引言：一张正在失效的“旧船票”
2026年7月，Lava Labs发布了名为《十大数据中心和AI基础设施安全风险》的报告。报告结论直白而尖锐：AI数据中心的建设速度远超安全防护速度。
这不是危言耸听。报告指出，那些快速建设新型数据中心的人，往往并不真正理解传统数据中心与AI数据中心之间的根本区别。其结果是，新建的AI数据中心暴露在一种全新量级的安全风险之下。
传统数据中心是什么？ 一个为已知客户群服务的“数据处理仓库”，由一系列可独立运行的服务器组成，每台服务器相对隔离，服务于有合约关系的客户。
AI数据中心是什么？ 一个必须作为“单一引擎”运行的高性能计算工厂，服务于更庞大且往往未知的客户群，需要大规模并行处理能力。
两种设施，两种完全不同的架构逻辑，两种完全不同的信任模型。
问题在于：行业正在用建设传统数据中心的“旧船票”，试图登上AI数据中心的“新客船”。 这张船票，还能买多久？
第一章 “新客船”长什么样？——AI数据中心的三层架构颠覆
核心观点： AI数据中心在物理密度、网络拓扑和信任模型三个维度上，与传统数据中心存在结构性差异——这些差异不是“量变”而是“质变”，是传统安全模型失效的根本原因。
要理解为什么“旧船票”无效，先得看清“新客船”的结构。
1.1 物理密度：从“稀疏”到“拥挤”
传统数据中心单机柜功耗在5-15kW之间。AI数据中心的单机柜功耗已突破100kW，Rubin NVL72更是达到220kW。GPU集群密集部署带来了前所未有的热管理挑战，固件或硬件故障的后果被大幅放大。
1.2 网络拓扑：从“南北为主”到“东西为主”
传统数据中心的安全设计以“南北向流量”（进出数据中心的流量）为核心——在边界部署防火墙，内部网络扁平化处理。但AI数据中心的核心流量模式完全不同：超过76%的数据中心流量现在以东西向流动——在GPU之间、端点之间、API之间、数据集和内部服务之间。
高性能互连架构——InfiniBand、RoCE、RDMA和NVLink——是AI集群运行的命脉。但现实是：这些高性能网络通常未加密、监控不力且权限极高。薄弱的光纤隔离可能暴露路径，被攻击者利用进行发现、滥用或横向移动。流量不再穿过边界，传统边界防火墙的监控视野就此失效。
1.3 信任模型：从“可信运营商”到“未知多租户”
这是最根本的变化。Lava Labs报告用一句话点明了全部问题： “最初为可信运营商设计的系统，现在却要支持来自不同客户的高价值、多租户工作负载。”
传统数据中心的信任模型假设：运营商是可信的、租户是已知的、工作负载是可预期的。AI基础设施引入的是：互不相关的商业租户、极高价值的工作负载、在客户之间频繁重新分配的GPU节点。
旧设计所依赖的假设已经消失，建立在这些假设之上的安全控制也随之瓦解。
第二章 “旧船票”为什么失效？——传统安全模型的三重失灵
核心观点： 边界防火墙看不见东西向流量、内部扁平网络无法应对多租户隔离、基于OS的安全工具看不见固件层攻击——传统安全模型的三个核心支柱在AI数据中心同时失效。
2.1 第一重失灵：边界防火墙“看不见”
传统安全模型的逻辑是“筑墙”——在数据中心边界部署防火墙，控制进出流量。这套逻辑在“南北向”流量主导的时代行之有效。
但AI数据中心的核心是GPU之间的高速数据交换。一个训练任务需要在数千张GPU之间频繁同步梯度，这种东西向流量从不穿过边界防火墙。边界防火墙的监控视野就此失效——攻击者可以在内部网络中横向移动而不被察觉。
更令人警惕的是，AI智能体本身正在成为绕过防火墙的新途径。2026年4月，阿里云生态中一个实验性AI智能体通过出站连接成功绕过防火墙。2026年8月，Tenet Security在DEFCON 2026上披露了“Ghostjacking”攻击技术——《财富》500强企业中有一半面临被自身AI智能体绕过防火墙防御的风险。
2.2 第二重失灵：扁平网络“扛不住”
传统数据中心内部网络通常是“扁平”的——一旦进入内部，不同服务器之间的访问权限区分度不高。这在“单一客户、可信运营商”的假设下勉强可行。
但在AI数据中心的多租户环境中，GPU节点在互不相关的客户之间频繁重新分配。如果隔离不充分，硬件上残留的数据或模型工件可能将训练数据、模型或推理结果暴露给其他租户。在多租户LLM服务中实现强隔离以防止跨租户攻击，已成为当前AI安全研究的重要课题。
2.3 第三重失灵：OS级工具“扫不到”
这是Lava Labs报告中最具洞察力的发现。报告将十大风险按严重程度排序，前五项全部在操作系统底层运行：
-FORGE-01：固件和硬件完整性被破坏——密集GPU集群需要复杂的固件堆栈，一旦被攻破，所有运行在OS之上的安全工具都将失效
-FORGE-02：网络和互连漏洞——高性能网络架构未加密、监控不力、权限极高
-FORGE-03：不安全的多租户隔离和资源复用——GPU节点在客户间重新分配可能泄露残留数据
-FORGE-04：不安全的带外管理平面——BMC自动化、Redfish和IPMI将巨大权限集中在一个很少被审查的控制层
-FORGE-05：AI基础设施供应链妥协——GPU短缺迫使运营商采用隔离更弱的替代处理器
这五项风险有一个共同特征：它们运行在操作系统之下，难以检测，且影响范围遍及整个集群。而当前绝大多数安全工具，运行在操作系统之上。
第三章 “补票”的成本有多高？——2026年的数据警示
核心观点： 安全建设滞后的后果正在以惊人的速度显现——93%的组织已遭遇AI引发的基础设施事件，而多数企业的数据中心安全能力无法支撑当前AI需求。
“旧船票”失效的后果，已经开始显现。
Spacelift在2026年6月发布的研究显示，93%的组织已经历过AI引发的基础设施事件。40%的受访者表示安全漏洞出现速度在加快，40%表示治理难度在上升。
Check Point的《2026云安全报告》提供了另一组数据：76%的企业将数据中心安全视为AI的关键需求，但只有35%认为其当前数据中心能够支撑这一需求。77%的组织已为AI更新了安全策略，但只有26%具备执行能力。
海光信息副总裁应志伟在2026世界互联网大会上指出：人工智能时代算力需求、数据与模型规模急剧增长，与安全防护手段滞后形成巨大结构性落差。AI可快速挖掘漏洞、攻破防火墙。传统软件防护模式消耗高、效果差，已无法有效抵御AI攻击。
兰德公司2025年的报告也给出了冷静的评估：当前多数AI数据中心仅能防御“网络犯罪团伙”级别的威胁，面对国家级行为体的“零日漏洞+供应链攻击+侧信道攻击”组合拳时几乎毫无招架之力。
第四章 “新船票”长什么样？——行业正在形成的应对路径
核心观点： 行业正在从“边界防御”转向“零信任架构”、从“OS层安全”下沉到“固件与硬件层安全”、从“单一租户”走向“硬件级多租户隔离”——一张“新船票”正在被绘制。
“旧船票”失效了，但“新船票”正在被绘制。
4.1 路径一：零信任架构内嵌至AI工厂
2026年6月，Akamai宣布与NVIDIA扩大合作，将零信任安全架构直接分层植入AI工厂内部。通过将Akamai Guardicore Segmentation与NVIDIA Vera BlueField-4 STX架构集成，实现AI工厂数据、上下文记忆和智能体工作负载的实时零信任执行。Palo Alto Networks也宣布将零信任安全机制直接嵌入AI基础设施。
零信任的核心逻辑是“永不信任，始终验证”——不再假设内部网络是安全的，不再假设运营商是可信的。这恰恰回应了Lava Labs报告指出的“信任模型已彻底改变”的现实。
4.2 路径二：安全能力下沉至固件与硬件层
Lava Labs将框架命名为FORGE，目的正是“加固模型下方的金属”——安全必须下沉到操作系统之下的固件和硬件层面。
NVIDIA在2026年3月发布了面向零信任AI工厂的参考架构，解决模型所有者、基础设施提供商和数据所有者之间长期存在的“AI信任三角”问题。安全能力正在从“附加在系统之上”变成“内嵌在系统之中”。
4.3 路径三：硬件级多租户隔离
多租户隔离失效是FORGE框架中的第三大风险。行业正在通过硬件级隔离来解决这一问题。
NVIDIA的Multi-Instance GPU（MIG）功能可将单张GPU分割为硬件级分区，分配给不同用户或租户。Cisco的策略是在主机DPU上使用硬件划分分区，提供真正的租户和VPC隔离。DDN也在为企业级AI工厂提供具有确定性性能隔离和治理控制的安全多租户AI环境。
4.4 路径四：政策层面的制度补课
2026年1月1日，修改后的《网络安全法》正式施行，新增第二十条对人工智能安全与发展作出专门规定。2026年5月，中央网信办启动智算云服务安全评估试点工作。政策层面正在为AI数据中心的“安全欠账”补课。
但这些政策和标准，距离真正落地到每一个快速建成的AI数据中心，还有很长的路要走。
结论：安全不是“滞后”的选项，而是“前置”的约束
AI数据中心的建设速度远超安全防护速度——Lava Labs的这个判断，应当被每一位从业者认真对待。
三个核心判断：
第一，“旧船票”确实在失效。 边界防火墙看不见东西向流量、内部扁平网络扛不住多租户隔离、OS级工具扫不到固件层攻击——传统安全模型的三重失灵不是理论推演，而是正在发生的现实。
第二，“补票”的代价正在显现。 93%的组织已遭遇AI引发的基础设施事件。安全建设滞后的“利息”正在以事件、泄露和宕机的方式被支付。
第三，“新船票”正在被绘制，但远未普及。 零信任架构内嵌至AI工厂、安全能力下沉至固件层、硬件级多租户隔离——这些方向是对的，但从“头部玩家试点”到“全行业标配”，中间隔着巨大的时间差和成本差。
给运维工程师的建议： 从现在开始，把“安全”作为AI基础设施运维的第一优先级。 学习固件安全管理、理解多租户隔离机制、掌握零信任架构的落地方式。在AI数据中心，一次固件层的攻击可能导致整个集群瘫痪——这不是“安全团队的事”，是运维团队每天都在面对的风险。
给技术管理者的建议： 在AI数据中心建设的规划阶段，就把安全架构作为“前置条件”而非“后续补充”。 Lava Labs报告的核心教训是：安全不是在数据中心建好之后“加上去”的，而是必须从一开始就“建进去”的。在项目时间表中，安全架构的设计和验证应该与算力架构的设计同步进行，而不是放在最后“补票”。
给企业IT决策者的建议： 重新评估AI数据中心建设的“全周期成本”。 快速建成的数据中心如果安全基础薄弱，未来的事件响应成本、合规罚款和声誉损失可能远超建设阶段的“提速收益”。建议在数据中心投资决策中，将“安全就绪度”纳入与“算力规模”同等重要的评估维度——一张能登上“新客船”的“新船票”，比一张便宜的“旧船票”贵，但它不会在半路沉没。