、相互竞争的仪表板以及不清晰的责任归属。如果没有团队负责修复，能够识别弱点的代理价值也有限。

最有用的解读应避免两个极端。AI 既不是一种会使现有安全措施失效的神奇新型攻击类别，也不是附加在常见数据泄露上的营销标签。

它是一种与不断扩大的企业攻击面相连的加速器。它提升了部分攻击的速度和规模，同时创造了新的身份、接口和敏感上下文存储。

即使不把 IBM 的每个数字视为普遍适用，这一结论依然意义重大。它将注意力引向访问控制、集成安全、云配置、数据可见性和响应速度。

Google 新闻周期之后值得关注的三个信号

下一项考验在于，组织能否将担忧转化为更快的修复、更严格的代理权限和更低的事件成本。

第一个信号是 AI 在漏洞管理中的采用情况。IBM 发现，超过半数组织将代理用于检测和遏制，而只有 18% 将其用于漏洞管理。

检测是在入侵发生后或进行中发现可疑活动。漏洞管理则在攻击者利用弱点之前加以处理。如果 18% 这一比例上升，说明组织正将自动化更早地应用于安全链条。

这将强化 IBM 的观点：防御必须更接近攻击者的速度运行。若采用仍集中在告警环节，无论安全团队采购多少 AI 工具，修复差距都将继续存在。

重要的衡量指标不是已部署代理的数量，而是从发现弱点到完成修复之间的时间。组织应跟踪自动化是否在不造成未经授权变更或运营不稳定的情况下缩短这一间隔。

第二个信号是代理身份控制的质量。企业正将代理连接到开发环境、客户系统、文档库和运营工具。这些连接需要范围严格的权限、短期凭据和可靠的归因能力。

有意义的改善将体现在资产清单和访问审查中。安全团队应知道存在哪些代理、由谁负责、它们能够访问哪些数据，以及可以执行哪些操作。

组织正在实施运行时控制的证据，将支持 IBM 提出的应对方案。若继续依赖拥有广泛权限的静态服务账户，则会削弱这一方案的说服力。

事件复盘将提供另一项线索。当代理促成安全事件时，公司应能够还原其指令、工具调用、身份转换和数据访问。缺失的记录将表明，采用速度仍然超过治理能力。

第三个信号是明年的数据泄露经济账。最清晰的比较将是，AI 赋能事件的成本是否持续高于全球平均水平，以及防御自动化是否维持其报告中的节省幅度。

IBM 2026 年的数据确立了一个严苛基线：全球平均数据泄露成本为 499 万美元，AI 赋能的恶意数据泄露为 600 万美元，而广泛采用安全自动化相关的节省为 193 万美元。

成本差距缩小将表明控制措施正在跟上。差距扩大则意味着，攻击者效率和企业复杂性仍在不断超过防御收益。

读者还应关注未来报告是否保留相同分类。对于 AI 赋能攻击、针对 AI 系统的攻击和影子 AI 保持稳定定义，将使年度间比较更可信。

当前的 google news 标题会逐渐淡出，但运营层面的问题将继续存在。企业能否识别环境中运行的每一个 AI 代理？能否快速撤销访问权限？能否确定受损系统触及了哪些信息？

这些问题关系到开发者、安全负责人、企业采购方和知识工作者。开发者决定 AI 应用暴露哪些权限和日志。采购方决定供应商是否提供可用的安全证据。员工则影响敏感信息的流向。

团队应将这些决策、系统清单、事件记录和访问假设保存在一个可搜索的知识库中。文档无法替代技术执行，但缺少上下文会使调查和问责变得更缓慢。

IBM 最重要的警告并不只是五分之一这一数字本身，而是组织将 AI 接入实际工作环境的速度，与围绕这些连接建立可见性的速度之间不断扩大的差距。

实际应对始于一项行动：梳理当前已在使用的每一个模型、代理、插件、身份和数据源。然后询问，哪一项连接形成了通往敏感系统、却缺乏监控的最大路径。

如果贵组织在下一次数据泄露迫使其面对这一问题之前完成这项盘点，会发现什么？