美澳发布关键基础设施中安全部署AI的指南

美国和国际网络安全机构发布了一份新指南，以帮助关键基础设施运营商安全地将人工智能（AI）整合到运营技术（OT）系统中。

该指南于12月3日发布，由美国网络安全和基础设施安全局（CISA）和澳大利亚信号局下属的澳大利亚网络安全中心共同制定，并获得了包括英国国家网络安全中心（NCSC）在内的国际合作伙伴的意见。

该文件重点关注机器学习（ML）、大语言模型（LLMs）和AI代理等AI工具，同时也适用于传统的基于逻辑和统计的自动化系统。

它既探讨了AI在OT环境中可能带来的效率和成本效益，也阐述了其引入的独特安全挑战。

根据指南，鼓励关键基础设施运营商：

该指南还强调保护敏感的OT数据。这包括工程配置信息（如示意图和资产清单），以及用于训练AI模型时可能暴露的临时数据（如过程测量值）。

网络机构还指出，OT供应商正越来越多地将AI直接嵌入到设备中。因此，指南建议运营商要求供应商在AI功能、软件供应链和数据使用政策方面保持透明。

集成挑战包括系统复杂性、云安全风险、延迟限制，以及确保与遗留OT系统的兼容性。

运营商应在受控环境中进行测试，保持"人在回路"的监督，并定期更新AI模型，以防止错误并确保安全。

报告警告称，人工监督对于启用AI的OT系统仍然至关重要。监控AI输出、检测异常以及维护故障安全机制对于确保操作可靠性至关重要。

报告还敦促运营商将AI集成与现有的网络安全框架对齐，进行定期审计，并遵守不断发展的国际AI标准。

CISA评论道：“将AI集成到OT中，既给关键基础设施所有者和运营商带来了机遇，也带来了风险。通过遵循这些原则，并持续监控、验证和完善AI模型，关键基础设施所有者和运营商可以在控制重要公共服务的OT环境中实现AI的平衡集成。”