NSA 的 AI 安全手册瞄准先进模型窃取

尽管公众究竟能看到其多少指导内容仍存在疑问，美国国家安全局已获得了更明确的 AI 安全使命。这一进展通过 Google News 对联邦 AI 安全手册的报道浮出水面，但其真正意义远不止于标题本身。

国会正将 AI 安全从一系列自愿性建议，转变为明确的国家安全责任。NSA 的人工智能安全中心如今获得法定指引，负责制定防范国家级对手窃取技术的指导方针。

这一转变使联邦政府与私营 AI 开发商站在同一场令人不安的较量中。开发商希望迅速构建和分发先进模型，而安全机构则希望限制外国情报机构、内部人员和网络犯罪分子窃取这些系统的机会。

这场冲突已不再局限于有害的模型输出，还涉及使先进 AI 系统具备价值的基础设施、凭证、训练数据、源代码和模型权重。模型权重是决定训练完成后的模型如何行为的学习型数值参数。

这份联邦手册之所以重要，是因为这些资产大多位于私营企业内部。NSA 拥有情报和网络安全能力，但仅靠指导方针无法保护商业实验室。

由此浮现的是有益协作与可执行保护之间的权衡。华盛顿希望企业分享足够的信息，以建立可信的防御体系；而这些企业同样有理由限制对最敏感技术细节的访问。

联邦 AI 安全手册究竟改变了什么

真正重要的改变不是新增一份安全检查清单，而是围绕保护美国先进 AI 免遭窃取，赋予了一项国家安全使命。

这项政策始于参议员 Todd Young 和 Mark Kelly 提出的两党立法。其拟议的 AI 安全手册将指示 NSA 通过人工智能安全中心制定应对外国窃取和网络攻击的策略。

该提案聚焦于若干相互关联的目标，包括先进数据中心、AI 开发商、供应链、模型权重和计算环境；同时还要求分析内部威胁和反情报风险。

这一范围使该倡议区别于常规企业网络安全指导。被盗的员工密码依然危险，但针对 AI 实验室的攻击者可能觊觎规模大得多的战略资产。

一个遭入侵的账户可能泄露源代码、实验记录、评估结果，或计算集群的访问密钥；它也可能成为获取模型权重的途径，而这些权重凝聚了在芯片、能源、数据和研究上的重大投入。

最初的安全法案设想与 AI 开发商、研究人员、国家实验室及多个联邦机构开展合作。点名的合作方包括国土安全部、国防部和商务部。

国会随后将这一更广泛的使命写入 2026 财年《情报授权法》。该法律指示 NSA AI 安全中心制定指导方针，保护 AI 技术免遭国家级对手窃取。

已通过的条文还允许与政府机构、研究人员和私营企业开展自愿合作。“自愿”一词既定义了该手册在实践中的吸引力，也构成了其核心弱点。

参与合作可帮助 NSA 获得最新的技术洞见，而无需建立繁重的合规流程；但这也意味着安全覆盖取决于哪些企业愿意合作、披露什么信息，以及它们对最终指导方针的执行是否一致。

因此，公众应区分三份相关的文件和倡议。

CISA 的 AI 网络安全协作手册，侧重于围绕 AI 事件和漏洞进行自愿信息共享。NIST 的 AI 风险管理框架手册提供了管理更广泛可信赖性风险的行动方案。NSA 的倡议则更直接地聚焦于战略技术保护和国家级威胁。

这些工作彼此重叠，但不能相互替代。NIST 提供风险管理的语言体系；CISA 组织运营层面的协作；NSA 则为保护具有战略重要性的 AI 技术带来情报和反情报专业能力。

Google News 的一条搜索结果可能会将这些区别压缩成一个颇具吸引力的短语。联邦机构和承包商需要理解，哪一份手册对应哪一种问题。

NSA 的使命尤其重要，因为它将先进模型视为间谍活动的目标。这一框架将威胁模型从防止不良输出，转变为保卫一套高价值技术系统。

它也扩大了责任团队的范围。模型开发人员不能将这一问题完全交给可信与安全专家。安全工程、基础设施、身份管理、法务、采购和高管领导层，都将成为防御体系的一部分。

Google News 为何此时聚焦 AI 安全

联邦 AI 安全正获得关注，是因为部署速度已快于保护它所需运行规则的完善速度。

联邦机构正将生成式 AI 从孤立的演示项目扩展出去，并把模型接入内部文档、任务数据、软件工具和员工工作流。

每一项连接都会创造实际价值，也会扩大可能成为攻击路径一部分的身份、应用程序、数据存储和供应商数量。

仅用于起草公开文本的 AI 助手，面临的是一种风险状况；能够检索受限文档、调用应用程序编程接口并修改记录的智能体，则面临另一种风险状况。

应用程序编程接口，即 API，是让软件交换数据或请求操作的预定义连接。当 AI 智能体获得 API 凭证时，它可能继承传统聊天机器人从未拥有过的权限。

这就是为什么安全讨论已超越模型行为。机构必须保护周边系统，包括检索管道、插件、日志、身份服务、云基础设施和人工审批流程。

这一时机也反映出人们对前沿模型战略价值的日益担忧。外国对手如果能够窃取有价值的技术成果，就不必重现每一项研究支出。

模型权重受到大量关注，因为它们可能代表训练工作的累积成果。然而，权重只是攻击目标的一部分。

攻击者可能觊觎训练数据、系统提示词、强化学习方法、评估集、芯片配置、部署代码和内部研究讨论。他们也可能入侵某个供应商，因为该供应商的访问权限可提供一条更隐蔽的路径进入主要开发商。

拟议的手册文本反映了这种更广泛的担忧。它涵盖 AI 供应链、计算环境、内部风险、网络控制和反间谍措施。

这一更宽泛的范围给联邦采购方带来压力。采购团队不能再仅通过一般云控制措施和供应商声明来评估一项 AI 服务。

他们需要询问模型运行在哪里、谁能访问管理系统，以及提供商如何保护凭证；还需要获得证据，说明供应商如何检测对敏感工件的异常访问。

持续监控变得尤为重要。部署前进行的安全审查无法覆盖之后每一次模型更新、连接器变更、权限调整，或新发现的攻击技术。

联邦官员越来越强调这一点。静态授权仍然有用，但它无法说明系统发生变化后，控制措施是否仍在持续有效。

这一观察同样适用于政府以外的场景。采用智能体的企业也会面临许多相同的身份、数据和监控问题，即使间谍活动并非其首要关切。

一项务实的第一步，是维护获批 AI 系统、其负责人及其数据访问权限的可靠清单。组织还需要将政策决策与真实的运营证据关联起来的记录。

这些证据可包括访问日志、模型版本、评估、事件报告和审批历史。可搜索的知识库可帮助团队保留这些背景信息，尽管它不能替代正式的安全控制措施。

Google News 的关注反映出受众范围正在扩大。AI 安全已不再是仅限于研究实验室的专业辩论，它如今影响采购官员、政府高管、承包商、云服务提供商和使用获批工具的员工。

这篇报道出现的时点表明，采用与安全已无法作为彼此独立的项目推进。每一次新的 AI 部署都会改变防御人员必须理解的环境。

核心较量在于自愿合作与可验证安全之间

联邦战略依赖私营部门合作，但国家安全官员需要证据证明保护措施能在真实攻击条件下发挥作用。

NSA 可以提供威胁情报、技术专长以及对对手行为的全国性视角。私营 AI 公司则控制着该指导方针旨在保护的大多数系统、人员和专有信息。

任何一方都无法独自解决问题。政府对商业实验室缺乏直接运营控制；开发商则缺乏联邦安全机构所拥有的情报覆盖范围和公共授权。

自愿协作为双方提供了一个可行的起点。企业可通过受控渠道分享敏感信息，而 NSA 则可围绕已观察到的威胁量身制定指导方针。

这也降低了僵化强制要求迅速过时的风险。AI 基础设施变化很快，攻击者也会适应新的防御措施。

但自愿性指导会造成执行不均。一家开发商可能定期进行对抗性测试，并严格限制模型权重访问；另一家则可能以要求较低的内部标准解读同一份指导方针。

即使是强有力的书面政策，也可能在日常运营中失效。工程师需要紧急访问权限，承包商加入项目，凭证不断累积权限，实验系统在安全团队完成审查前就成为生产依赖项。

因此，最有用的手册应界定组织可以验证的结果，而不应为每一家开发商规定单一产品或架构。

在身份管理方面，结果可能要求每个人类和自动化智能体都拥有独立、可归属的身份。共享凭证会使确定谁执行了敏感操作变得更困难。

在访问控制方面，结果可能将模型权重权限限制在一小群具有已记录业务需求的人员手中；也可能要求在导出或传输前进行额外授权。

在监控方面，组织需要针对异常下载、权限变更以及来自非预期系统的访问发出警报。日志必须保留足够长的时间，以便重建一次入侵过程。

对于内部威胁，相关防护措施不应止于背景调查。团队还需要职责分离、快速离职处置、在法律允许范围内开展行为监测，以及对特权活动进行审查。

在供应链方面，公司必须了解哪些供应商能够接触重要环境。这包括云服务提供商、数据供应商、评估服务、软件仓库和设备维护合作伙伴。

NIST 的安全开发概要已将软件开发实践调整用于生成式 AI 和双重用途基础模型。它涵盖模型生产方、系统开发者以及采购 AI 系统的组织。

NSA 的行动手册可通过将这些开发实践与国家级行动相关的情报相连接而创造价值。这种连接至关重要，因为常规漏洞管理无法覆盖所有间谍活动场景。

技术上安全的模型，仍可能因员工设备被入侵而暴露。经过加固的数据中心，仍可能依赖拥有过多远程访问权限的供应商。

即使受到良好保护的代码仓库，也可能在 AI 编程助手接收到用户无权披露的材料时泄露机密。这些是系统层面的失败，而非孤立的模型失败。

这也是联邦采购可能成为一种执行机制的领域。总体而言，指导意见或许是自愿性的；但合同要求可使寻求承接敏感政府项目的供应商必须实施特定控制措施。

这一路径有着熟悉的历史。联邦安全预期常常从指导意见进入采购条款、授权要求和标准合同证据要求。

不过，采购也可能鼓励文书工作而非安全本身。供应商可能会优化产出满足审查人员要求的文件，却不验证控制措施能否阻止真实攻击。

因此，核心较量并非监管与创新之间的对立，而是未经验证的保证与经证明的防御之间的较量。

可信的联邦行动手册需要演练、可衡量的结果和报告失败情况的机制。否则，它可能沦为企业完成政策审查后援引的又一份文件。

联邦计划仍未证明什么

联邦政府要求制定指导意见，并不能证明实验室能够阻止窃取、发现内部人员威胁，或在事件发生期间有效协调。

第一个不确定性涉及可见性。一些最有价值的情报评估和防御方法将带有国家安全敏感性。

这会在机密细节与公开指导之间形成可预见的分野。机密材料或许能帮助获得安全许可的组织，而较小的开发商和供应商则获得较为宽泛的建议。

公开指导仍然可能有价值。然而，它的实用性取决于其是否足够具体，能够改变工程和采购决策。

诸如“保护模型权重”这样的表述指出了目标，却没有告诉安全团队应如何处理分布式训练、备份副本、临时凭据或跨多个云区域的访问。

第二个不确定性是采用程度。自愿参与让有能力的开发商无需等待监管即可参与，但不能保证覆盖范围的一致性。

各公司也可能对哪些系统足够先进或具有足够战略重要性存在分歧。仅与训练规模挂钩的安全门槛，可能遗漏具有敏感能力或可访问政府数据的较小系统。

第三个不确定性是测试。安全控制措施在演练期间的表现，往往不同于实际入侵发生时。

红队是经授权模拟攻击、在对手加以利用前发现弱点的团队。有效的红队测试应覆盖基础设施和身份体系，而不仅仅是提示词和模型响应。

NSA 及其合作伙伴需要确定政府将实施、观察还是仅仅建议进行多少测试。每种选择都涉及法律、运营和保密问题。

第四个不确定性涉及事件共享。公司有动力保护用户并与防御方合作。但在披露安全漏洞时，它们也面临声誉、法律和商业后果。

CISA 的协作行动手册为共享有关 AI 事件和漏洞的信息提供了自愿流程。它还说明了相关保护措施及 CISA 对所提交信息的处理方式。

该框架可以补充 NSA 的使命，但协调边界必须保持清晰。受影响公司应知道该联系哪个机构、应保留哪些信息，以及情报能以多快速度传达到其他潜在目标。

第五个不确定性是问责。已制定的框架允许自愿协作，同时敏感细节可以不向公众披露。

这种结构能够保护情报来源和企业机密，但也可能使独立评估变得困难。

国会监督因此变得重要，因为立法者可以审查机密进展，同时追问公开指导是否及时且有用。私营开发商仍需要空间说明拟议控制措施何时会带来运营问题。

公民自由同样值得关注。扩大 NSA 在 AI 安全中的角色，不应模糊防御外国威胁与监控国内活动之间的界限。

该倡议聚焦于国家级对手对技术的窃取。任何实施都应保留法律边界、尽量减少不必要的数据收集，并明确如何使用从公司获得的信息。

最后一个不确定性在于组织能否跟上步伐。指导意见通常反映发布时可获得的最佳认知。随着公司引入新的智能体框架、数据连接器和部署模式，攻击面也会变化。

NIST 将其风险行动手册描述为一项持续演进的资源，而非一份完整的检查清单。联邦安全工作也需要具备同样的演进能力。

仅靠更新还不够。机构和公司必须将新的威胁信息转化为调整后的权限、修订后的架构、更好的演练和更快的事件决策。

这正是简短的 Google News 摘要无法解决的问题。行动手册的存在确立了方向。只有运营证据才能证明准备程度。

三个信号将表明行动手册是否有效

下一阶段应通过公开指导、可衡量的采用情况以及来自真实安全演练的证据来评判。

第一个信号是面向私营部门发布的 NSA 指导内容。读者应关注其是否具体涵盖模型权重、特权访问、供应链、内部威胁和事件协调。

宽泛原则会削弱该倡议正在改变实践的论据。详细、以结果为导向的指导则会强化这一论据，尤其是在组织能够将控制措施适配于不同架构的情况下。

有用的指导应明确哪些资产需要更强的保护，也应说明组织需要哪些证据来证明这种保护已经到位。

这些指导不必暴露机密情报，但必须具备足够的技术深度，让安全负责人能够调整访问规则、监控、采购和响应计划。

第二个信号是通过联邦合同和行业协作实现的采用。各机构应披露 AI 供应商是否正在将这些指导纳入用于敏感工作的系统。

这并不需要公开企业机密。政府采购方可以报告总体采用情况、反复出现的控制缺口，以及供应商提交的证据类型。

合同条款将提供另一项线索。针对模型清单、访问日志记录、事件通知或 AI 供应链文档的要求，将表明该行动手册正在影响采购决策。

这一信号也可能暴露弱点。如果合规沦为一套静态表格的收集，联邦工作只会强化文档工作，而不会提升韧性。

采购方应优先采用由日常运营产生的证据，例如最新访问记录、测试结果、事件指标和整改历史。

第三个信号是演练和实际事件中的表现。演练应涉及多个组织，因为复杂的入侵行动很少会遵守单一公司的内部边界。

CISA 早期的 AI 桌面推演工作汇集了政府和行业参与者，以测试协作情况。未来的演练可以揭示组织是否知道该联系谁、该共享哪些信息。

它们还可以检验艰难决策。例如，公司可能需要在关键训练运行期间撤销访问权限、隔离供应商，或在维持关键服务的同时保全证据。

清晰的绩效指标会让这些演练更有价值。相关衡量标准包括发现时间、遏制时间、未知特权身份的数量，以及通知暴露合作伙伴所需的时间。

没有任何单一指标能够证明安全性。持续呈现出更快发现速度和更小事件范围的模式，将支持该行动手册的核心承诺。

实际事件仍将是最严峻的考验。公开报告往往会受到限制，尤其是在间谍活动调查仍在进行时。

即便如此，机构仍可发布匿名化的经验教训和修订后的实践。与已观察到的失败相关联的持续更新，将表明该行动手册作为一个运营系统在发挥作用。

开发商、联邦采购方和企业客户应按这一顺序关注这三个信号：先审视指导意见，再追踪采用情况，最后要求提供演练和事件中的证据。

联邦政府已经明确，先进 AI 不仅是商业产品，也是情报和网络安全资产。这一判断不太可能逆转。

悬而未决的问题是，华盛顿能否将这一判断转化为共同的防御实践，而不是用合规表演取代工程工作。

对于通过 Google News 追踪此事的读者而言，下一条新闻标题的重要性应低于其背后的证据。请关注具体控制措施、可验证的采用情况和可衡量的表现。

请问问自己所在的组织，能否识别出每一个与敏感信息相连的模型、智能体、凭据和供应商。如果答案仍不明确，联邦行动手册其实已经与你息息相关。