医疗设施以其严格的清洁标准和对病菌、病毒等病原体的高效清除而闻名，但当涉及到网络感染和攻击时，医疗行业却一直是主要目标。
2024年，美国卫生与公众服务部报告称，全美发生了超过700起医疗数据泄露事件，导致总计超过1.8亿条记录遭到泄露。今年早些时候，耶鲁纽黑文健康系统（Yale New Haven Health System）披露了一起黑客攻击事件，影响了550万名患者。
该行业对不法分子的吸引力显而易见：医疗机构拥有大量敏感的个人身份信息（PII），例如姓名、地址、出生日期、社会保障号码以及医疗状况详情，这些信息可以在黑市上出售或被用于身份盗窃。
一次成功的攻击可能使整个医疗机构或系统陷入瘫痪。与此同时，个人、雇主、医疗服务提供者、保险公司和第三方供应商之间的高度互联意味着一个节点的漏洞可能在整个生态系统中引发连锁反应。
如今，医疗机构必须在其现有的网络安全威胁清单中新增一类风险：AI应用和代理中的漏洞。从自动化患者登记流程到辅助诊断和临床决策，AI可以为医疗领域解锁新的效率，但每一项实施也打开了新的“攻击面”，供不法分子利用。
个人、雇主、医疗服务提供者、保险公司和第三方供应商之间的高度互联意味着一个节点的漏洞可能在整个生态系统中引发连锁反应。
医疗机构如何使用AI
自新冠疫情以来，医疗系统承受了巨大的压力，人员短缺问题日益严重。医院和健康中心被迫优先考虑效率，并寻找优化运营的方法，同时不损害患者护理质量。
在此背景下，医疗管理人员、护士和医生正在投资于AI应用和代理，以简化行政工作，从而腾出更多时间与患者面对面交流。除了行政任务外，AI研究工具还可以搜索医疗记录数据库和整个科学文献库，收集背景信息，协助医生进行诊断。
在预约之前，AI可以用来总结患者的病史和就诊原因；医生也可以利用AI监听预约对话并生成下一步操作的总结。
AI代理通过访问数字和物理工具以及数据集来完成任务，提供了额外的能力。代理由三层组成：目的、基于底层AI模型的“大脑”以及执行任务的工具。代理可以配置为在极少或无需人工干预的情况下完成其目标。
在医疗环境中，能够访问内部系统和数据的代理可以管理员工排班、自动安排预约、分类文件，甚至标记错误或重要的病史。它们还可以通过找到靠近患者的医生来简化转诊流程，以便后续咨询。
对于理赔，AI代理可以与保险公司通信，提供关于上诉覆盖范围的研究，或帮助将治疗代码与支付方指南对齐以确保正确报销。最近推出的首个专门设计用于解答患者账单问题的AI语音代理减少了等待时间，并让医疗服务提供者腾出时间处理其他重要工作。
在不久的将来，医院可能会指派代理管理建筑安全系统和能源使用，甚至在某些特定情况下监控患者，例如管理静脉滴注。
代理威胁的蔓延
在所有行业中，93%的IT领导者计划在未来两年内采用AI代理，这反映了效率提升的巨大潜力。然而，代理的引入也带来了更高的安全风险，因为它们能够自主访问内部系统、软件工具和数据集。在医疗这样敏感的环境中，成功或失败的代价更高。
在医疗这样敏感的环境中，成功或失败的代价更高。
可以把AI代理想象成一个在安全保险库内的私人助理——虽然高效且有价值，但如果在安全性方面不够谨慎，就容易被利用。如果坏人控制了一个能够访问患者记录、医生日程表或医院操作系统的AI代理，他们不仅可以获取高度敏感的数据，还能借此了解如何入侵非代理系统。
黑客利用AI代理自身的脆弱性，无论是通过配置不当的访问控制、集成弱点，还是未修补的第三方系统与其通信的漏洞。一旦获得控制权，黑客会使用精心设计的提示迫使代理执行数据挖掘和系统渗透任务。
黑客攻击AI代理与传统黑客方法的主要区别在于，代理已经拥有对内部系统的访问权限，并能同时自主执行多项操作。因此，等到公司的IT团队意识到AI代理已被攻破时，它可能已经挖掘了每位员工的日程表、患者记录和财务数据库。
模型上下文协议隐藏的危险
随着模型上下文协议（MCP）作为代理与多平台软件工具和数据交互框架的普及，AI代理的部署变得更加容易和有效。然而，MCP所带来的互联性也会引入新的危险。
可以把MCP比作循环系统：正如血液可以将营养物质和毒素输送到身体各个部位一样，MCP允许的便捷访问也可能加速对抗性提示或中毒数据传播到代理，导致系统范围的中断。
如果一个AI代理通过MCP能够访问患者数据库和内部电子邮件系统，攻击者可以利用这些连接通过电子邮件窃取私人数据，或将恶意内容注入数据库。为了应对AI代理带来的威胁，组织必须结合新颖和经过验证的安全策略，以实现有效保护。
保护AI的策略
通过对代理进行广泛的网络安全审计，组织可以在整合之前防止漏洞进入更广泛的系统。这一过程包括探测数据访问点、测试潜在的未经授权交互，并尝试通过自动化红队测试使用工程化提示“越狱”代理。
通过对代理进行广泛的网络安全审计，组织可以在整合之前防止漏洞进入更广泛的系统。
AI系统还必须具备多层次的安全防御，例如访问控制和数据加密。对于已安装的代理，公司应使用“最小特权”原则限制对敏感数据的访问，以防止过度访问。在使用MCP时，这一点尤为重要，以降低代理之间恶意行为的风险。
尽管黑客通常仍能找到绕过访问控制的方法，但这些控制仍然是值得的第一道防线。持续的红队测试在这里发挥了作用，使组织能够始终领先于新的“越狱”策略，并在系统弱点被利用之前识别出来。
正如医院有应对病毒爆发、物理攻击和网络攻击的计划一样，它们也必须针对由AI系统发起或对其发起的攻击制定全面的事件响应框架。应有一份清晰的路线图来减轻损害并通知关键利益相关者。
为了保持IT系统的健康，医疗及其他领域的安全专业人员应通过预防性压力测试和持续威胁监控，保护他们安装的AI代理免受新兴威胁的影响。借用一句流行语来说，“每天一次红队测试，黑客远离我。”
(全文结束)