事件经过
2026年9月24日（页面日期为2026年9月29日），云安全联盟发布了一篇分析文章，重新思考AI供应链中超越模型权重的信任问题，涵盖MCP服务器、技能和插件。文章定义了三种不同的信任决策——工件信任（谁发布了组件、版本、变更）、指令信任（哪些提示词、工具描述、检索文档或记忆可以影响智能体）和执行信任（智能体可以访问并操作哪些数据/系统）——并指出连接时的组件审批并非永久的运行时决策。文章引用了2025年postmark-mcp npm供应链后门、工具投毒研究、MCP工具描述注入，以及一项技能研究（该研究在3,984个公开技能中发现534个严重级别问题和76个已确认的恶意负载，其中91%还使用了提示注入）。
影响分析
CSA正在构建智能体控制平面安全的行业共识层（与其欢迎NVIDIA开放智能体安全平台并行）。这篇文章是权威机构对“AI供应链现已延伸至智能体行为”问题的阐述——这一问题在2026年9月窗口期的智能体安全讨论（CIS MCP基准、OWASP LLM Top 10 2026、NIST AI智能体安全RFI经验教训）中被反复触及。它为从业者提供了一个三部分信任模型（工件/指令/执行），用于框架化MCP服务器、技能和插件的组件审查，这些正是AI软件供应链中增长最快且监管最薄弱的部分。
建议行动
将技能、MCP服务器、插件和智能体配置视为安全敏感逻辑，而非静态工件：扫描完整包（自然语言指令加可执行负载），在运行时而非仅在安装时重新验证，按环境（沙箱与开发者工作站）盘点爆炸半径，并在构建智能体供应链控制时遵循CSA的三大信任决策。