全球视野 | 国际网安快讯（第10期）

邮发代号 2-786

征订热线：010-82341063

5月6日，美国务院正式发布《美国国际网络空间和数字政策战略：迈向创新、安全和尊重权利的数字未来》，旨在指导国际社会参与技术外交并推动《美国国家安全战略》和《美国国家网络安全战略》落地。该战略涵盖了未来在硬件、软件、协议、技术标准、电信网络、海底电缆、云计算、卫星网络基础设施、人工智能等方面的国际协调，并重点提出“数字团结”的概念，旨在支持盟友和合作伙伴，为恶意网络活动和其他数字危害的受害者提供互助。战略列出了四个行动领域，包括：构建和维护开放、包容、安全和有韧性的数字生态系统；协调盟国之间“尊重人权”的数据治理方法；建立联盟及合作伙伴关系应对网络空间和关键基础设施的威胁；制定国家打击网络犯罪能力的举措。美国务卿布林肯表示，美国希望协助合作伙伴，特别是新兴经济体，部署安全、有保障、有韧性和可持续的技术，以推进其发展目标。

5月7日，拜登政府发布了《2023年国家网络战略实施计划》（NCSIP VERSION 2）第二版，概述了联邦政府为改善美国国家网络安全态势而采取的行动。该计划在2023年7月发布的第一次版本基础上增加了31项新举措，并首次指示6个联邦机构领导战略举措。新举措主要包括：保护关键基础设施；破坏和瓦解威胁行为者；塑造市场力量以推动网络安全性和韧性；投资有韧性的未来；建立国际伙伴关系，追求共同目标。NCSIP是一份动态文件，将每年更新一次。美国国家网络总监办公室（ONCD）将继续协调总统国家网络安全战略的实施，并与管理和预算办公室（OMB）合作，确保总统预算申请中的资金提案与NCSIP倡议保持一致。

5月7日，美国家网络总监办公室（ONCD）发布了《2024年美国网络安全态势报告》。该报告是美国有史以来第一份联邦网络安全态势报告，重点关注人工智能和云迁移的影响，评估美国网络安全态势、国家网络政策和战略的有效性。报告详细说明拜登政府2023年发布的《国家网络安全战略》实施进展情况，并强调了美国面临的网络安全威胁和问题，包括可能影响国家安全、经济繁荣和法治的新兴技术。此外，该报告明确了2023年美国网络安全的五个主要趋势：关键基础设施风险、勒索软件攻击、供应链漏洞利用、商业间谍软件和人工智能带来的安全挑战。同时，报告明确了2023年网络战略环境的三大特征：复杂性、互联性和竞争性。ONCD将推进新行动以协调国家网络政策和战略（包括NCS）的实施。报告中阐述了采取的12项行动，包括建立和使用网络要求来保护关键基础设施；加强运营协作、提升部门风险管理能力、整合联邦网络防御能力等。

5月7日，新加坡议会批准了《网络安全法》修正案，旨在加强防御国家关键基础设施并适应技术进步，扩大关基事件报告范围、强化监管部门权力。该修正案主要针对国家关键系统的网络安全，并将重点规范在国家层面重要的系统基础设施和网络安全。《网络安全法》修正案要求关键信息基础设施的所有者报告相关威胁事件，包括在其供应链中发生的事件。修正案授权新加坡网络安全局（CSA）监督具有特殊网络安全利益的实体（ESCI），要求拥有敏感资料，关系到国家安全、国防、外交等容易受到网络攻击的特殊利益机构，将被纳入监管范围，包括本地6所自主大学。新加坡通信与信息部高级国务部长普杰立（Janil Puthucheary）表示，当务之急是解决恶意网络行为者不断变化的策略，并强调需要对外围系统和供应链保持警惕。

5月8日，美国家情报总监办公室（ODNI）发布情报界《商业信息政策框架》（CAI），该框架旨在管理情报界对敏感商业数据的访问、收集和处理活动。框架要求，美国情报人员和网络战单位使用此类敏感商业数据时，进一步考虑公民隐私和自由。根据该框架，必须定期审查敏感信息的使用情况。ODNI需要情报部门提供相关文件，以明确已获取的敏感信息类型，情报部门也必须制定适当的政策和程序，以确保它们适当地保护任何敏感商业数据。

近日，德国召回了其驻俄罗斯大使，原因是此前德国社会民主党（SPD）遭受了来自俄罗斯的网络攻击。德外交部长安娜莱娜·贝尔博克（Annalena Baerbock）将社会民主党的网络攻击归咎于黑客组织APT28，该组织与俄罗斯军事情报部门（GRU）有关。对此，俄罗斯在5月3日发布声明，断然拒绝有关俄罗斯参与网络攻击的指控，并称这些指控是未经证实且毫无根据的。

5月3日，美国网络司令部任命摩根·M·亚当斯基（Morgan M. Adamski）为新任执行主任，该任命将于2024年6月初生效。执行主任是网络司令部的第三号职位，此职位通常由来自美国家安全局（NSA）的官员担任。亚当斯基将将负责领导实施战略举措，加强人才管理，并建立更强有力的合作伙伴关系，以增强国家的网络防御态势。在加入网络司令部之前，亚当斯基在NSA担任多个关键职位，包括担任网络安全协作中心（CCC）主任及NSA 网络安全局战略任务管理副手，负责指导 NSA 的进攻性网络任务。

5月8日，前美国网络司令部和国家安全局局长保罗·中曾根（Paul Nakasone）被任命为范德比尔特大学新国家安全中心的首任负责人，同时也是国防与全球安全研究所的创始所长和领导者。在担任美国军方最高数字作战组织和世界最大情报机构负责人六年后，中曾根在今年获得了这一任命。他的主要职责包括塑造该研究所的未来方向，组织结构和长期目标。

5月8日，美网络司令部司令兼美国安局长蒂莫西·哈夫（Timothy Haugh）在“特别竞争力研究项目”组织（SCSP）主办的人工智能展会上表示，美国需要从整体角度去研究分析网络战在现代战争中的作用。他指出，不应仅因俄乌冲突初期俄网络攻击行动表现欠佳而形成低估其作用的片面看法。俄乌双方的交战态势仍在持续发展和演变，俄罗斯对其网络力量的运用是美国必须重点关注的课题，特别是网络攻击在战争进程中的运用以及由此为俄方带来的情报优势。

据NextGov网站5月10日消息，五角大楼的IT机构将启动名为DOD Olympus的计划。作为国防机构推出商业云解决方案的现成工具包，该计划将为客户提供一个部署应用程序和资源的区域，而不必处理所有获得企业网络连接、建立通用服务。美国防信息系统局（DISA）负责计算的副首席技术官科里·塞维利亚（Korie Seville）表示，随着五角大楼对数据需求的增长，有必要创建一个可供使用的云环境，以便团队和组织可以在其中无缝共享信息。

软件责任是拜登政府去年发布的国家网络战略中重要组成部分。5月6日，美国家网络主任办公室的尼克·莱瑟森（Nick Leiserson）在RSA会议上表示，拜登政府最近开始与软件开发商进行对话并制定框架，激励私营部门采取措施发布软件责任法律框架。自3月份以来，白宫已经开始与软件制造商沟通，征求他们的意见，并探讨如何更有效地制定法律条款，将软件责任从客户转移到制造商。预计相关讨论将在今年晚些时候扩展到关键基础设施运营商。

近三个月前，由美国国家标准与技术研究院（NIST）运营的世界上最全面的漏洞数据库——国家漏洞数据库（NVD）开始面临漏洞多样性的挑战。5月8日，美国网络安全和基础设施安全局（CISA）宣布启动一项软件漏洞扩充计划。该计划主要目的是向CVE添加元数据，包括通用平台枚举（CPE）编号、通用漏洞评分系统 （CVSS）分数、通用弱点枚举（CWE）标识和已知利用漏洞 （KEV） 条目。CISA表示，这些元数据对于帮助组织确定补救措施的优先级、了解趋势并推动供应商解决漏洞类别至关重要。

5月8日，美网络安全和基础设施安全局（CISA）宣布全球68家软件制造商已签署“安全设计”自愿承诺。该承诺旨在通过在设计阶段纳入安全措施来增强产品的安全性。该承诺的七个目标是：增加跨产品多因素身份验证的使用；减少产品中默认密码和整类漏洞类别；提高客户安全补丁的安装率；发布漏洞披露政策；及时公开常见漏洞（CVE）；提高客户收集影响制造商产品的网络安全入侵证据的能力。签约方包括微软、谷歌、亚马逊网络服务（AWS）、思科、GitHub、IBM、惠普、Okta、Ivanti、Netgear等知名职业。该承诺强调在规定时间范围内采取可衡量的行动，以增强产品安全性并降低常见的安全风险。

5月6日，美国土安全部部长亚历杭德罗·马约卡斯（Alejandro Mayorkas）表示，美国土安全部召开了人工智能顾问委员会第一次会议，旨在更好地管理人工智能技术的部署和防御方式，并保护该技术免受外部威胁。此次会议讨论了在国土安全部任务中部署人工智能对民权的影响。两周前，国土安全部宣布将每季度召开一次此类会议，成员包括OpenAI首席执行官Sam Altman等人工智能领导者，以及政府官员、关键基础设施所有者和技术巨头代表。马约卡斯表示，国土安全部正在寻求扩大人工智能团队，并已收到3000多份以人工智能为重点的职位申请。

5月7日，北约负责情报与安全的助理秘书长斯科特·布雷（Scott Bray）召开地理空间情报（GEOINT）研讨会并表示，欧洲和世界各地的安全环境正在发生巨大变化，这促使北约优先考虑利用人工智能和其他技术工具来支持地理空间情报行业，从而提升技术优势。这也是北约2030年议程的关键支柱之一。地理空间人工智能（GeoAI）是一个关键领域，它将人工智能与地理空间数据和分析技术相结合，以帮助理解并解决复杂的空间问题。

据彭博社5月8日报道，微软首次将基于GPT-4的模型及其关键支持元素部署到一个与完全互联网隔离的私有云环境中，美国情报机构可以安全地利用这项强大技术（ChatGPT）来分析绝密信息。在这个私有云环境中，GPT-4模型是静态的，这意味着它可以读取文件，但不能从中学习，也不能从开放互联网中学习。这种方式可以避免模型遭到攻击，并避免秘密信息被模型吸收。注入攻击和训练数据泄露是当前主流大语言模型面临的主要安全威胁，也是政府和军队将其武器化的主要障碍。美国情报机构官员曾多次明确表示渴望获得与当今主流生成式AI功能同样强大的工具，这类工具有望彻底改变传统的情报工作方式。该服务已于上5月2日上线，情报界正在对其进行测试和认证。

据NextGov网站5月8日消息，美国运输安全管理局（TSA）考虑使用人工智能和其他新兴技术来加强其安全指令。TSA首席技术、数据和人工智能官马特·吉尔克森（Matt Gilkeson）表示，该机构已经建立了测试机制，支持持续探索机器学习领域。吉尔克森表示，尽管运输安全管理局对人工智能的许多应用仍处于起步阶段，但该机构部署的自动化系统、新算法和机器学习已经证明了使用先进技术实现安全目的的有效性。在拜登总统于2023年10月发布行政命令，概述了各机构将新兴技术安全地纳入其任务之后，TSA和其他机构更加关注如何增强人工智能服务。TSA已开始利用该框架制定广泛部署人工智能功能的计划。

5月10日，英国人工智能安全研究所已向全球人工智能社区开放名为“Inspect”的人工智能测试和评估平台。该平台旨在引领人工智能模型的安全创新，帮助加快开展国际人工智能安全评估工作，进行安全测试并开发更安全的模型。Inspect可用于评估一系列领域的模型，包括其核心知识、推理能力和自主能力。通过开源许可证发布，这意味着Inspect现在可以免费供AI社区使用。

据美国白宫官网5月6日消息，美政府近期在利用人工智能推动国家进步方面取得了两项重大成果。第一项是国家人工智能研究资源（NAIRR）试点项目的实施，在总统第14110号行政命令的推动下，该项目通过政府与产业的战略合作，加强美国的人工智能研究能力。第二项是总统科技顾问委员会（PCAST）发布的题为《加速研究：利用人工智能应对全球挑战》的报告，该报告指出了人工智能在应对全球挑战方面的巨大潜力以及对科学研究的深远影响，强调了要负责任地部署AI，并分析了资源分配不均、技术发展速度超前和激励机制不足等方面的挑战。

5月7日，拜登政府宣布启动一个新的大规模半导体芯片生产项目。美计划成立美国芯片制造研究所，致力于创建、测试和使用“数字孪生”——即完全复制芯片的结构、组成及其他物理特性的计算机模型，以满足芯片制造、封装、组装和验证的需求。政府拨款2.85亿美元资助该计划。白宫认为，由于虚拟模型可以存储在云端，这将允许美国不同地区的工程师和科学家进行协作。“数字孪生”将加速创新并节省大量研发资金。

4月30日，美人事管理局（OPM）发布《关于联邦劳动力负责任地使用生成式人工智能》的指南。该指南主要包括联邦雇员在工作中使用生成式人工智能（GenAI）的潜在风险和好处以及使用GenAI的最佳实践，例如文档起草、编码、翻译、数据分析等。该指南指出，GenAI有可能改善联邦劳动力为公众提供成果的方式，联邦雇员可以利用GenAI来提高创造力、效率和生产力，并鼓励联邦机构和雇员考虑如何更好地使用这些工具来完成工作。OPM敦促联邦调查局在发布或传播任何书面材料或人工智能生成的图像之前，对人工智能输出进行人工检查。该指南强调，审查人工智能生成的材料是否存在潜在的偏见、有害、刻板印象或其他冒犯性语言或图像尤为重要。

据《华尔街日报》5月9日报道，美联邦调查局（FBI）警告个人和企业，注意网络犯罪分子针对美国公司、地方政府和联邦机构的威胁。这些犯罪分子正在利用人工智能工具进行复杂的网络钓鱼、社会工程攻击和语音视频克隆诈骗等网络攻击。FBI的网络分析师发现黑客的能力突然跃升，部分原因是他们利用了生成式人工智能和其他形式的技术。网络攻击者正在利用公开和定制的生成式人工智能工具来策划更具针对性的网络钓鱼活动，这些工具为攻击者提高了网络攻击速度、规模和自动化程度。联邦调查局敦促个人和企业保持警惕并实施多因素身份验证，以防范人工智能驱动的网络犯罪威胁形势。

《中国信息安全》杂志倾力推荐

“企业成长计划”