数据安全在AI安全体系中的核心地位分析

作者：国家发展改革委培训中心（宣传中心）战略规划与公共培训处 聂正标等

在人工智能安全治理的探讨中，“数据安全”与“人工智能安全”这两个概念频繁被提及，但二者之间的内在联系往往被忽视。它们究竟是包含关系、交集关系还是并列关系？如果关系没有理清，相关讨论容易出现概念边界模糊、治理方向不明的问题。结果是，数据安全的独特性难以被识别，人工智能安全的具体指向也难以落地。因此，本文尝试系统梳理二者关系，为相关讨论提供一个可供参考的分析视角。

当前关于人工智能安全的讨论视角非常多元，有从技术维度切入，关注模型的鲁棒性、可解释性与隐私保护；有从治理维度展开，聚焦法律法规、标准体系与监管机制的构建；有从伦理维度出发，探讨算法公平、价值对齐与责任归属。本文则从内生安全、衍生安全、助力安全三个维度切入，分析人工智能安全。

（一）人工智能内生安全：系统自身的安全保障

内生安全，指人工智能系统本身的安全，即“AI系统是否存在安全隐患、是否容易被攻击或欺骗”。它关注人工智能系统作为技术实体本身是否可靠、可信、可控。内生安全涵盖数据安全、模型安全、算法安全、框架安全、系统安全等方面。其中，数据安全关注人工智能训练和推理所用数据在采集、存储、流转全过程中的机密性、完整性和可用性；模型安全关注训练好的模型是否受对抗攻击、后门植入、参数窃取等恶意破坏和违规使用；算法安全关注算法本身在设计、训练、部署、推理过程中的稳定性与可解释性，防止出现逻辑错误或偏见输出；框架和系统安全则关注开发工具链和运行环境的防护。

（二）人工智能衍生安全：应用过程中的风险外溢

衍生安全，指人工智能在应用过程中对外部系统、社会和个人带来的安全影响，关注“人工智能系统的应用是否产生危害”。它一方面包含技术层面的应用安全风险，如对网络系统的攻击、信息内容安全风险（虚假信息、深度伪造）、现实世界安全风险（自动驾驶事故、医疗误诊）、认知安全风险（信息茧房、价值观侵蚀）；另一方面包含社会层面的衍生风险如就业结构冲击、伦理失范、权力集中等。

衍生安全与内生安全之间存在传导链条。内生安全的问题往往会导致衍生安全事件。例如训练数据被投毒，模型可能输出有害内容；隐私数据在推理过程中泄露，可能引发社会信任危机。从某种意义上讲，筑牢内生安全防线是管控衍生风险的基础性工作。

（三）人工智能助力安全：以智能技术赋能安全能力

助力安全，指利用人工智能技术增强安全防御和风险治理能力，关注“人工智能如何服务于安全”。一方面，人工智能可显著提升安全防御能力。例如利用AI进行网络威胁检测、内容安全审核、公共安全预警，提升安全体系的响应速度与识别精度。另一方面，攻击者同样在利用AI升级攻击手段，实现攻击的自动化、隐蔽化和智能化。攻防双方对AI的运用正在催生安全领域的“竞速”态势，即防御能力与攻击能力在AI的推动下交替升级。对这一态势的认知和应对也属于人工智能助力安全的讨论范畴。

数据安全位于内生安全的子板块，是人工智能安全体系的有机组成部分。从人工智能的运行逻辑看，数据是起点，模型是加工环节，智能是产出结果。因为数据居于链条的起始端，所以数据安全的作用是全局性的。如果训练数据被污染，模型安全无从谈起；如果敏感数据在推理中被复现，衍生风险随之而来。因而，数据安全既限定了算法安全的有效边界，也影响着衍生风险的管控难度，更在相当程度上决定着人工智能系统能否赢得社会信任。

（一）数据安全是人工智能安全的构成单元

从逻辑关系看，数据安全是人工智能安全体系的子集。法律层面，2025年10月，第十四届全国人大常委会第十八次会议通过《关于修改〈中华人民共和国网络安全法〉的决定》，修改后的法律于2026年1月1日起施行。新增第二十条明确规定“国家支持人工智能基础理论研究和算法等关键技术研发，推进训练数据资源、算力等基础设施建设，完善人工智能伦理规范，加强风险监测评估和安全监管，促进人工智能应用和健康发展。”这是我国首次以法律形式将人工智能安全纳入国家网络安全法律体系。政策层面，2026年5月，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》，要求“坚持安全可控，将智能体安全、可靠、可信作为发展的底线要求，贯穿智能体技术研发、应用部署与推广的全过程”“发展对抗样本检测、行为异常检测等安全与治理工具，提升对智能体非合规行为的发现、干预、阻断、恢复能力”。从而将数据保护嵌入智能体安全治理的起点。这些部署从立法与监管层面将数据安全纳入人工智能安全的制度框架。

从运行机理看，数据安全处在人工智能时代价值链的上游。当训练数据被污染，模型安全无从谈起；敏感数据在推理中被复现，衍生风险随之而来。而如今，智能体大多执行“推理—行动”多步循环，数据一旦被污染，将不单影响某次的错误输出，还可能通过智能体工具调用链转化为访问文件系统、执行恶意代码、劫持计算资源等物理世界的破坏行为。例如，复旦大学某研究团队对国内多家商业低代码平台的测评结果表明：在LangChain、Dify等平台上构建的智能体应用中，存在“直接的沙盒逃逸”漏洞。“沙盒”可以理解为AI智能体运行的“隔离房间”。房间里的程序只能在限定范围里活动，无法触及外面的系统。但测评发现，攻击者仅用一个自然语言指令，就能让AI智能体应用从这个房间“破门而出”，直接访问和操控底层的计算资源。在这个场景中，攻击者根本不需要偷数据。他通过一个精心设计的指令，“污染”了AI做出决策所依赖的信息链条，让AI在不知情的情况下替攻击者执行恶意操作。AI被“带偏”后，会主动去访问、调用本不该触碰的系统资源。数据风险由此直接转化为系统控制风险，攻击者不仅“看到了不该看的数据”，而且“拿到了不该拿的控制权”。

（二）数据安全是可信人工智能的前提

数据安全直接关乎人工智能系统的可信性。从制度层面看，“数据二十条”（即《中共中央国务院关于构建数据基础制度更好发挥数据要素作用的意见》）明确提出“建立安全可控、弹性包容的数据要素治理制度”，2026年《人工智能应用伦理安全指引（1.0版）》将“防范数据滥用”作为人工智能伦理安全的底线要求之一，将“保护隐私安全”列为九大伦理安全原则之一。

从技术逻辑看，大模型的智能能力