五眼联盟警告：基础设施韧性必须优先于 AI 热潮

五眼联盟网络安全领导人在一份由六家机构共同发布的声明中，将 Google News 的讨论焦点从 AI 热潮转向基础设施韧性。他们传递的信息很直接：前沿 AI 将加速网络威胁，但购买更多 AI 工具无法修复薄弱的安全基础。

这项于 6 月 22 日发布的警告来自澳大利亚、加拿大、新西兰、英国和美国的网络安全机构。它挑战了一种常见的行业说法：能力日益增强的软件将能弥补老旧系统、补丁迟缓、权限过度以及恢复计划不完整等问题。

该声明并未否定 AI 辅助防御。相反，它将 AI 置于一项要求更高的优先事项之后：当预防措施失效时，确保关键业务仍能持续运行。这一立场要求董事会、基础设施运营商、软件供应商和政府机构证明其系统能够承受中断。

Google News 将五眼联盟警告推向企业领导者

核心变化并非出现了新的 AI 能力，而是在组织增加更多自动化之前，对可衡量韧性提出了协调一致的要求。

五眼联盟的声明汇集了六位机构负责人。澳大利亚由 Australian Cyber Security Centre 的 Stephanie Crowe 代表，Rajiv Gupta 代表 Canadian Centre for Cyber Security。

Catriona Robinson 代表新西兰 National Cyber Security Centre，Richard Horne 代表英国 National Cyber Security Centre。美国方面则由 National Security Agency 的 David Imbordino 和 CISA 的 Nick Andersen 签署。

这一阵容意义重大，因为该警告跨越了国界和机构界限。它反映了负责民用防御、情报、事件响应和关键基础设施安全的机构所作出的共同评估。

这些机构表示，前沿模型预计将改变进攻和防御两方面的网络能力。它们还用一句醒目的话压缩了预期时间表：“时间尺度不是以年计算，而是以月计算。”

这一说法需要谨慎解读。这是政府的预测，并非证明完全自主的网络攻击已在完整入侵链条中广泛运行。

不过，这一警告仍反映了可衡量的能力变化。英国 National Cyber Security Centre 在 3 月的一项分析报告称，其研究人员评估了 2026 年 3 月前发布的七个前沿模型。

表现最佳的模型完成的攻击步骤数量，几乎是 18 个月前测试中最强模型的六倍。一些模型在评估时间结束时仍在采取有效行动。

这些发现表明，AI 日益能够持续执行多步骤网络工作。但它们并不能证明模型无需访问权限、前期准备或人工指引，就能独立攻破任何指定目标。

这一区别很重要。危言耸听的报道可能让 AI 看起来像独立的对手。更迫切的危险往往更简单：AI 能帮助既有攻击者研究目标、编写代码、调整诱饵并扩大重复性工作的规模。

因此，联合网络安全警告聚焦于五项熟悉的行动。组织应缩小攻击面、加快修补漏洞、处理遗留系统、加强身份控制，并开展事件响应演练。

这些行动都不依赖未经验证的模型或昂贵的安全平台。每一项都需要了解资产、明确运营责任，并持续维护。

这正是为什么这一议题不应只局限于安全团队。相关机构明确将网络韧性视为领导层责任，并将其与业务连续性、市场信心和长期价值联系起来。

董事会无法仅靠批准采购 AI 安全产品来履行这一责任。它必须追问：当凭据被窃、供应商失效或暴露系统不可用时，关键服务是否仍能运转。

该警告在 Google News 上的曝光扩大了受众范围，但聚合报道可能将其论点简化为又一个耸动的 AI 标题。更具影响力的信息在于：即使攻击速度异常加快，组织仍须对常规弱点负责。

这构成了本文的核心矛盾。AI 投资显眼、易于营销，也容易宣布；基础设施维护则更慢、缺乏光环，而且通常更难获得资金。

然而，基础设施决定了 AI 辅助攻击者能否轻易找到突破路径，也决定了防御方在入侵得逞后能否控制损害。

AI 正在压缩防御者的决策窗口

AI 通过提升速度和规模改变网络风险，而基础设施薄弱决定了这种加速会造成多大损害。

五眼联盟领导人认为，AI 正在缩短漏洞发现与漏洞被利用之间的时间。这并不意味着每一个新披露的漏洞都会立刻遭遇 AI 生成的攻击。

它意味着防御者不能再依赖公开披露、攻击者准备和实际利用之间存在漫长间隔。围绕舒适延迟设计的补丁流程，可能成为实质性负担。

这种压力在复杂环境中最为明显。医院、公用事业单位、制造商、政府机构和电信服务商往往运行着无法随时重启的系统。

运营技术，即 OT，控制着水处理、电力配送和工业生产等物理流程。更新这类系统可能需要安全审查、供应商支持、计划停机，以及与一线操作人员协调。

这些约束使“更快打补丁”远比听起来复杂。仓促更新可能中断关键服务，而延迟更新则可能为攻击者保留已知入口。

韧性为这一冲突提供了出路。组织可以隔离存在漏洞的系统、限制其通信、增加监控、准备手动流程，并安排可控更新。

这些补偿性控制措施并不能消除根本缺陷，但能降低单一弱点演变成系统性紧急事件的可能性。

五眼联盟的网络风险评估同样强调缩小攻击面。攻击面包括对手可作为目标的每一个可访问账户、服务、设备、应用程序和连接。

组织经常在未经明确批准的情况下累积暴露系统。团队可能为临时工作开放远程访问服务，保留旧的管理界面，或连接原本为隔离使用而设计的设备。

AI 能帮助攻击者更高效地搜索这一环境。它可以组织侦察、将软件版本与已知弱点进行比对，并生成常见入侵技术的变体。

但它无法利用不可访问的接口，无法重复使用已被移除的凭据，也无法在实施有效分段的网络中自由横向移动。

这正是该警告背后的实践基础。强健的架构会限制攻击者从更快工具中获得的价值。

身份管理是另一项核心控制。组织往往关注账户是否使用强密码，却忽视该账户拥有多大的访问权限。

多因素认证增加了第二个验证步骤。最小权限原则则将用户、服务和软件代理的访问权限限制在完成任务所需的最低范围内。

随着企业部署具备代理能力的 AI，这些控制变得更加重要。AI 代理能够跨工具执行操作，而不只是为用户生成文本。

拥有广泛凭据的代理可能以机器速度犯错。被攻破的代理也可能让攻击者访问互联应用、存储数据和自动化工作流。

英国关于谨慎使用代理的指导建议使用临时凭据、限制范围、开展行为监控，并明确人工责任。

它还提出了一项实用的就绪性测试：如果组织无法理解、监控或控制代理的行为，该代理就尚未具备部署条件。

这并非反对自动化，而是主张让自主性与控制能力相匹配。

同样的规则也适用于防御性 AI。能够自动修改防火墙规则或禁用账户的系统，可能比人工团队更快地阻止攻击。

但如果其结论有误，它也可能中断合法业务。因此，基础设施运营商需要设置审批门槛、回滚流程、审计日志，以及停止自动化操作的明确机制。

速度本身并不等于韧性。韧性结合了快速检测、可控决策和可恢复的系统。

真正的较量是 AI 支出与安全维护之间的取舍

组织面临资源权衡：一边是显眼的 AI 项目，另一边是让数字服务保持可靠的、不那么显眼的工作。

AI 已成为预算磁石，因为领导者能够将其与增长、效率和竞争定位联系起来。安全维护通常则以成本、合规或技术债务的形式进入同一场讨论。

这种差异造成了扭曲的激励。一项新的 AI 试点可在数周内展示成果；替换不再受支持的基础设施则可能需要数年的采购、迁移、测试和流程重构。

五眼联盟的声明反对这种失衡。它将不受支持的系统认定为战略负债，而不只是等待未来升级的旧技术。

遗留系统会带来多种风险。供应商可能不再提供修复；文档可能不完整；了解特殊配置的员工也可能已经离职。

旧设备还可能依赖无法在当前平台运行的应用程序。因此，替换一个组件可能需要改变整条运营链路。

这解释了为何组织会推迟现代化改造。触碰脆弱生产系统的风险显得迫在眉睫，而未来攻击的风险则似乎不确定。

AI 辅助侦察改变了这一判断。攻击者可以更快搜索公开文档、识别常见配置，并扩大针对暴露目标的测试规模。

正确的应对方式并不是立即替换所有旧系统。组织需要一份按优先级排序的资产清单，将资产与关键服务关联起来。

资产清单记录支撑运营的硬件、软件、账户、依赖关系和外部连接。服务地图则更进一步，展示哪些组件必须协同运行才能交付某项结果。

这一差异在事件发生时至关重要。清单可以告诉响应人员某个数据库存在；服务地图则可以显示，当该数据库失效时，哪些医院功能、支付流程或客户门户会停止运作。

相关机构对业务连续性的强调，使映射成为管理层关切。领导者必须识别那些一旦中断就会造成安全、财务、法律或公共影响的服务。

随后，他们必须决定每项服务可以中断多久。他们还需要经过测试的恢复优先级、干净的备份、替代通信方式以及手动操作流程。

这类工作很难展示其价值。只有当普通组件发生故障，或攻击者使关键依赖失效时，它的重要性才会显现。

这种矛盾也延伸至公共政策领域。出于经济和国家安全考量，政府希望企业采用 AI；但政府同样依赖由私营机构运营的基础设施，而这些设施的所有者面临着并不均等的资源与激励。

大型银行和电信公司能够维持专业响应团队。农村医院、市政供水系统、学校和小型公用事业机构往往难以具备同等能力。

若一项韧性战略将所有运营方都视为同样有能力，就会留下可预见的缺口。AI 工具无法消除这些缺口背后的人员配置、采购和运营限制。

美国体现了这一冲突。CISA 代理局长 Nick Andersen 在 6 月表示，应将重大关键基础设施中断视为预期会发生的现实。

他的评论反映出一种更广泛的转变：从试图阻止每一起事件，转向在中断期间维持基本运营。这一标准比采购预防性控制措施更难达到。

与此同时，围绕 CISA 的人员配置及其与基础设施运营方关系的疑问仍在持续。Cybersecurity Dive 曾报道，政府重组和人员流失损害了一些公私合作伙伴关系。

国土安全部于 6 月提出 ANCHOR-CI，作为关键基础设施协作的替代框架。该框架支持行业、跨行业、产业和区域委员会。

其设计承认一个基本现实：电力、通信、金融、交通、医疗和供水系统彼此依赖。韧性不能仅在单一组织内部衡量。

一家公用事业机构即使恢复了网络，也可能因通信服务不可用而无法运营。一家医院即使能够维持发电机运行，也可能失去对药品供应商或云端托管患者系统的访问。

因此，AI 基础设施韧性所需的不只是安全模型。它还需要依赖关系映射、联合演练、受保护的信息共享，以及能够考虑级联故障的恢复计划。

私营联盟可以提供帮助。包括 JPMorgan Chase、Mastercard、AT&T 和 Berkshire Hathaway Energy 在内的主要运营方于 2026 年 2 月成立了关键基础设施联盟。

该组织寻求加强跨行业协调。它的存在也表明，现有政府机制可能未能跟上实际运营需求。

私营协调存在局限。企业不像公共机构那样拥有同等的情报、法律授权或国家使命。

这使得核心较量比政府与行业之间的对立更加复杂。真正的对手，是一种奖励可见采用、却推迟共同维护的资金文化。

五眼联盟的警告试图扭转这一优先级。AI 可以支持这项工作，但无法取而代之。

基础设施信息无法证明什么

这项警告确立了紧迫性，但并不能证明 AI 已经改变了现实世界网络攻击的每一个阶段。

政府机构常会在预测中最严重的能力尚未普及时发布指导意见。这是做好准备的一部分，但读者应区分已观察到的证据与前瞻性评估。

五眼联盟领导人表示，前沿模型预计将超出当前业界预期。他们并未发布一项通用基准，证明当前模型可以针对防御严密的生产环境执行完整的自主攻击。

英国的评估提供了更具体的证据。其中最强的模型完成的攻击步骤数量，接近 18 个月前接受测试的最佳模型的六倍。

然而，基准表现取决于任务设计、工具访问权限、时间限制、评估环境和成功标准。受控网络靶场无法复现真实公用事业或企业网络中的每一种复杂情况。

模型也可能生成错误命令、误读系统响应，或陷入无效循环。在许多高级应用中，人类操作员仍负责提供目标、上下文、访问权限和判断。

这种不确定性不应成为无所作为的借口。安全团队通常会在攻击者大规模部署某些合理可能的能力之前，就为其做好准备。

它应当影响投资选择。引人注目的预测并不能成为放弃有效控制措施、转而采用实验性自动化的理由。

防御性 AI 也引入了自身的攻击面。模型可能接收不受信任的内容、连接敏感工具，并基于被操纵的输入采取行动。

提示词注入是指隐藏在内容中的恶意指令影响 AI 系统行为的情况。处理电子邮件、网页、文档或支持工单的智能体，可能在日常工作中遇到此类内容。

如果该智能体拥有广泛权限，模型层面的故障就可能演变为基础设施事件。最小权限和隔离可限制其后果。

数据质量带来了另一项限制。AI 安全系统依赖日志、资产清单、告警和历史记录。

如果传感器遗漏了重要活动，模型就无法可靠识别异常行为。如果资产清单错误地将某个易受攻击的资产标记为已退役，它也无法为该资产确定优先级。

这正是前沿模型分析所说的：AI 会同时放大优势与弱点。更好的自动化可以加速成熟的计划，而不可靠的数据则会将混乱自动化。

防御者还面临验证问题。模型可能为错误结论给出极具说服力的解释。

安全团队需要为高影响力决策提供可复现的证据。他们应保留支持自动化建议的底层事件、命令、受影响资产和访问记录。

人工审查仍然重要，但仅仅在每个工作流程末端安排一名人员并不够。审查者需要时间、权限、系统上下文，以及拒绝自动化操作的明确标准。

因此，怀疑论者该问的并不是 AI 是否帮助攻击者或防御者。证据已经支持这两种用途。

更好的问题是，组织能否在不向本已脆弱的环境增加易碎依赖的前提下治理 AI。

这个问题也对供应商提出了挑战。“AI 驱动”并不能说明产品从何处获取数据、能够变更什么、如何失效，或客户能否恢复先前配置。

采购方应要求明确技术边界。他们需要了解产品依赖哪些模型和服务、数据流向何处，以及外部提供商不可用时会发生什么。

他们应询问操作是否始终可见且可逆。他们还应测试产品在输入不完整、延迟、相互矛盾或蓄意恶意时的表现。

这些要求可能会减缓部署速度，但也能区分有用的防御性自动化与 AI 表演。

Google News 的新闻标题周期会继续强调更快的模型和不断扩展的能力。基础设施团队必须按照不同的节奏运营。

他们需要可重复的证据，证明控制措施能在事件发生期间发挥作用。一次模型发布公告无法提供这种保障。

韧性始于遏制与恢复

面对更快的攻击，最有力的应对是构建能够限制横向移动、保留关键功能，并按既定顺序恢复服务的环境。

预防仍然必要。组织仍应关闭暴露的服务、移除不受支持的软件、修复可被利用的漏洞，并阻止被盗凭据。

韧性模型以部分预防性控制措施将会失效为前提。随后，它会追问攻击者能够移动多远，以及哪些服务仍可用。

网络分段将系统划分为受控区域。它可以阻止一台遭入侵的办公笔记本电脑直接与工业控制器或敏感数据库通信。

只有当组织对网络分段进行测试时，它才会有效。被遗忘的防火墙规则、共享管理账户和供应商连接，可能悄然重新建立架构图声称已阻断的路径。

身份分段同样重要。管理账户不应处理日常电子邮件、浏览或文档工作。

服务账户需要权限范围明确且尽可能狭窄、凭据有效期尽可能短，并针对异常行为进行监控。AI 智能体也应遵循同样的限制。

备份仍是核心恢复控制措施，但拥有备份文件并不等同于能够恢复服务。组织必须在现实条件下测试恢复能力。

这包括确认备份与生产凭据隔离。还需要衡量数据恢复、系统重建、验证和运营批准所需的时间。

恢复目标应反映服务后果。客户分析仪表盘可以比紧急调度系统离线更久。

团队需要在危机发生前确定这些优先级。否则，声音最大的利益相关者或最显眼的服务器可能耗尽有限的恢复能力。

事件演练能够暴露这些冲突。桌面推演会向领导者呈现模拟中断，迫使他们根据现有计划作出决策。

技术恢复演练则更进一步。团队重建系统、轮换凭据、恢复数据，并验证依赖应用能否正确重新连接。

五眼联盟机构敦促领导者确信控制措施能在压力下发挥作用。这一表述将标准从书面意图转向了观察到的行为。

如果紧急账户可以绕过多因素认证，那么一项声称关键账户使用多因素认证的政策价值有限。如果无法在非工作时间联系供应商，响应计划的价值同样有限。

这一重点也能改善 AI 的采用。拥有明确访问边界、可靠资产清单和经过测试的回滚机制的组织，能够更安全地引入自动化。

他们可以将智能体限制在特定环境中，观察其操作，并撤销变更。他们还可以评估它是否在不增加运营风险的情况下提升响应速度。

英国的 Cyber Shield 计划体现了这种双重方法。该计划旨在发展国家级智能体网络防御，同时继续优先推进修补漏洞、减少遗留系统和安全设计技术。

其机器速度防御愿景承认，人类判断在复杂环境中仍然必要。它还指出，尚未观察到完全自主的攻击贯穿整个真实世界入侵生命周期。

这种结合比任何一种极端都更有用。政府不必因为自主性仍不完整就否定 AI。

它们也不必将 AI 视为既有工程实践的替代品。务实的策略是在速度至关重要的地方实现自动化，并在错误代价高昂的地方约束自动化。

对开发者而言，这意味着构建可观测且可逆的系统。应用程序应记录有意义的安全事件，并公开运营人员能够解读的健康信息。

软件应支持安全默认设置、最小权限、快速更新和可预测的恢复。这些特质有助于所有客户，包括那些没有庞大安全团队的客户。

对企业采购方而言，问题从功能数量转向服务行为。产品能否在提供商中断期间运行？管理员能否导出关键数据和配置？

团队能否识别每一项外部依赖？他们能否无需等待供应商便撤销访问权限？

对知识工作者而言，基础设施韧性似乎遥远，直到某项熟悉的服务突然消失。身份验证失败、文档无法访问、支付受阻以及沟通延迟，会迅速将技术弱点转化为运营问题。

良好的个人信息管理习惯无法修复企业网络，却能减少个人受到的干扰。

将关键联系人、决策和工作背景整理到可搜索的个人知识库中，可以帮助员工在常规渠道变得零散时恢复工作的连续性。

更广泛的教训仍然属于组织层面。关键知识、访问权限和运营流程不应依赖于某一个人、某一个账户或某一个不可用的平台。

韧性，就是在事故暴露这些集中风险之前，先识别它们。

三个信号将显示这一警告是否会改变行为

接下来的考验在于，政府和运营方是否会将“五眼联盟”声明转化为有资金支持的控制措施、可衡量的恢复能力，以及可追责的 AI 部署。

第一个信号来自国家网络安全机构发布的实施指南。五眼联盟声明确立了原则，但运营方需要针对具体行业的要求和可用的衡量标准。

CISA 对联邦 AI 安全指令的落实尤为重要。该机构已讨论过漏洞管理、AI 赋能的防御工具，以及对州和地方机构的支持。

值得关注的是，新指南是否会规定补丁修复期限、资产覆盖范围、身份要求或恢复测试。具体措施将加强“基础设施优先”的解读。

缺乏期限、资金或验证机制的笼统鼓励，则会削弱这一解读。各组织早已知道，补丁管理和事件准备十分重要。

第二个信号是来自现实世界 AI 网络行动的证据。政府实验室和独立研究人员应继续发布评估，以区分辅助能力与自主能力。

有价值的报道将展示模型能够完成哪些攻击阶段、成功率如何、需要哪些工具，以及在哪些环节仍必须由人工介入。

同样的透明度也应适用于防御。机构和供应商应披露，AI 是否缩短了调查时间、提升了漏洞优先级排序，或能在不产生不可接受的误报的情况下遏制事件。

更可靠的证据将为有针对性的自动化提供依据。模糊的能力宣称则会加剧人们对 AI 投入超过运营验证的担忧。

第三个信号是关键基础设施运营方在韧性方面的投资。公告的重要性不如经过测试的结果。

董事会应询问：有多少关键服务拥有最新的依赖关系图、经过演练的恢复计划、隔离备份，以及已验证的恢复时间。他们还应跟踪不再受支持的系统和逾期未修复的高风险补丁。

政府也必须解决能力不均的问题。小型公用事业机构和医疗服务提供者若无法获得易于获取的专业支持、资金和可信的信息共享机制，就难以满足国家层面的预期。

拟议中的 ANCHOR-CI 框架为公私协作提供了一项检验。其区域和跨行业委员会应促成可执行的合作关系，而不只是新增会议架构。

成功意味着运营方能够共享敏感风险信息、演练级联中断，并且知道紧急情况下该联系谁。持续的不信任或参与有限，将削弱更广泛的韧性计划。

Google News 的周期会迅速转向下一个 AI 模型、安全演示或引人注目的预测。基础设施工作则通过资产清单、维护窗口、采购决策、演练和反复验证来推进。

这种较慢的节奏并不意味着它不那么紧迫。恰恰解释了为何五眼联盟领导人选择在此时介入。

各组织应将这一警告作为决策筛选标准。在新增另一项 AI 安全功能之前，领导者应明确它所保护的关键服务，以及它所降低的故障风险。

他们应询问：当模型、网络、身份提供商或云服务不可用时会发生什么。他们还应要求提供证据，证明系统能够在可接受的时间内恢复。

五眼联盟的立场并非要求组织在 AI 与网络安全之间二选一。它要求组织停止将采用 AI 与网络安全进步混为一谈。

这一区别将决定，更快的防御工具究竟会强化关键服务，还是仅仅叠加在尚未解决的弱点之上。

当下一条 Google News 头条又承诺 AI 能力实现新的飞跃时，更有用的问题或许不那么光鲜：你的组织能否承受一次严重冲击、控制住局面，并让最重要的工作持续推进？