网络韧性的“显微镜时刻”

17世纪70年代，Antonie van Leeuwenhoek 通过自制的显微镜观察，报告了微小的生命形态——他称之为“微型动物”——让此前不可见的世界变得清晰可见。

这些观察后来催生了微生物学、更佳的卫生习惯，并最终形成了疾病的细菌理论。人们并非因为这些发现的存在而生病，这些发现只是帮助解释了人们生病的原因。

看见隐藏的“债务”

网络安全领域如今也正经历着类似的转变。功能更强大的人工智能系统正帮助防御者以前所未有的深度和速度，检查软件、配置和访问控制。在那些曾被认为可以接受的系统中，更多的问题正在浮出水面，预计在正常发布周期之外的紧急补丁将会增加。

这些先进工具发现的大多数弱点并非在被发现的当天才产生，它们通常是技术和安全债务的残留物，包括遗留代码、仓促的集成、被遗忘的环境、过度的访问权限和过时的控制措施。

包括 Anthropic、OpenAI 和 Microsoft 在内的模型提供商和技术供应商正形成一个共同的方向：将人工智能模型置于受控的安全框架内。这是一种由提示、工具、沙箱、检查和证据组成的结构化环境，用以支持（漏洞的）发现、验证、优先级排序和修复。

Anthropic 和 Microsoft 已经披露了在网页浏览器、操作系统组件、网络服务、认证功能和开发平台中存在的关键和高严重性安全问题，并已提供了相应的修复程序或补救措施。

如果这些弱点得不到解决，可能会影响业务和企业韧性。

对于董事会而言，令人不安的是这些弱点早已存在，人工智能只是让“视而不见”的借口不复存在。一副更好的“透镜”不会改变潜在的损失风险敞口，但会改变我们对它的认知。如果不了解这种风险敞口，监管实际上就是在黑暗中进行。

正确的反应不是恐慌，而是严谨的应对。检测能力的提高应转化为更优的软件质量、更强的控制措施、更快的修复速度和更具韧性的基础设施。这是一个在问题演变成重大事件之前加以解决的机会。

SEE ALSO

Climate risks in volatile times

Responsible forward-looking disclosures

Why boards need a playbook to respond to cyber incidents

从模型使用到运营纪律

人工智能的能力将持续发展。任何组织都不应将其韧性寄托于任何单一模型，或假设今天的领先能力将永远是行业标杆。更有价值的问题是，如何安全且持续地利用这些人工智能系统来增强业务。

一个务实的方法是建立受控的测试环境，让团队能够检查系统、发现弱点、测试现实场景，并验证结果是否安全且可重复。其目的不在于赞叹某个发现，而在于验证它、理解其影响，并修复真正重要的问题。

这一点至关重要，因为防御的窗口期正在缩短。攻击者将利用人工智能来寻找和利用弱点。Anthropic 的研究已经表明，恶意的 人工智能 行为者能够以超越我们大部分防御能力的规模和速度，发现并利用关键软件漏洞，我们现在已经度过了对此持怀疑态度的“迷思阶段”。因此，企业也应利用人工智能率先发现、验证和修复这些同样的弱点，前提是这种使用是受到治理、经过测试并以降低风险为导向的。

因此，董事会应减少关注是哪个 人工智能 模型发现了特定问题，而应更多地关注这些发现是否已转化为能够切实降低损失风险敞口的行动。

每个发现都经过验证了吗？它导致损失事件的可能性有多大？损失可能有多大？修复它能在多大程度上减少该损失？它是否已被修复并验证？这些是治理层面的问题，而非技术细节。

董事会的问题并未改变

功能更强大的工具并不能取代基础的控制措施，而是对其进行加强。董事会应督促管理层执行三项要务。

首先，洞察清晰。管理层应清楚了解组织的关键服务、敏感数据和重要系统位于何处，以及何处存在不必要的风险敞口。未使用的系统、休眠账户和过度的权限不应留给攻击者去发现。

其次，行动迅速但须安全。当软件更新可用时，组织应缩短测试和部署所需的时间。预备环境测试、分阶段部署和回滚计划依然重要。目标是在不造成可避免的业务中断的情况下，缩短风险敞口期。

第三，适度治理。用户、设备或应用程序不应仅仅因为它们在组织内部就获得信任。访问权限应经过验证、限制和审查。纵深防御意味着使用多层控制措施，以确保单一故障不会演变成重大事件。这些措施共同作用，使攻击变得更加困难，并能在攻击发生时减轻其影响。

最重要的是，网络风险应以商业术语来表达。董事会应要求管理层量化特定时期内可能的损失风险敞口，并将其转化为财务影响。这使得网络风险能够与其他企业风险进行比较，在稀缺资源下确定优先次序，并在组织的风险偏好范围内进行管理。

展望未来，董事会必须将此视为一个提升韧性的机遇。Leeuwenhoek 的教训并非是说新工具让世界变得更危险，恰恰相反，它们让无知变得更难辩护。前沿人工智能也应作如是观。这是一个在弱点演变为危机之前，看得更清楚、治理更审慎、并将发现转化为行动的机会。

一副更好的“透镜”的目的不是为了警示董事会，而是让他们对已知的情况负责。

本文作者是新加坡董事学会（Singapore Institute of Directors）财务委员会的成员。