公众向AI提问的网络安全隐患：首席信息安全官应警惕的五大趋势

新的公共论坛

网络安全已经走出了服务器机房，进入了人们的客厅。

在我为董事会提供咨询和全球演讲的工作中，我注意到一个明显的转变。问题不再仅仅来自IT部门。它们来自首席执行官、市场经理和我的邻居。

现在，随着强大的AI工具融入日常生活，数百万人绕过谷歌，转而将ChatGPT和Gemini等平台作为他们主要的信息来源。通过分析这些查询的趋势——综合行业报告、搜索趋势和专业论坛的数据——我们得以前所未有地窥见集体的网络安全意识。

我们可以清楚地看到哪些领域的意识很高，哪些领域充满困惑，以及真正让人们夜不能寐的是什么。结果既令人鼓舞，也令人担忧。

1. 无可争议的冠军：“这是真的吗？”（网络钓鱼）

迄今为止，向AI提出的最紧迫、最持久的问题都围绕一件事：验证真实性。

“我怎么知道这封电子邮件/短信/电话是不是诈骗？”

尽管在安全基础设施上投入了数十亿美元，人为因素仍然是主要目标。人们每天都受到轰炸，他们正在使用AI作为可疑“紧急发票”或“送货通知”的即时第二意见。

为何此问题占主导地位

这不仅仅是攻击的数量；更是攻击的演变。用户们意识到，“检查拼写错误”这样的旧建议已经过时了。他们遇到了语法完美、具有本地化背景且个人信息准确得吓人的AI生成的钓鱼诱饵。他们正在求助于AI来击败AI生成的诈骗。

Ozkaya博士的专业见解：这个问题是头号问题，这实际上是一个积极的现象。它意味着安全意识培训正在起作用。人们在点击之前会停顿思考。

然而，危险的转变迫在眉睫。我们正在从“大规模网络钓鱼”转向“超精准鱼叉式网络钓鱼”。到2025年，攻击者不仅会伪造你CEO的电子邮件；他们将利用生成式AI伪造他们电话中的声音。我们的防御必须超越“发现拼写错误”，转向对任何敏感请求都必须进行带外验证。

2. 采用AI的焦虑：“AI处理我的数据安全吗？”

这是目前最明智的流行问题。当员工将敏感数据输入大型语言模型以总结报告或调试代码时，一波可以理解的焦虑也随之而来。

核心关切

用户的担忧很有道理：

• 我的私人聊天记录会被人类审查吗？
• 我公司的知识产权会被用于训练下一个公共模型吗？
• 黑客能操纵AI给我提供错误的建议吗？

这告诉我们，公众正在意识到“影子AI”——工作场所未经授权使用AI工具的现象。

Ozkaya博士的专业见解：对于首席信息安全官们来说，这是你们的警钟。如果你的员工向ChatGPT询问如何保护数据，这意味着你们的内部政策未能触及他们。AI治理不再是一个可选的附加项；它是网络安全的核心支柱，与多因素身份验证同等重要。你们需要清晰、明确的红线政策，规定什么可以、什么不可以粘贴到公共提示中，并用通俗易懂的语言传达。

3. 对简单性的渴求：“我怎样才能锁死一切？”

当人们被有关数据泄露和勒索软件的消息压得喘不过气时，他们会转向AI来理清混乱。他们想要可操作、易于消化的建议。

他们不问复杂的防火墙架构。他们问的是：

• “我真的需要一个密码管理器吗？”（是的。）
• “如何设置双因素身份验证？”
• “我的家庭Wi-Fi容易被黑客入侵吗？”

普通用户厌倦了担惊受怕，希望获得能力。他们得到的AI回答通常出人意料地可靠：在所有地方启用多因素身份验证，停止重复使用密码，并更新你的软件。

4. 职业转型：“我怎样才能得到你的工作？”

大量查询来自渴望进入高需求网络安全领域的学生和转行者。他们将AI视为个性化的职业顾问和技术导师。

他们要求提供认证路线图、面试角色扮演场景，并让AI以五岁孩子能理解的方式向他们解释“零信任”等复杂概念。他们正在以前几代人无法企及的方式利用AI加速他们的学习曲线。

Ozkaya博士的专业见解：给这些有抱负的专业人士：不要依赖AI为你完成工作。用它来帮助你理解工作。

我看到大量初级分析师涌入，他们可以使用AI生成完美的代码或报告，但无法在没有帮助的情况下解释代码为何有效或定位缺陷。AI是专家的力量倍增器；对于准备不足的人来说，它却是一根拐杖。在依赖生成式工具之前，请专注于基础技能——网络、Linux、人类心理学。

5. 缺失的问题：人们哪里想错了

也许比人们问什么更能说明问题的是他们不问什么。根据我对这些趋势的分析，我看到了公众对网络风险理解中存在重大盲点。

• 危险的假设：人们在问，“这个特定文件有病毒吗？” 现实是：他们假设如果AI说一个文件看起来没问题，他们就是安全的。他们没有询问关于无文件恶意软件、利用系统工具攻击，或者窃取会话令牌而非部署传统病毒的攻击。
• 危险的假设：人们在问，“我的密码强度如何？” 现实是：他们对身份验证问题问得不够。在2025年，如果攻击者窃取了你的浏览器会话cookie并完全绕过登录，再强的密码也是无用的。公众的关注点仍然过多地集中在密码上，而不是整体的身份安全。

2026展望：超逼真欺诈时代

审视这些趋势，我们可以描绘出未来18个月的轨迹。

我们正在进入人工智能的军备竞赛。攻击者将利用AI将个性化的社会工程攻击扩大到前所未有的水平，使得网络钓鱼无法被人眼察觉。防御者必须通过使用AI来处理海量的分类和信号检测来进行反击。

对于普通用户来说，这些搜索趋势带来的教训很明确：网络犯罪的技术门槛已经降低。怀疑是你最大的资产。

对于组织领导者来说，教训同样严峻：如果你们的安全策略不像ChatGPT那样易于获取和有用，你们的员工就会绕过你们。是时候让安全更人性化了。