加州用 AI 网络防御应对自身风险

8 月 10 日，加州将一则 Google News 头条转化为全国首创的承诺，成立 AI 网络防御计划，以应对愈发快速且低成本的攻击。该州希望借助人工智能发现漏洞、加固网络并支持事件响应。如今，它必须证明这些工具能在不引入新弱点的前提下保护关键基础设施。

州长 Gavin Newsom 指示各机构在加州网络安全整合中心（California Cybersecurity Integration Center，简称 Cal-CSIC）内设立该计划。每个州级机构还必须指定一名 AI 网络安全官员。地方政府和关键基础设施运营商预计将获得更广泛的先进防御能力支持。

核心矛盾并不是加州与某一家技术供应商之间的对立，而是自动化防御与自动化所带来的运营风险之间的平衡。AI 可以帮助不堪重负的安全团队处理警报、调查可疑活动。同样，这些系统若在缺乏严格控制的情况下部署，也可能得出错误结论、暴露敏感信息，或扩大攻击者的可利用空间。

加州采取这一举措之际，联邦网络安全支持正面临削减和资金不确定性。这迫使州级机构承担此前由国家项目共同分担的职责，也让加州成为检验分散的公共机构能否安全、一致地采用 AI 安全工具的早期试验场。

Google News 头条标志着全州运营模式的变化

加州正将 AI 网络安全从零散试验转变为一项有明确名称、由责任官员负责的全州计划。

这份州政府公告列出了三项即时指令。Cal-CSIC 必须设立 AI 网络防御计划。该州必须扩大面向地方政府和基础设施合作伙伴的防御能力。每个机构都必须指定一名 AI 网络安全官员。

最后一项要求至关重要，因为安全计划往往在政策与实施之间失效。全州战略可以阐述共同目标，但各个机构仍控制着拥有不同数据、供应商、预算和风险状况的系统。指定官员意味着每个组织内部都有明确、可识别的责任主体。

该计划涵盖的范围不止于州政府网站和员工设备。加州特别指出，供水、电力、交通和应急通信等服务都面临破坏性网络事件的风险。即便入侵始于被盗凭证或遭入侵的软件，针对这些系统的成功攻击也可能造成现实世界的物理后果。

Cal-CSIC 为这项工作提供组织核心。该中心负责协调威胁情报、事件响应，并为关键基础设施运营商提供支持。将新计划置于该中心之内，使 AI 试验与既有运营架构相衔接，而非另设一个独立的政策办公室。

该州表示，AI 将支持漏洞检测、网络加固和事件响应。漏洞检测用于发现攻击者可能利用的弱点。网络加固旨在减少可被访问的服务和不安全配置。事件响应则涵盖遏制、调查和从攻击中恢复的工作。

这些应用具有可行性，但公告并未说明具体模型、供应商、评估标准或部署日期，也没有给出专门的预算金额。因此，该计划是一项运营授权，而非一套已完成的技术架构。

当一则新闻经由 Google News 和社交媒体传播时，这一区别可能被忽略。“AI 网络防御”听起来像是已经部署的自主防护盾。事实上，加州宣布的是一个用于在众多组织之间选择、治理和应用防御工具的框架。

该州眼下的成果是行政协调。Cal-CSIC 获得了明确的 AI 使命，各机构获得了责任归属要求，较小规模的合作伙伴则获得了更多访问权限的承诺。运营成效将取决于这些指令之后的具体行动。

最先需要回答的问题都很实际。各机构需要明确哪些系统可以向 AI 工具发送信息、谁能审查其输出，以及如何记录错误。它们还需要制定程序，在升级处理模型生成的警告时，避免让自动化触发不安全的变更。

加州已经建立了决策框架，但尚未证明每个机构都能以同一标准执行该框架。

联邦收缩提高了加州的赌注

该计划推出之际，州和地方防御者正面临更大的责任，却对联邦支持的持续性更缺乏确定性。

州长办公室将该倡议与全国网络安全环境的三项变化联系起来。拟议的 2027 财年联邦预算将使网络安全与基础设施安全局（Cybersecurity and Infrastructure Security Agency）减少约 7.07 亿美元资金。该州称，这约相当于较早资金水平减少 30%。

面向多州信息共享与分析中心的联邦支持也在 2025 年末结束。MS-ISAC 此前向州、地方、部落和领地政府提供持续监测、威胁情报和事件协调服务。其转向付费服务，将给较小辖区带来额外压力。

州和地方网络安全补助计划面临另一个期限问题。国会通过《两党基础设施法》为该计划拨款 10 亿美元。尽管立法者曾考虑延长其授权，该计划当前的资金阶段仍接近结束。

这些变化改变了加州这一倡议的含义。在联邦援助不断增长的时期，AI 安全计划本已值得关注；而当县、市和基础设施运营商可能失去服务或承担新增成本时，它的重要性进一步上升。

小型公共机构面临的难题尤其严峻。它们管理着有价值的个人数据和基本公共服务，却很少能够与科技公司竞争、招募经验丰富的安全人员。它们也可能依赖无法生成现代安全工具所需清晰遥测数据的旧版应用。

当 AI 能减少重复性的分析工作时，它可帮助缓解这种不平衡。系统或许可以汇总相关警报、解释可疑脚本，或识别暴露在互联网中的脆弱资产，随后由人工分析师专注于验证和修复。

然而，获得模型访问权限并不能取代基本的安全运营。各机构仍需要准确的资产清单、受支持的软件、经过测试的备份、身份控制和清晰的事件程序。AI 助手无法保护管理员甚至不知道存在的服务器。

这也是加州的人才要求与技术计划并列的重要原因。该计划需要既懂安全又了解模型行为的人员。他们必须知道何时输出反映的是证据，何时只是某种假设，以及何时敏感数据绝不应离开机构控制的环境。

压力同样延伸至私营运营商。供水系统、能源供应商、交通网络和通信机构会在重大事件期间与政府响应体系衔接。如果加州通过 Cal-CSIC 扩展 AI 赋能服务，这些运营商将需要兼容的程序，用于共享证据并根据警告采取行动。

因此，联邦政策转向迫使加州作出选择：要么在州级层面复制部分服务，要么让资源充足的组织与较小辖区之间的能力差距扩大。AI 网络防御计划代表了前一种路径的尝试。

资金仍是未解决的约束。公告承诺扩大访问权限，却没有解释工具、培训、存储、模型评估和事件支持将如何获得资金。若缺乏持续资源，该计划可能只会在原本就拥有成熟安全团队的机构中发挥最强作用。

AI 防御与 AI 风险如今共享同一控制平面

加州的战略用 AI 应对由 AI 放大的威胁，因此在运营速度与可信控制之间形成取舍。

攻击者可以利用模型起草具有说服力的钓鱼信息、翻译诈骗内容、分析窃取的代码，并加快漏洞研究。防御者则可以利用类似能力分类警报、检查软件，以及搜索大规模安全数据集合。

这种对称性解释了加州选择此时行动的原因。该州表示，领先的 AI 开发商已披露受控测试，其中先进系统能够独立完成复杂的网络行动。这些测试并不能证明模型能够自主攻破加州基础设施，但确实表明，完成某些攻击任务所需的成本和专业能力正在发生变化。

防御团队不能通过忽视这项技术来应对。一个安全运营中心收到的警报可能多于分析师能够手动审查的数量。AI 可以关联相关事件，并呈现更短的调查路径；它还可以帮助经验较少的员工理解陌生代码或攻击技术。

然而，这种整合也会建立敏感的新路径。用于事件响应的模型可能会处理认证记录、网络图、源代码或未修复系统的细节。将这些材料发送给不适当的服务，可能使防御工作流变成数据泄露。

模型输出同样存在不确定性。生成式 AI 会预测看似合理的回应，而非检索得到保证无误的事实。在网络安全中，自信却错误的解释可能浪费稀缺的响应时间。一项错误建议甚至可能在事件期间中断合法服务。

因此，加州需要分层审批控制。AI 可以建议一项遏制措施，但具备资质的操作人员应验证证据及预期影响。自动化行动应从范围狭窄、可逆的任务开始，并设定清晰阈值。

提示注入是另一项值得关注的问题。这类攻击会将恶意指令嵌入到 AI 系统后续分析的内容中。审查遭入侵文档或代码库的模型，除非周边应用能将不受信任的数据与系统命令隔离，否则可能会遵循攻击者提供的指令。

安全团队还必须保护模型本身。访问凭证、训练数据、检索系统、插件和审计日志都会形成攻击面。在未梳理这些依赖关系的情况下增加 AI 工具，可能让复杂性的增长快于防御能力的提升。

加州此前的 Cal-Secure 路线图提供了有用的基线。原计划围绕人员、流程和技术组织网络安全工作，也列出了多因素认证、补丁管理、端点保护、威胁情报和软件供应链管理等能力。

Cal-Secure 2.0 延续了对人才、协调和现代化的重视，同时给予各机构更大灵活性。AI 计划如今正在检验，这种灵活性能否与一致的保障措施共存。一个机构的实验性工具不应成为另一个机构的共同风险。

美国国家标准与技术研究院通过其AI 风险框架提供了更广泛的参考。该框架围绕治理、映射、衡量和管理系统来组织 AI 风险工作。加州可以将这些职能转化为采购审查、技术测试、部署审批和持续监控。

该计划还应记录重要发现的来源。当 AI 标记恶意活动时，分析人员需要获得底层日志、指标和推理路径。无法复现的结论将难以在审计或事后事件调查中得到辩护。

良好的文档本身就是安全控制的一部分。工程团队需要可搜索的模型版本、提示词、审批、例外情况和已观察到的故障记录。结构化的技术知识库可帮助团队关联这些记录，而不将模型输出视为无需质疑的真相。

因此，该州面临的核心权衡可以管理，但无法回避。更快的分析只有在机构能够解释结论如何得出、保护所涉数据，并制止不安全的自动化行为时才有价值。

全州官员任命并不保证全州已做好准备

只有当加州明确这些职位背后的权限、资质和可衡量职责时，问责头衔才有意义。

在每个州级机构指定一名 AI 网络安全官可以提升可见度，但并不会自动带来专业能力或决策权。若一名官员没有预算权限、无法接触技术团队，或缺乏明确的汇报关系，就可能沦为合规联络人，而非运营负责人。

加州必须决定，是否允许各机构将该职责交由现有安全官员兼任。合并职责或许能减少重复工作，但也可能让本已人手紧张的团队负担过重。单独任命则可能带来更明确的关注重点，同时与机构首席信息安全官的职责产生混淆。

这一角色需要统一的最低授权。官员应维护 AI 安全使用场景清单，批准数据处理条件，跟踪模型和供应商变更，并审查涉及 AI 系统的事件。他们还应与隐私、采购、法律和民权团队协调。

这些职责不限于专为网络安全采购的工具。各机构越来越多地在云平台、办公软件、客户服务系统和开发者产品中遇到 AI 功能。若安全官员只审查某个明确命名的 AI 项目，就会遗漏通过常规软件更新引入的能力。

加州的采购实践将塑造这项工作。该州 2026 年 3 月的行政命令要求，寻求公共合同的 AI 供应商须达到更严格的隐私、民权和安全标准。新的防御倡议必须将这些标准转化为技术要求。

合同应涵盖数据保留、模型训练、分包商、事件通知、访问日志和退出程序。各机构还需要能够测试产品是否如其宣称般运行。仅凭供应商保证，无法证明产品适合用于关键服务。

独立评估之所以重要，是因为安全演示通常使用受控数据。真实的机构环境包含不完整的资产清单、遗留协议、特殊业务规则和相互冲突的告警。某个工具在供应商测试中表现良好，接入嘈杂的运营系统后可能得出不同结果。

该州已通过 Envision 2026 技术路线图公布了可衡量目标。这些目标包括制定负责任采用 AI 的指导意见、向高风险机构负责人进行简报、完成安全健康检查，以及在评估后提升成熟度评分。这类指标为评估新计划提供了起点。

不过，成熟度评分属于间接指标。加州还需要运营结果。实用指标包括验证高优先级告警所需时间、被分析人员拒绝的 AI 建议比例，以及在遭利用前修复的漏洞数量。

误报值得特别关注。一个生成数千条低价值警告的模型，即便检测到部分真实威胁，也可能降低分析人员的工作效率。若只报告 AI 生成发现的数量，将会奖励活动量而非风险降低。

漏报更难衡量，因为团队无法立即知道工具遗漏了什么。加州可以通过受控演练、并行人工审查和红队测试来应对这一问题。红队会模拟攻击者，以便防御方观察人员、流程和技术是否按预期响应。

该州应公布足够的汇总绩效信息，以建立公众信心，同时避免泄露可被利用的细节。这些信息可以包括部署数量、评估方法、培训完成情况和整体事件响应改进。

透明度也将帮助地方合作伙伴判断该计划提供什么服务。一个小型供水区需要知道，加州提供的是软件访问权限、托管监控、专家咨询，还是紧急响应。“AI 赋能防御”可以指代多种截然不同的服务模式。

第一轮 Google News 报道已确立了雄心。更困难的阶段始于各机构将全州授权转化为审计人员可以检视的权限、工作流程和证据之时。

加州接下来必须证明什么

三项信号将表明，这一倡议究竟会成为一项运营性防御计划，还是仍停留在政策承诺层面。

第一项信号是发布实施框架。加州应界定获准使用场景、禁止的数据流向、人工审查要求、测试标准和事件报告规则。该框架将表明，该州已从宣布目标转向治理真实部署。

该指导意见应区分低风险辅助与高影响自动化。汇总公开威胁报告不同于分析受限日志。建议修改防火墙不同于自动执行该修改。

如果加州发布明确标准，且各机构开始据此报告，该计划的可信度将得到加强。如果每个机构各自制定规则，该州将难以提供一致保护或比较结果。

第二项信号是能力惠及地方政府和基础设施运营方的证据。加州承诺扩大访问范围，但尚未明确服务级别、资格条件或资金安排。有关注册和支持的细节将揭示，该计划能否缩小大型机构与小型组织之间的差距。

最有说服力的证据将包括一份明确的服务目录，其中可能涵盖漏洞审查、威胁情报访问、事件支持、AI 辅助分析和培训。参与数据随后将显示，这项服务是否符合地方需求。

更广泛的访问将强化该计划的全州定位。若参与者仅限于已经较为成熟的组织，将削弱加州正在弥补联邦支持减少所造成缺口的说法。

第三项信号是独立绩效证据。加州需要通过受控评估衡量准确性、分析人员工作负荷、响应时间和安全失效情况。该州应将 AI 辅助工作流程与传统方法进行对比测试，而不是假定较新的工具会带来更好的结果。

NIST 网络安全框架为机构提供了治理、识别、保护、检测、响应和恢复的通用结构。加州可以利用这些职能，将模型评估与既有的安全结果联系起来。

独立测试应考察提示词注入、数据泄露、误导性建议、模型更新和供应商中断。还应记录人工分析人员何时推翻系统判断。推翻并不一定意味着失败，但无法解释的模式可能暴露设计问题。

这三项信号必须按此顺序出现。治理确立边界；访问检验该计划是否触达目标用户；绩效证据则决定技术是否改善了他们的防御能力。

加州应避免通过任命官员数量或激活许可证数量来衡量成功。这些属于部署投入。居民需要看到证据，证明关键服务面临的可预防风险更少，并且在事件发生后恢复得更快。

下一条 Google News 标题很可能聚焦于一项新工具、合作关系或安全事件。读者应越过公告本身，提出三个问题：什么权限治理该系统，谁实际上能够使用它，以及哪些可衡量的结果发生了变化？

加州选择建设 AI 辅助防御体系，而不是等待威胁环境稳定下来。这一选择可以理解，因为攻击者不会在政府完成完美政策流程时暂停行动。

该州的优势在于能够协调机构、基础设施运营方、研究人员和科技公司。其风险在于将这种协调误认为运营准备就绪。

AI 网络防御计划能否赢得“全国首创”这一称号，取决于执行，而非时间先后。加州必须证明，人工问责仍然完好，敏感数据始终受到保护，自动化建议能够经受独立审查。在此之前，这一倡议仍是一个严肃的框架，正面临其最重要的考验。