导语：随着大模型从“聊天工具”走向可调用搜索、邮件、文件、数据库和企业系统的智能代理，生成式 AI 应用商店正在成为新的软件分发入口。用户只需点击安装，就能为 AI 增加一种能力；开发者也可以借助插件、连接器或 MCP 工具快速触达用户。🚀 但这种便利改变了传统应用的安全边界：插件不再只是展示信息，而可能代表用户读取数据、调用接口乃至执行操作。一旦权限配置过宽、工具描述遭到污染或审核流于形式，恶意应用便可能借助 AI 的可信外观进入真实业务系统。
一、AI 应用商店为何快速兴起
传统应用需要用户主动学习界面和操作流程，而生成式 AI 应用通常以自然语言作为统一入口。插件负责提供外部能力，大模型负责理解意图、组合参数并决定何时调用工具。这种模式降低了开发和使用门槛，也让“模型＋数据＋工具”成为新的应用形态。
对平台而言，应用商店能够扩展模型能力边界，形成开发者生态；对企业而言，现成的行业代理可以缩短采购与部署周期；对开发者而言，则不必从头建设完整的 AI 平台。然而，安装一个插件往往等同于引入一个新的数据处理方、身份授权主体和软件供应链节点，不能只看功能介绍与评分。
二、插件越权风险是怎样产生的
1. 申请权限超过实际需要
某个日程助手可能只需读取指定日历，却申请全部邮箱、联系人和文件权限；一个知识库问答工具本应只读，却同时拥有写入、删除或共享能力。此类“权限大礼包”会显著扩大风险半径。即使插件本身没有恶意行为，只要其密钥泄露、服务端被入侵或依赖组件被污染，过宽权限也可能被攻击者利用。
2. 模型替用户作出高风险决定
生成式 AI 的特殊之处在于，工具调用可能由模型根据上下文自动发起。攻击者可以把隐藏指令放进网页、邮件、PDF 或知识库文档，诱导模型忽略原任务并调用敏感工具。这类间接提示注入若与高权限插件结合，可能造成跨目录读取、敏感信息外发、错误修改记录等后果。OWASP 已将提示注入、敏感信息泄露、供应链风险和过度授权纳入生成式 AI 应用的重要安全议题，可参阅 OWASP 生成式 AI 安全资料。🛡️ citeturn1search1
3. 权限展示与真实行为不一致
用户授权时看到的可能只是“访问文件”或“管理工作区”等笼统描述，却无法判断插件会读取哪些目录、数据是否传到第三方服务器、保存多久，以及是否用于模型训练。如果开发者更新后增加新的外部接口，而平台没有触发重新审核，原先通过验证的应用也可能发生权限漂移。
三、恶意应用审核正在出现的新动向
第一，审核对象从页面内容转向完整数据流。过去主要检查名称、描述、截图和基本功能；现在更需要核查身份认证、租户隔离、数据去向、密钥管理、外部服务依赖及工具调用范围。Microsoft Marketplace 的 AI 应用与代理认证建议要求准备数据流图、机密管理说明和访问范围定义，并关注是否遵循最小权限原则，详见应用和代理认证说明。🔍 citeturn1search10
第二，从一次性上架审核转向持续监测。静态扫描只能发现已知恶意代码，难以识别运行期间才出现的远程指令、动态工具描述和异常 API 调用。更有效的机制应包括版本变更复审、权限增加提醒、调用频率检测、异常数据外传告警，以及发现问题后的快速下架和令牌吊销。
第三，审核范围延伸至 AI 供应链。应用商店需要了解插件使用了哪些模型、开源组件、连接器和 MCP 工具，并验证来源、版本与完整性。Microsoft 的 AI 应用发布检查清单也强调模型、MCP 工具、连接器及开源组件的供应链完整性，同时要求记录工具调用和代理行为，可参考AI 应用发布检查清单。citeturn1search11
第四，对高风险动作引入“人在回路”。发送邮件、公开文件、删除数据、创建账号和执行交易等操作，不应仅凭模型判断直接完成。平台可要求插件在执行前展示对象、范围和影响，由用户进行二次确认；对于批量操作或敏感资源，还应增加管理员审批、短期授权和可撤销机制。
四、平台、开发者与用户如何降低风险
- 平台侧：建立细粒度权限分类，禁止以模糊权限覆盖多个敏感能力；对新增权限、域名和数据用途强制重新审核，并提供应用行为审计与紧急停用能力。
- 开发者侧：默认只读、按任务临时授权，区分测试与生产凭据；对模型生成的工具参数进行结构化校验，不把模型输出直接当作可信命令执行。
- 企业侧：建立允许安装的应用白名单，将插件纳入第三方风险和数据安全评估；重点审查跨租户隔离、日志留存、数据删除及供应商退出机制。
- 用户侧：安装前核对开发者身份、隐私政策、权限清单和数据用途；对“无需理由却申请全部访问”的应用保持警惕，并定期清理闲置授权。⚠️
判断一个 AI 插件是否安全，不能只问“它能做什么”，还要问“它能接触什么、能替我做什么、出错后能否追踪和撤销”。
总结
生成式 AI 应用商店的价值，在于把模型能力转化为可安装、可组合的生产力工具；其主要风险，也来自模型与真实权限之间的连接。未来审核不会停留在“是否含有恶意代码”，而会更加重视权限最小化、数据流透明、供应链可信、运行时监测和高风险操作确认。只有平台强化持续治理、开发者落实安全设计、企业建立准入制度、用户谨慎管理授权，AI 应用生态才能在快速扩张的同时守住安全边界。✅
