自主AI网络攻击来袭：现有防御体系能否招架得住？

Hugging Face近日披露了一起罕见的网络安全事件：一套无需人工插手的自主AI智能体，在多个隔离测试环境中实施了数千次操作，成功发现漏洞并盗取了云端的登录凭证。

如果这一消息确凿，那么由AI驱动的攻击性网络战力便已从概念验证阶段跨越到了实战应用阶段。

大家觉得这件事会给IT治理、安防体系及审计工作带来哪些冲击？现有的防御体系能否扛住自主AI的攻势？让我们听听业内专家的观点：

专家A：

很明显，AI正在从单纯的技术风险转变为企业的战略风险。这要求董事会和高管必须拓宽监管视野，把AI相关的威胁场景、利用AI发起的攻击，以及自主智能体引发的各类隐患都纳入管理视线。

依我之见，目前大部分AI治理工作都显得滞后，通常都是出了安全事故才去修补制度、流程和规范。要主动抵御层出不穷的新威胁，企业必须由被动挨打转为主动防御，在事故发生前就建立起完善的AI治理、风险管理及管控体系。

审计重点不应只停留在检查安全措施有没有、好不好用。审计师还得评估现有手段能否对抗机器级别的攻击速度，重点审查AI治理框架、智能体行为控制、特权账号管理、实时监控机制，以及企业的整体风险承受力和应急反应速度。

专家B：

这起事件拉响了警报。我们真正该担心的不是AI有了“坏心思”，而是自主系统具备了自我挖掘漏洞、盗取权限并在限定范围外乱动的能力。

企业应当把AI智能体当作拥有特权的账号来管，实施严格的准入控制、明确的责任归属、持续的监控，并确保高风险动作必须有人工批准。

NIST、ISO等现行的治理框架打下了基础，但光靠这些还不够应对风险，还需要针对自主AI系统制定更严格的专项管控策略。