NCSC AI 勒索软件警告将关键基础设施置于 2028 倒计时

NCSC 于 2026 年 11 月 3 日警告称，到 2028 年，由 AI 驱动的恶意软件极有可能出现在针对英国关键基础设施的勒索软件攻击中。NCSC 关于 AI 勒索软件的警告涉及的是预测，而非新披露的基础设施泄露事件。其直接含义是，攻击者将获得更高效利用既有安全弱点的能力。

勒索软件是一种通过业务中断或窃取数据勒索受害者的恶意软件，早已让恢复决策变得棘手。AI 通过帮助攻击者更快完成辅助任务，进一步加大了压力。核心矛盾在于不断加速的犯罪工作流，与技术升级、维护审批和恢复计划推进较慢的组织之间的对抗。

Microsoft 发布的观察结果提供了一个有用参照：攻击者已使用 AI 支持既有行动，并出现了更自主活动的初步迹象。因此，基础设施所有者在面对未来主义问题之前，首先需要回答一个现实问题：他们能否在攻击者将生产率提升转化为更频繁的运营中断之前，修复已知弱点并遏制入侵？

NCSC AI 勒索软件警告究竟说了什么

该公告为基础设施运营者确立了规划时间范围，但未指明特定的未来受害者或攻击活动。

隶属于 GCHQ 的国家网络安全中心（National Cyber Security Centre，NCSC）在发布《国家网络安全态势》报告的同时发出了这一警告。其关键基础设施警告指出，到 2028 年，涉及 AI 驱动恶意软件的勒索软件极有可能出现。首席执行官 Richard Horne 还敦促那些推迟基础安全投入的组织采取行动。

这一时间节点至关重要，因为基础设施投资要经过预算、合同、工程评审和维护计划。处于这一时间范围内的预测，使管理团队有理由重新审视已在这些流程中推进的决策。等待公开确认的攻击发生，只会留下更少的调整时间。

该公告也需要谨慎解读。“AI 驱动的恶意软件”并不描述某一种单一能力、产品或独立程度。攻击者可能在开发恶意软件时使用 AI，也可能让软件在行动过程中调用 AI 系统。这些可能性会带来不同的调查和防御问题。

这一公开警告并未证明每个勒索软件团伙都具备其中任一能力，也未表明 AI 已成为成功攻击基础设施的必要条件。相关变化在于，该机构预计 AI 将在其所述时间范围内成为此类威胁的一部分。

对于董事会而言，这一区别改变了投资讨论的方向。问题变成：随着攻击者获得更多辅助，现有防御是否仍然足够。组织无需先证明 AI 导致了最近一次可疑登录，才去审查暴露的服务或逾期未完成的升级。

这一期限不应成为将工作拖延到 2028 年的借口。预测描述的是预期情形，而投资决策决定了这些情形到来之前的准备程度。如今选择技术的采购团队，在预测期结束时可能仍在支持这些系统。

国家级警告与本地暴露情况之间也存在差异。一个组织的脆弱性取决于其系统、访问安排、依赖关系和恢复能力。该公告无法取代这种评估，但为管理层提出这一具体要求提供了明确理由。

因此，NCSC 关于 AI 勒索软件的警告应被视为对现有规划假设的挑战。它的重要性取决于组织如何回应这一可信预测，而非将该预测当作事故报告。下一个问题是，更快的攻击者工作流会在哪些方面带来最大的运营压力。

关键基础设施面临维护速度难题

当安全改进需要协调，而攻击者无需如此时，基础设施运营者便会面临时间错配。

关键国家基础设施是指对一个国家正常运转不可或缺的系统和服务。在这些环境中，安全变更可能影响设备可用性、供应商支持和运营安全。这使得更新或隔离系统的决定，比安装常规桌面补丁复杂得多。

复杂性并不会免除管理暴露风险的责任，只会改变必须参与决策的人。安全团队可能发现弱点，但运营负责人掌控维护窗口，供应商掌控受支持的配置。管理层必须解决由此产生的权衡。

设想一家公用事业机构正在评估存在漏洞的远程维护服务。禁用访问可能中断承包商的工作，升级则可能需要测试。保持其暴露状态能维持便利性，却延长了攻击者尝试进入的时间。

这个例子是说明性的假设情景，并非已披露的事件。它说明了即使没有独立的 AI 控制，攻击者生产率为何仍然重要。能够减少研究或排障工作量的辅助，会加大本就难以协调修复工作的组织所承受的压力。

NCSC 早前的 AI 威胁评估预计，能够跟上 AI 赋能威胁的系统与落后的系统之间将出现分化。该评估还警告称，在安全控制不足的情况下，增加 AI 系统会为攻击者创造更多机会。新公告为基础设施运营者在本地审视这一分化提供了又一个理由。

运营问题不止关乎设备的新旧程度。一套访问受限且具备经过测试的恢复路径的旧系统，与一套不必要地暴露在外的系统，面临的风险不同。较新的平台也可能因权限过大或连接关系不清晰而产生问题。

这使得责任归属成为核心问题。必须有人知道谁可以访问某项服务、谁批准变更，以及谁有权批准紧急隔离。当这些职责仍不明确时，技术发现可能被反复传递，却无法促成决策。

供应商也应参与同一场讨论。运营者需要了解维护依赖是否妨碍及时修复，以及有哪些替代方案。否则，一项被接受的例外可能悄然变成永久性的运营状态。

对于企业采购方而言，这一警告强化了在评估功能之外评估可维护性的理由。系统的安全性部分取决于其所有者能否更新、监控并在困难条件下恢复它。这些能力应在合同形成长期依赖之前获得重视。

压力最可能落在暴露风险未解决且决策缓慢的组织身上。AI 不会消除令基础设施维护困难的工程约束，但它会提高让这些约束无限期成为不作为理由的代价。

更快的犯罪工作流可能超越熟悉的防御措施

近期的担忧在于，即使人类仍在指挥行动，AI 在整个攻击过程中的累积辅助作用也会不断增强。

NCSC 的 AI 威胁判断强调，AI 会在既有方法中提升速度、规模和效率。其指出，侦察、社会工程、漏洞发现和漏洞利用开发等领域正在获得辅助。该评估也表示，熟练的人类操作员仍是指挥和验证输出的关键。

侦察是指在尝试访问前收集有关目标的信息。社会工程是指操纵他人采取有助于攻击者的行动。漏洞发现用于识别安全弱点，而漏洞利用开发则将弱点转化为可用的入侵方法。

这些任务之所以重要，是因为入侵不止涉及最终的恶意程序。攻击者必须选择目标、了解其环境、获得访问权限，并决定下一步行动。多个阶段的辅助可以改变整个行动所需的工作量。

这一影响不需要完美输出。熟练的操作员可以拒绝错误建议、修改请求，或只使用答案的一部分。这种人工审查限制了部分自动化收益，但也使不完美的辅助依然可用。

Microsoft 在 2026 年 3 月发布的 AI 攻击技术研究描述了攻击者如何在整个工作流中应用 AI。其中包括 Emerald Sleet 利用语言模型研究公开披露的漏洞。Microsoft 还报告了更具代理性使用方式的早期信号，即系统通过一连串行动来推进任务。

这些观察支持的结论比“普遍存在自主黑客攻击”的说法更为有限。它们表明 AI 能够辅助攻击者完成本已在执行的工作，但并未证明每个团伙、目标或技术任务都能获得同等的生产率提升。

Microsoft 和 OpenAI 也展示了 AI 市场中的一种防御性对照。提供商可以调查其服务遭滥用的情况，并限制已识别的账户。然而，无论攻击者选择何种模型或服务，基础设施运营者都必须保护自身环境。

这会产生不同的成功衡量标准。提供商或许能成功中断一个滥用账户，却无法消除其背后的操作人员。基础设施所有者或许能成功阻止一次入侵，却不知道 AI 是否帮助了攻击准备工作。

对于防御者而言，这意味着不应将 AI 归因作为采取行动的前提。当准备方法尚不明确时，可疑访问尝试仍需调查。当调查人员无法识别攻击者的工具时，暴露的弱点仍需要明确责任人。

经济层面的含义是分析，而非本公告得出的测量结果。如果辅助降低了每次尝试所需的工作量，一些攻击者便可将节省的精力投入其他方面。他们会攻击更多组织，还是集中针对难以攻克的受害者，仍是一个需要实证回答的问题。

这正是主要竞争围绕攻击者吞吐能力与防御响应能力展开的原因。AI 辅助活动可能对熟悉的控制措施提出额外要求。防御者需要证明这些控制措施能在压力下发挥作用，而非因攻击仍需人类参与便感到安心。

恢复能力决定入侵扩散范围

即使预防措施失效，组织遏制损害并恢复服务的能力仍然重要。

NCSC 关于 AI 勒索软件的警告凸显了阻止进入与限制后果之间的实际区别。预防关注攻击者是否获得访问权限。韧性关注的是，一旦该访问发生，组织能否继续开展关键工作、遏制中断并实现恢复。

美国相关机构联合发布的勒索软件恢复指南建议采用离线、加密备份，并定期进行恢复测试。指南还建议将业务网络与运营技术网络隔离，后者是监控或控制实体设备的系统。这些措施针对的是无需识别 AI 是否参与也会存在的后果。

网络分段是指限制环境中不同部分之间的连接。其价值取决于实际存在的连接，包括例外情况和供应商访问权限。描述隔离状态的图示，远不如未经授权的横向移动被阻断的证据可靠。

备份同样需要接受严格审视。成功的复制过程只能回答数据是否已写入存储。恢复演练则回答：在发生中断时，组织能否依靠可用的人员、凭据、软件和设备恢复有用的服务。

这些问题可能导向不同结论。一个组织或许保存了文件，却没有一套可行的顺序来重启相互依赖的服务。它也可能发现，恢复所需人员依赖于演练期间无法使用的通信渠道。

对于基础设施领导者而言，分析的有用单位是关键服务。服务器可以成功重启，但业务流程仍可能不可用。因此，恢复规划应将技术步骤与其应当恢复的运营能力联系起来。

这为 AI 安全产品带来了更有意义的采购测试。买方应询问，拟议工具会给其环境带来什么改变，以及将如何证明这种改变。关于更快分析的说法，需要与可观察到的决策或遏制结果建立联系。

评估可以考察分析师是否更早识别出可疑活动序列，或获批准的响应是否能以更少延迟完成。这些是拟议的评估问题，而不是 NCSC 公告已经确立的结果。它们让讨论始终围绕运营证据展开。

同样的推理也适用于文档。工程师需要在可搜索的位置获取最新的依赖关系、负责人和恢复决策。可搜索的知识库可以支持这类准备工作，前提是组织能在服务中断期间保留访问权限。

文档本身并不保证能够恢复。其效用取决于准确性、可用性，以及预期执行行动的人员是否进行过演练。无人能够检索或执行的事件响应计划，提供的保护十分有限。

对预算的影响很直接：检测、遏制和恢复需要共享同一个运营目标。为另一种告警来源提供资金，并不会自动改善服务连续性。管理层需要了解，拟议投资解决的是哪一种故障，以及组织将如何测试结果。

这项预测留下了重要的证据缺口

这项公开评估支持做好准备，但尚未厘清 AI 在运营层面的优势规模。

NCSC 的 AI 勒索软件警告并未对其他条件完全相同、分别使用和不使用 AI 的攻击进行受控比较。它也没有为勒索软件团伙设定统一的生产率提升幅度。读者应避免将可能性判断变成缺乏支持的性能统计数据。

该机构对自主攻击的单独讨论承认，防御性 AI 是否能够充分应对不断演变的威胁仍存在不确定性。这对“购买 AI 工具即可自动恢复平衡”的说法构成重要限制。相对优势需要证据支撑。

公开报告还面临归因问题。调查人员或许能够确认攻击者如何进入系统，以及此后发生了什么，却未必知道攻击者是如何准备的。AI 辅助可能始终不在可见证据之中，尤其是在受害者遭入侵之前发生时。

反向问题同样重要。在某次行动中发现了 AI 使用，并不能证明它决定了结果。报告需要区分：AI 是一种辅助便利，还是实质性改变了访问能力、速度或影响的能力。

一份有用的披露应说明 AI 执行了什么任务、需要哪些人工干预，以及将这种辅助与行动关联起来的证据是什么。缺少这些细节时，“AI 驱动”可能会把实质上截然不同的活动归为一类。这会削弱不同事件之间的比较。

这里还存在分母问题。一组成功攻击无法揭示有多少尝试失败，或 AI 辅助多久会产生无法使用的结果。这是一项分析局限，而非该警告有误的证据。

供应商的发现同样需要谨慎对待。一家公司的观察结果可以记录通过其产品和调查可见的滥用行为，但并不能自动描述所有服务、私有部署或犯罪工作流中的活动。

NCSC 对熟练操作者的强调，为这一叙事带来另一项限制。如果经验丰富的攻击者获益最大，生产率提升可能仍然并不均衡。声称任何人都能立即发动复杂的基础设施攻击，超出了这里呈现的证据范围。

防御性比较也需要现实条件。实验室结果或许衡量了一种有用能力，却未能反映人员短缺、记录不完整或响应行动限制。买方需要知道，要使某项结果成立，仍须满足哪些假设。

这些不确定性应塑造投资纪律，而非导致瘫痪。组织无需计算 AI 对未来攻击的确切贡献，也可以解决暴露的服务问题。在接受新产品能够解决更广泛问题的说法前，它们也可以要求提供证据。

最有力的解读应同时兼顾这两点。威胁评估提供了针对已知暴露采取行动的理由；其证据局限则提供了审视有关攻击者自主性或自动化防御的宽泛主张的理由。

三项信号将表明防御者是否跟得上节奏

下一轮报告应将 AI 能力主张与事件、修复和已验证的服务恢复联系起来。

第一个信号是技术细节充分的事件披露，它应将 AI 辅助准备与 AI 指导的行动区分开来。这类报告应明确调查人员观察到了什么，以及哪些内容仍属推断。攻击者“使用了 AI”的笼统说法，带来的清晰度较低。

证明辅助行为实质性加快了某项已记录行动的证据，将强化需要压缩防御响应时间的理由。大量修正和反复失败的证据，则会收窄关于自主性的主张。无论哪种结果，都会比又一次未加区分的警告更有助于规划。

这种区分也适用于组织内部的事件报告。安全团队应保留其已知的访问与影响信息，而不应以猜测填补空白。准确表达不确定性，比早期贴上一个日后难以修正的标签，更能为后续调查人员奠定基础。

第二个信号是基础设施运营方是否将警告转化为更短的未解决暴露期。相关证据包括关闭已识别的访问路径、解决逾期例外事项，以及明确供应商责任。这些是拟议的响应衡量标准，而非公告已经确立的改进。

一份新的战略文件能够表明意图，已证明的修复才能表明运营状况发生了变化。区别之所以重要，是因为攻击者面对的是已部署的环境，包括其中的例外情况，而不是组织预期的架构。

对于未来几个月审查进展的领导者来说，一份有用的报告应说明哪些问题仍处于暴露状态，以及原因何在。它应指出解决每项实质性障碍所需的决策。这会让警告成为管理输入，而不仅是另一条意识提升信息。

第三个信号是在现实约束下得到验证的遏制与恢复。组织及其供应商应能够说明一次测试恢复了什么、哪些环节失败，以及哪些依赖关系拖慢了进展。产品演示本身无法为特定环境回答这些问题。

更早实现遏制或成功恢复的证据，将增强人们对投资正在带来有用韧性的信心。反复难以将告警转化为行动，则会削弱“仅靠增加分析就足够”的主张。相关结果是组织保护关键服务的能力。

这些信号也提供了一种有纪律的方法，用于评估新的公告。一项能力发布的重要性，在于它是否改变了防御者或攻击者能够完成的任务。一项政策倡议的重要性，在于它是否改变了问责、实施或可供审查的证据。

没有任何单一信号能够终结整个讨论。事件披露揭示特定行动，而修复和恢复结果揭示特定环境。然而，它们结合起来，可以用更清晰的说明取代模糊主张，展现优势正向何处转移。

利用 NCSC 的 AI 勒索软件警告，与负责一项关键服务的人员开展具体审查。询问哪项未解决的弱点造成了最大的暴露，以及谁有权批准消除它。审视最近一次恢复演练，寻找运营已恢复的证据，包括拖慢恢复进程的依赖关系。将对攻击者能力的不确定性，与对自身准备情况的不确定性分开看待。前者需要持续调查；后者通常有明确的负责人和可测试的答案。在下一次预算或供应商审查之前，将这些答案汇集起来，并决定组织再也无法为哪一种延迟辩解。