CNCF 警告：仅靠 Kubernetes 不足以保障 LLM 工作负载的安全性

📌 一句话摘要

CNCF 警告，企业在 Kubernetes 上部署 LLM 时存在关键安全缺口，K8s 擅长编排和隔离但无法理解 AI 行为，需叠加 AI 特定控制层。

📝 详细摘要

云原生计算基金会 (CNCF) 发布博客指出，企业在 Kubernetes 上部署大语言模型 (LLM) 时面临一个关键安全缺口。尽管 Kubernetes 在工作负载编排和隔离方面表现出色，但它本身无法理解或控制 AI 系统的行为，这形成了一类完全不同且更为复杂的威胁模型。文章强调，LLM 处理不受信任的输入并能动态决定行动方式，会引入提示词注入、意外数据暴露和对已连接工具的滥用等风险。CNCF 认为，基于 LLM 的系统必须被视为可编程、可决策的实体，而不仅仅是计算工作负载。传统 Kubernetes 安全实践如 RBAC、网络策略和容器隔离仍然必要，但单独使用它们还不够。组织必须引入 AI 特定的控制，包括提示词校验、输出过滤、工具访问限制以及应用层策略执行。文章提出了对「AI 感知型平台工程」的需求，并建议采用 OWASP Top 10 for LLMs 等框架、落实策略即代码，以及建立约束模型行为的护栏机制。

💡 主要观点

- Kubernetes 无法理解或控制 AI 系统的行为，形成新的威胁模型。 K8s 擅长编排和隔离工作负载，但无法感知提示词是否恶意、数据是否泄露或模型是否以不安全方式与内部系统交互，导致基础设施表面健康而底层风险未被发现。

LLM 系统必须被视为可编程、可决策的实体，而非单纯的计算工作负载。 当 LLM 被置于内部工具、日志、API 或凭据之前时，会引入一个可被提示词输入影响的新抽象层，打开提示词注入、数据暴露和工具滥用等风险入口。

需要引入 AI 特定的安全控制层，包括提示词校验、输出过滤和工具访问限制。 传统 K8s 安全实践（RBAC、网络策略、容器隔离）仍然必要但不够，必须叠加 AI 感知的治理机制，如 OWASP Top 10 for LLMs、策略即代码和行为护栏。

行业正从传统威胁模型转向行为与上下文感知的安全模型。 随着 LLM 演进为自治或 Agentic 系统，安全关注点从保护基础设施本身转向控制智能系统在其中的行为，需要运行时监控、human-in-the-loop 控制和严格策略约束。

💬 文章金句

- 虽然 Kubernetes 在工作负载编排和隔离方面表现出色，但它并不天然具备理解或控制 AI 系统行为的能力，这会形成一种本质上不同且更复杂的威胁模型。

• LLM 引入了一类新的风险，因为它们处理的是不受信任的输入，并且能够动态决定行动方式，这与传统应用不同。
• 基于 LLM 的系统必须被视为可编程、可决策的实体，而不仅仅是计算工作负载。
• 运行健康不等于安全。一个系统即便完全符合 Kubernetes 的最佳实践，也仍可能通过其 AI 层暴露出明显的风险。
• LLM 绝不能被当作权威决策者，而必须在有边界的上下文中运行，并具备明确的护栏、持续验证和可审计性。

📊 文章信息

AI 初评：86

来源：InfoQ 中文

作者：InfoQ 中文

分类：人工智能

语言：中文

阅读时间：7 分钟

字数：1644

标签： Kubernetes, LLM 安全, CNCF, AI 安全, 平台工程

阅读完整文章