OpenAI 网络防御试点将在地方政府面临最严峻考验

OpenAI 与互联网安全中心（Center for Internet Security）于 9 月 3 日启动了一项网络防御试点，但其最严峻的考验来自运营层面，而非技术本身。OpenAI 网络防御试点将把先进的 AI 能力引入公共部门团队，而这些团队往往面临人员有限、系统复杂以及漏洞亟待修复等挑战。

该计划面向美国州、地方、部落和领地政府，通常统称为 SLTT。计划还涵盖负责关键基础设施的组织，但 CIS 尚未公开参与实体的身份。

核心矛盾十分明确。AI 可以帮助分析师梳理发现结果、验证疑似弱点，并更快制定修复方案。但在监管不足的情况下，同样的系统也可能得出错误结论、暴露敏感信息，或推动不安全的自动化操作。

CIS 及其多州信息共享与分析中心拥有一个覆盖贴近日常生活的公共机构的运营网络。这些组织负责保护学校、公立医院、应急服务机构、公用事业单位和政府系统。OpenAI 则提供旨在加速防御工作的模型与网络安全工具。

这种组合为试点进入真实环境提供了可信路径，也提出了一个严峻问题：AI 能否在不为资源不足的防御团队增加另一套必须持续核验的系统的前提下，减轻他们的负担？

OpenAI 网络防御试点带来了哪些变化

该试点将 OpenAI 的网络安全战略从受控访问推进到公共部门运营场景，在这里，错误会直接带来后果。

根据试点公告，参与组织将使用 OpenAI 技术识别、验证并确定安全发现结果的优先级。该技术还将支持修复工作，以及既有网络安全实践的采用。

这些任务描述的是一套工作流程，而非单一产品。一项发现可能始于可疑配置、暴露的服务，或潜在的软件漏洞。AI 可以帮助收集背景信息，并判断哪个问题最值得优先处理。

验证至关重要，因为安全团队收到的告警往往多到无法逐一调查。如果告警模糊、重复或错误，生成更多警告几乎没有价值。因此，试点需要证明 AI 不仅能提升决策速度，还能改善决策质量。

CIS 表示，这项工作将与 CIS Critical Security Controls 和基本网络卫生标准保持一致。这些控制措施为管理常见安全风险提供了按优先级排序的防护措施。这一框架为参与者审查 AI 建议提供了共同标准。

多州信息共享与分析中心，即 MS-ISAC，则增加了另一重要层级。它通过威胁情报、安全监控、事件支持和同行协作服务 SLTT 组织。其成员可从预算和成熟度各异的环境中提供运营反馈。

这种多样性是该计划的一个特点。拥有专门安全运营中心的州级机构，与只有小型 IT 团队的乡村市政机构面临不同限制。公用事业机构的安全要求也不同于学区。

在这些场景中开展测试，可以揭示 AI 辅助在哪些地方具有可迁移性，又会在哪些地方失效。它还可能暴露哪些任务需要经验丰富的分析师、可靠的资产数据，或是小型组织并不具备的集成能力。

公告没有披露参与组织名单、试点群组规模、技术架构或计划周期，也没有提供响应时间、修复情况或误报率的基线指标。

这些信息缺失并不会否定早期试点的价值，但会限制人们仅凭发布消息能够得出的结论。目前，CIS 和 OpenAI 建立的是一个测试项目，而不是安全成果已获改善的证据。

计划所称的交付成果不止面向个别参与者。CIS 预计该倡议将形成实施指南、经验教训和建议，以支持公共部门更广泛地采用相关能力。

这使评估质量显得尤为重要。基于已记录工作流程和可衡量结果的指南，能够帮助其他机构；笼统的成功案例价值则要低得多。

该计划的重要性在于从访问权限迈向证据。OpenAI 此前已推广用于防御性网络安全的先进模型，而 CIS 如今为这些能力提供了公共机构内部的实际验证场。

为什么资源较少的公共部门防御者是压力测试的关键

该试点之所以重要，是因为地方防御团队通常面对与大型组织相同的威胁环境，却没有相当的人手、工具或采购能力。

公共机构持有攻击者可出于经济、政治或战略目的加以利用的信息，并运营着相关服务。其系统可能支持紧急通信、税务管理、公共卫生、供水运营、选举或教育。

因此，一次中断可能迅速超出 IT 部门的范围，延误服务、干扰实体运营、泄露个人数据，或迫使员工转为手工流程。

安全负担还分散在数千个组织之间。每个辖区各自管理系统、合同、人员配置决策和现代化进度。这种碎片化使防御成熟度难以保持一致。

人才压力进一步加剧了问题。一份政府劳动力评估报告指出，资金不足、招聘困难和留任问题，是所选联邦部门持续面临的网络安全挑战。

州和地方环境与联邦部门不同，但其根本限制显而易见。经验丰富的网络安全专业人员依然难以招聘和留住，尤其是在公共机构需要与私营雇主竞争时。

在这种条件下，AI 辅助具有直观吸引力。模型可以概述技术发现、将其关联到相关防护措施、起草修复步骤，或帮助分析师检查陌生代码。

这些用途能够压缩研究和文档工作的时间，也能帮助经验较少的员工在升级问题前提出更好的问题。

然而，AI 不会凭空创造缺失的机构能力。市政机构仍需拥有准确的资产清单、变更系统的授权、维护窗口、经过测试的备份，以及能够判断运营风险的人员。

一份写得再好的建议，也无法自行修补不受支持的服务器。它无法迫使供应商修复产品、替换过时设备，或协调各部门之间相互冲突的职责。

这正是试点参与者选择变得关键的地方。如果项目只纳入资源充足、拥有成熟安全计划的组织，那么成功结果未必能迁移到较小的辖区。

CIS 表示，不同规模和成熟度的组织将为这项工作提供参考。若能公开披露这种多样性，将有助于读者判断研究结果是否反映了更广泛的 SLTT 社群。

时机也具有制度层面的分量。MS-ISAC 历来通过联邦支持提供服务，但 CIS 表示这一安排已于 2025 年结束。该组织随后转向由成员支持的模式。

这一转变使一些辖区面临更大压力，需要决定可持续保留哪些共享服务。AI 工具进入这一环境后，既可能成为提升效率的措施，也会成为另一项需要治理的能力。

因此，OpenAI 网络防御试点不仅是对模型智能的测试，也是对先进辅助能力能否适应数据质量不均、集成能力有限且容错空间极小的组织的测试。

成功并不意味着将分析师排除在流程之外，而是意味着帮助现有团队减少重复调查工作，同时保留人类对重要行动的控制权。

这一标准也给 OpenAI 带来压力。该公司必须证明，其模型在专家实验室和资金充裕的企业安全团队之外仍然有用。

CIS 同样面临自己的考验。它必须将实验性能力转化为成员能够理解、评估和治理的可重复实践。

AI 分诊面对公共部门的现实

AI 可以加速安全分诊，但其价值取决于每项建议背后的证据，以及组织采取行动的能力。

安全分诊是决定哪些告警或漏洞应优先处理的过程。传统工具通常根据严重性评分、暴露程度、资产重要性或已知利用情况对发现结果进行排序。

AI 系统可以加入情境推理。它可能将漏洞与面向互联网的服务关联起来，识别受影响系统是否支持应急运营，或解释一条修复路径。

这种潜力契合试点识别、验证和确定发现结果优先级的重点，也回应了网络安全中长期存在的问题：防御者无法将每一条警告都视为同等紧急。

OpenAI 更广泛的可信网络访问倡议提出，先进能力应在相称的防护措施下提供给经过验证的防御者。该公司也已开发面向漏洞工作的网络安全专用模型和工具。

其基本方法是让模型进行多步骤分析，而不是简单生成文本。模型可以检查可用证据、提出假设、使用获授权工具，并修正自身结论。

但具有说服力的解释并不等于正确的发现。语言模型可能自信地犯错、误解特定环境的限制，或依赖不完整的背景信息。

以一家公立医院审查暴露服务为例。AI 助手可能正确识别软件弱点并建议更新，但它未必知道该更新会与临床设备认证发生冲突。

学区则呈现另一种情境。模型可能建议加强身份控制，但该学区可能依赖旧有应用，若不进行替换便无法支持这些措施。

对于供水公用事业机构而言，看似常规的网络变更可能影响运营技术，即 OT。OT 包括监控或控制实体流程的系统，在这类场景中，可用性和安全性的重要性可能高于快速修改。

这些例子表明，确定优先级需要本地知识。模型可以加速分析，但负责的组织必须决定何种行动是安全的。

有效实施需要建立从发现结果到证据、责任归属、修复和验证的清晰链条。每一步都应对人工操作人员保持可见。

如果试点能够衡量这条链路，便可提供有价值的证据。相关指标包括验证环节节省的时间、经分析师确认的发现结果占比、修复完成情况以及重新打开的问题数量。

误报也应得到直接衡量。一款产生大量看似合理却无效发现的工具，可能会消耗它原本承诺释放的能力。

漏报更难被发现，但其影响更加严重。一个遗漏关键漏洞的模型，可能制造虚假的安全感，尤其会误导缺乏专业知识的团队。

与现有流程进行比较至关重要。参与者应评估：在相似条件下，AI 辅助审查是否优于其已建立的工具和程序。

真正的对手不是另一家 AI 供应商，而是加速分析与可靠运营判断之间的差距。

成熟的扫描器、终端工具、安全信息系统和威胁情报源，已经在支持公共部门的防御人员。如今的问题是，基于模型的推理能否更有效地关联这些工具的输出。

因此，AI 应当补充既有控制措施，而非取而代之。如果底层遥测数据缺失、过时或不准确，模型便缺少可供可靠推理的材料。

CIS 网络防御试点最有力的形态，应当测试工作流程，而不是展示演示效果。它应揭示 AI 在何处改善分流处理，以及传统控制措施在何处仍具有决定性作用。

人类监督是分界线

该项目的核心权衡在于速度与控制之间，尤其是在 AI 建议涉及敏感数据或关键服务时。

通过 NIST 制定的 AI 网络安全概况指出了多项相关风险，包括虚假内容、敏感数据暴露、可解释性有限、问责不清、模型漂移，以及人类监督与自动化之间的平衡。

这些问题都适用于此次试点。网络安全提示词可能包含源代码、配置细节、事件记录、系统名称，以及尚未修复弱点的信息。

参与者需要明确规定哪些数据可以进入系统。他们还需要制定数据保留控制、访问管理、审计记录，以及处理模型生成产物的流程。

数据保护不能只是默认前提。公共机构通常管理受监管的信息，以及受披露、保留或采购要求约束的记录。

公告没有说明参与者将使用哪些 OpenAI 产品，也未披露部署边界、数据处理方式和工具权限。

出于安全原因，这些细节或许需要保密。不过，未来的公开指南应说明哪些控制类别被证明是必要的，即使不披露敏感配置。

工具权限构成另一条分界线。仅分析证据的模型，与获授权扫描系统、修改代码或部署变更的智能体，带来的风险并不相同。

系统获得的权限越多，审批关卡就越重要。高影响操作应要求经过身份验证的人类授权，并留下有记录的说明。

OpenAI 将其更广泛的网络安全方针描述为：让受信任的访问与行动始终处于人类控制之下。此次试点提供了一个机会，可将这一原则转化为适用于较小型组织的程序。

一种有用的程序应要求系统展示支持其发现的证据。分析师随后可以复现结果，再决定是否接受该建议。

另一种程序则应将分析与执行分开。AI 可以起草变更方案，而经授权的操作人员通过既有控制措施对其审查、测试并部署。

人类监督同样有成本。如果分析师必须从头核查系统的每一项陈述，工具就几乎没有效率价值。系统必须提供足够可追溯的证据，使审查更快完成。

这带来了严格的设计目标：AI 建议必须易于理解、可复现，并且与不确定性相匹配。

仅靠置信度评分无法解决问题。模型可能对错误结论给出很高的置信度。证据和独立验证仍然更有价值。

问责同样必须由可识别的个人和机构承担。供应商模型无法为不安全的配置变更或中断的公共服务承担责任。

采购团队应询问：谁批准模型访问、谁审查输出，以及涉及 AI 系统的事件将如何处理。技术团队则应询问：存在哪些日志，以及结果能否复现。

安全负责人还必须防止自动化偏见，即因系统看似权威而倾向于接受其建议。经验较少的员工尤其容易受到那些措辞流畅但存在缺陷的解释影响。

因此，培训应涵盖失效模式，而不只是如何有效编写提示词。参与者需要看到错误优先级排序、缺乏依据的主张和不安全修复建议等案例。

通过这些控制措施来描述可信的 AI 网络防御，它更像是一名受监督的分析师助手，而非自主替代者。

这种表述不那么戏剧化，却更符合公共部门的责任。只有在保留质疑、验证和叫停能力的前提下，更快的分析才有价值。

共享指南必须超越试点本身

试点的长期价值将取决于 CIS 是否发布可复用的证据，而不是一系列特定供应商的成功故事。

CIS 表示，该计划将产出实施指南、经验教训和建议。这些成果能够影响那些从未直接参与的组织。

最有用的指南应识别哪些安全任务从 AI 中获益，哪些没有。它还应说明每类工作流程所需的成熟度条件。

例如，当一个组织维护准确的资产与暴露数据时，漏洞优先级排序可能效果良好。但当资产归属不明确时，同一工作流程可能失效。

代码分析可能有助于负责内部开发应用程序的团队。对于主要依赖封闭式供应商产品的机构，它的直接价值则较低。

事件调查可能受益于快速总结和假设生成。但由于底层数据可能敏感且不完整，它也带来更高风险。

这些差异应塑造最终建议。笼统地声称 AI 改善了网络安全，无法帮助机构选择安全的起点。

共享指标将使指南更有说服力。CIS 可以在不暴露参与者信息的前提下，报告分析师耗时、经验证发现、修复速度和误报率的汇总变化。

基线与结果同样重要。一个成熟的州级安全团队和一个小型地方部门，不应被视为等同的测试案例。

评估还应区分模型辅助与周边支持。培训、CIS 专业知识、工作流程设计和更完善的文档，可能推动了部分改进。

这并不会削弱结果，而是明确其他组织需要复现哪些条件。

CISA 的协作手册强调在 AI 提供商、开发者、采用者和关键基础设施利益相关方之间进行结构化信息共享。CIS 合作项目可以通过既有的防御者社区践行这一原则。

共享学习尤为重要，因为单个机构很少拥有足够多的事件或专家来评估每一种新兴技术。汇总经验能够更快暴露反复出现的失败模式。

不过，该项目也引发了对供应商依赖的疑问。围绕单一提供商构建的指南，可能会引导机构采用难以转移到其他平台的工作流程。

因此，可移植性应成为评估的一部分。组织应了解哪些实践依赖 OpenAI 特有工具，哪些可在不同模型或部署环境中保持有效。

退出规划同样重要。安全流程不应因合同变更、模型退役或访问条件调整而崩溃。

机构还需要稳定的记录。它们应以自己可控的格式，保存 AI 辅助工作期间产生的证据、决策和修复历史。

试点不应将生成的文本定位为机构知识。模型输出可能发生变化，后续审查者需要看到每项决策背后的来源。

对于管理长期调查的团队，受治理的知识库可以保存技术文档和经验证的结论。AI 生成材料应始终与权威记录明确区分。

独立审查将进一步增强最终指南的可信度。外部评估者可以审查方法论、指标定义，以及报告的改进是否反映了真实的风险降低。

由于工作涉及脆弱系统，公开透明会有一定限制。尽管如此，CIS 仍可以发布评估方法、控制模式和汇总发现，而不泄露可被利用的细节。

最终成果应帮助机构回答实际问题：应先测试哪项任务？哪些数据应排除在模型之外？分析师必须要求哪些证据？自动化应在何时停止？

如果该项目能回答这些问题，其影响将不止于 OpenAI 的采用。它可以为评估任何基于 AI 的网络安全工具建立一套严谨模式。

如果不能，这份公告将只是一项很有前景、却缺少可迁移证据的合作关系。

三项信号将表明试点是否奏效

下一阶段应根据参与者多样性、可衡量的防御成果，以及人类控制使用的具体保障措施来评判。

第一个信号是试点的参与构成。CIS 无需披露脆弱组织的身份，但应以汇总形式描述参与群体。

读者应关注其中是否涵盖不同组织规模、安全成熟度、地理区域和运营使命。关键基础设施参与者也应不止涵盖传统企业 IT。

多样化的参与群体将增强该方法能够服务规模较小、资源不足防御者的说法。若参与者仅限于成熟机构，则会削弱更广泛的结论。

第二个信号是衡量方式。未来更新应报告 AI 辅助是否缩短验证时间、改善优先级排序，或加速完成修复。

重点应放在已完成的防御工作上。统计生成的发现、起草的建议或模型交互次数，只是在衡量活动量，而非安全性。

结果还应包含失败数据。误报、被拒绝的建议、未解决的发现，以及涉及不安全输出的事件，能够揭示人类审查仍然不可或缺的领域。

比较应使用明确定义的基线。没有既有工作流程或对照组，性能提升便难以归因于 AI 系统。

第三个信号是控制框架。CIS 和 OpenAI 应说明参与组织如何处理敏感数据、工具权限、日志记录、测试和人类审批。

最终指南应明确哪些行动 AI 可以建议、但不能执行。它还应记录参与者何时将工作升级交由经验丰富的专家处理。

清晰的保障措施将增强该项目的核心论点。含糊地提及负责任使用会削弱其说服力，因为机构需要的是可实际采纳的程序。

读者还应关注指南是否区分模型能力与实施支持。成功使用可能依赖培训、工作流程重构和 CIS 的直接协助。

这种区分将决定可扩展性。由专家支持的试点可以表现良好，即便常规部署可能难以达到同样效果。

OpenAI 网络防御试点正值先进模型能够执行更长、更复杂技术任务的时期。攻击者同样可以获得许多类似的通用能力。

OpenAI 将这一时期称为“防御者窗口期”，意指防御方只有有限时间将更强大的模型转化为切实可行的防护能力。这一说法凸显紧迫性，但试点仍需接受严谨评估。

速度不应成为削弱治理的借口。公共机构不能把关键系统当作不受限制的测试环境。

同样，谨慎也不应演变为停滞不前。资源受限的团队需要可靠的方法，评估那些能够减少调查和文档工作量的工具。

CIS 非常适合在这些需求之间架起桥梁，因为它既具备运营协作关系，也拥有成熟的安全控制措施。OpenAI 可以提供模型、技术支持，以及先进网络安全工作流方面的经验。

双方合作的价值，取决于能否将这些资源转化为可重复、以证据为基础的实践。最理想的结果应当清楚展示：AI 在哪些环节能节省分析师时间、在哪些情况下会失效，以及哪些控制措施能够确保人类始终承担责任。

对开发者而言，启示是设计可供调查人员复现的输出。对政府采购方而言，则是在扩大访问范围前，要求提供指标、可审计性和可移植的记录。

对安全负责人来说，当下的行动很明确：确定一个边界清晰的工作流，记录其基线，限制模型权限，并衡量经过验证的结果。

当 CIS 发布调查结果时，需要重新审视的问题并不是模型是否给出了有用答案，而是公共防御人员能否在不放弃控制权的前提下，更快弥补重要的安全缺口。