AI安全策略从亚马逊与CIA的视角：AWS峰会华盛顿DC站洞见

在今年的AWS峰会华盛顿DC站上，我有幸主持了一场与亚马逊首席安全官Steve Schmidt和CIA首席人工智能官Lakshmi Raman的炉边对话。我们的讨论探索了AI如何变革网络安全、威胁响应和创新，跨越公共和私营部门。对话突出了几个关键主题：组织如何利用AI改善安全成果、自主AI的崛起及其对安全的影响、在AI系统中保持人类监督的重要性、劳动力发展战略，以及在企业环境中安全实施AI的实用方法。以下是我们对话的一些摘录。

关于利用AI改善安全成果

Steve Schmidt：“我们在亚马逊内部几个地方应用了AI，带来了显著好处，包括应用安全审查流程。通过在我们内部的大型语言模型上训练先前的安全审查，它使我们能够应用资深员工在文档中体现的知识和学习，并将其暴露给初级员工。这确实提高了我们所能提供的绝对安全水平。”

Lakshmi Raman：“在网络安全领域，我们正在思考AI如何帮助我们的认证和授权流程，帮助我们确保系统认证过程尽可能快，因为行业发展非常迅速。我们应用AI和机器学习的另一个领域是数据分类。我们有大量数据以指数级速度涌入，因此我们需要能够快速处理，以便浮现见解。你可以想象一个网络安全分析师，传统上手动检查网络数据以考虑阻止可疑IP地址或连接。现在有机会高效地完成所有这些，并让安全分析师做出决定。”

关于自主AI的崛起及其对安全的影响

Steve Schmidt：“我们现在在AI中看到的最大变化是自主AI的崛起。自主AI特别有趣的原因在于，它带来了一系列挑战，即确保软件在提问者的上下文中采取行动……在政府组织的背景下思考，你有仅限于某些人群的信息集，有分类决策、访问控制限制，以及访问某些数据必须存在的理由。自主AI带来了机会——你可以使用软件自动采取行动——但也带来了挑战：我们如何确保软件每次都在做正确的事情，更重要的是，我们如何向利益相关者和监管机构证明它的行为？”

Lakshmi Raman：“AI代理绝对有机会变革企业自动化。利用它们执行复杂的多步骤工作流程——在各种数据库和其他基础工具之间进行工具调用——具有巨大潜力，而人类作为审查正在发生事情的关键步骤。”

关于在AI中保持人类监督的重要性

Lakshmi Raman：“在我的世界里，我花了很多时间思考AI如何影响劳动力。我们正在关注的一个领域是AI与我们人员的交集。AI能够加速处理并实现自动化，但归根结底，真正重要的是谁在承担风险，或决定意图和做出决策。无论机器输出是什么，真正重要的是人类决定监督水平、承担的风险，甚至是否干预。”

Steve Schmidt：“关于AI系统，许多人没有意识到的一点是它们是非确定性的。非确定性意味着你可以向AI模型问同一个问题100次，但不会每次都得到相同的答案。因此，有一个能够对AI产生的结果做出判断的人类至关重要。我们这样看：如果你只是提问并得到答案，那可能需要一组审查来获得帮助。但如果你要采取行动，你必须非常确定AI是正确的。必须有Lakshmi谈到的那位 skilled person，在AI使用过程的最后说，‘是的，在这个时间点、这个上下文中，这是正确的事情。’”

关于建设懂AI的安全劳动力

Steve Schmidt：“我们的行业有一个真正的问题：我们没有足够的安全人员。我们根本无法雇佣足够多具有正确技能的人来做这项工作。我们发现的是，AI允许我们为安全人员做很多繁重的工作，使用过去必须由人类完成的工具。如果我们从他们身上移除很多那种苦差事，我们的员工实际上对工作更满意，这非常重要。你想留住现有的员工，所以你给他们工具，帮助他们更高效地完成工作，并享受工作。”

Lakshmi Raman：“我们寻找能够生活在技术和社会智能交集的人，能够理解这两个领域如何可能围绕人类行为互动，以及如何思考未来活动。例如，当我们思考分析师时，我们思考具有批判性思维技能、能够展示分析严谨性、能够在信息不完整的情况下提前思考多步的人。我们也在寻找具有数字敏锐度、理解云、网络和AI的人，以便我们在内部拥有这些技术技能。最后，对终身学习和好奇心感兴趣的人，因为威胁多年来会变化。我们需要理解并愿意学习这些的人。”

关于AI加速时对安全领导者的建议

Steve Schmidt：“当你在做决策时，问那个带信息给你的人：‘为什么AI不能做这个？’如果他们没答案，问‘什么时候能，在什么条件下？’把它带入现在、可能、可行，并让它对你的所有员工始终真实。如果他们不是有意做那个决定，他们就错过了机会。”

Lakshmi Raman：“你必须为你的用户提供培训。我们在三个不同层次上思考它。首先是我们的一般劳动力——可能是最重要的用户群——与我们的AI从业者并肩坐在一起，能够帮助描述需要自动化的工作流程的人。然后我们为从业者思考，以便他们跟上最新。最后，我们的高级执行官，能够思考如何用AI变革他们的组织，并从顶层产生那种 buy-in。”

AI不仅改变我们能做什么，还改变我们如何工作。正如Steve和Lakshmi强调的，最成功的AI实施将是那些深思熟虑地平衡自动化与人类监督、专注于提供有形价值同时适当管理风险的用例。对于安全专业人士来说，理解AI的技术和人类维度将至关重要，因为我们在这个变化的空间中导航。