defender-for-cloud-ai

Microsoft Defender for Cloud — AI 工作负载保护

Defender for Cloud 的 AI 计划保护的是 AI 工作负载本身——组织运行的 Azure OpenAI、 Azure AI Foundry、Amazon Bedrock 和 Google Vertex AI 部署。包含两项功能：

• AI 安全态势管理（AI-SPM）：无代理发现与态势评估（AI 部署的位置、暴露了哪些基础数据、存在哪些错误配置）。
• AI 工作负载运行时威胁防护：针对 Azure OpenAI 的提示词注入、越狱、敏感数据泄露、钱包滥用和凭据泄露进行检测，并集成 Azure AI Content Safety Prompt Shields。

适用场景

你在 Azure OpenAI / Azure AI Foundry（也可选择 Bedrock/Vertex）上构建或运行生成式 AI 应用，并需要在工作负载侧进行态势评估和运行时检测。

不要将此技能用于面向终端用户的 AI 治理（purview-ai-hub）、Content Safety 策略编写（azure-ai-content-safety）或 M365 Copilot 推广 （copilot-for-m365-readiness）。

可获得的能力

能力	范围
多云 AI 发现	Azure（OpenAI、Foundry）、AWS Bedrock、GCP Vertex AI（通过现有多云连接器）
敏感基础数据暴露	识别包含敏感数据且具有公共访问或过度宽松访问权限的基础数据存储
攻击路径分析	“暴露于互联网的 AI 终端节点，关联敏感基础数据和权限过高的身份”
运行时检测（Azure OpenAI）	检测提示词注入、越狱、提示词/响应中的敏感数据泄露、可疑访问模式和钱包滥用
Prompt Shields 集成	检测利用 Content Safety 的 prompt-shield 信号
Defender XDR 中的警报	将事件与云和身份信号关联起来

方法

1. 前提条件。 在订阅范围内启用 Defender for Cloud。启用 Defender CSPM 计划（通过攻击路径分析提供 AI-SPM）。对于 Azure OpenAI 工作负载，启用 Defender for AI Services 运行时计划。对于非 Microsoft 云，必须已配置 AWS/GCP 连接器。

2. 发现 AI 资产。 启用后 24 小时内，Defender for Cloud 清单会显示 Azure OpenAI、Foundry、Bedrock 和 Vertex 资源。查看 AI Security posture 仪表板：

   • 哪些 AI 资源暴露在公共网络中。
   • 哪些使用 Microsoft Entra（良好），哪些使用 API 密钥（需要警惕）。
   • 哪些接地数据存储（Azure AI Search、Blob、Cosmos）包含由 Purview 分类的敏感数据，以及它们是否权限过宽。

3. 优先分诊攻击路径。 高价值攻击路径通常包括：

   • 暴露于互联网的 Azure OpenAI 终结点 + 包含敏感数据的接地数据存储 + 具有广泛 RBAC 权限的身份。
   • 具有公共网络的 Foundry 中心 + 客户管理的接地数据 + 未启用 Content Safety 筛选器。 修复攻击路径（专用终结点、限定身份权限、启用 Content Safety），而不是孤立地分诊每个发现。

4. 启用运行时检测（Azure OpenAI）。 每个订阅只需启用一次。该服务会采样提示词/响应（受数据隐私配置约束），并根据 Microsoft 的威胁模型和 Prompt Shields 进行评估。

5. 在应用程序的 Azure OpenAI 调用链中接入 Content Safety Prompt Shields。 启用 Prompt Shields 后，Defender 警报的精准度会更高，因为工作负载本身已拒绝了攻击尝试——Defender 随后会向 SOC 发出警报。

6. 警报响应操作手册。

   • 检测到提示词注入 / 越狱：补充调用方身份、源 IP、重复频率等信息；如果持续发生，则撤销 API 密钥 / 禁用用户。
   • 响应中泄露敏感数据：调查接地数据；收紧接地数据存储的 RBAC 权限；添加 Content Safety 输出筛选器。
   • 钱包滥用（单个主体产生高额费用）：限制速率、撤销凭据，并调查是否存在凭据泄露。
   • 提示词中泄露凭据：轮换泄露的机密，并在日志中搜寻此前的暴露记录。

7. Defender XDR / Sentinel 集成。 警报会显示在“Microsoft Defender for AI Services” / “Cloud”类别下。构建跨产品关联（例如，AI 警报 + Defender for Cloud Apps 检测到异常用户活动）。

8. 持续检查安全态势。 每周检查：新增的、未配置专用终结点的 AI 部署；包含敏感数据的新接地数据存储；拥有广泛 AI RBAC 权限的新身份。

防护措施

• 运行时保护会采样提示词/响应。 验证数据隐私态势和面向客户的披露；在某些受监管行业中，这需要客户同意。
• 公共终结点是主要风险。 AI 服务默认使用公共终结点，除非你配置专用终结点；应将此要求纳入着陆区策略。
• API 密钥身份验证是第二大风险。 强制使用基于 Entra 的身份验证；至少每季度轮换一次所有密钥。
• 接地数据是新的数据库。 应按同等重要的核心资产对待——使用敏感度标签、限定 RBAC 权限，并在源端启用 Defender for Storage。
• Content Safety 与 Defender 相互独立。 两者都需要：Content Safety 会在模型调用时拦截，Defender 会检测安全事件并发出警报。
• Defender for AI 无法防护针对 AI 应用业务逻辑的滥用。 这仍由你的应用程序负责（输入验证、速率限制、身份验证）。
• 多云 AI 运行时检测正在分阶段推出。 请确认 Bedrock/Vertex 在你所在区域哪些功能已正式发布、哪些仍为预览版。

常见反模式

• “为‘提升开发效率’而部署具有公共终结点和 API 密钥的 AI 工作负载” — 会成为永久性的攻击面，也是头号警报来源。
• “将敏感数据存入接地数据存储，并向 AAD-everyone 授予‘Reader’权限” — 这会导致应用中的 Copilot 面临与 M365 Copilot 过度共享相同的暴露风险。
• “启用了 Content Safety Prompt Shields，却跳过了 Defender for AI” — 你拒绝了 攻击，却看不到攻击行动，也无法与身份信息关联。
• “启用了 Defender for AI，却没有启用 Defender CSPM” — 失去攻击路径分析， 收到的警报也缺少上下文。
• “只把钱包滥用警报当作成本管理问题处理” — 通常是凭据遭到入侵。请作为安全事件 进行调查。
• “未配置 Sentinel 警报路由” — 警报堆积在 DfC 控制台中，没有 SOC 分诊处理。
• “将 API 密钥‘暂时’放在代码中” — 泄露的凭据会触发检测，但你已经付出了代价。

示例提示词

• 在 12 个订阅中，为 Azure OpenAI 和 AI Foundry 部署启用 Defender for Cloud AI 计划。
• 盘点 AI 工作负载和接地存储；找出排名前 10 的攻击路径。
• 为“检测到提示词注入”警报构建运行手册：分诊、遏制、搜寻。
• 将 Azure AI Content Safety Prompt Shields 集成到我们的 Foundry 聊天应用中，并 启用 Defender 运行时检测。
• 态势管理管道：使用 Azure Policy，要求所有 Azure OpenAI 资源都采用专用终结点和 Entra 身份验证。
• 将 AWS Bedrock 和 GCP Vertex AI 的使用情况接入 Defender AI-SPM。
• 配置 Sentinel 检测，将 Defender AI 钱包滥用警报与调用身份的登录风险关联起来。

Microsoft Learn

• AI 计划概述：https://learn.microsoft.com/azure/defender-for-cloud/ai-threat-protection
• AI-SPM：https://learn.microsoft.com/azure/defender-for-cloud/ai-security-posture
• 为 AI 启用威胁防护：https://learn.microsoft.com/azure/defender-for-cloud/ai-threat-protection
• 警报参考（AI）：https://learn.microsoft.com/azure/defender-for-cloud/alerts-reference#alerts-ai
• 攻击路径：https://learn.microsoft.com/azure/defender-for-cloud/concept-attack-path
• Azure AI Content Safety Prompt Shields：https://learn.microsoft.com/azure/ai-services/content-safety/concepts/jailbreak-detection
• Azure OpenAI Entra 身份验证：https://learn.microsoft.com/azure/ai-services/openai/how-to/managed-identity
• 多云连接器：https://learn.microsoft.com/azure/defender-for-cloud/multicloud