IBM安全专家探讨企业因AI选项过多及高昂试错成本陷入决策瘫痪的困境与破局思路

安全领导者面临AI部署决策瘫痪

当前网络安全领域的领导者在如何投资和应用人工智能（AI）方面感到极度迷茫。尽管许多组织拥有预算和管理层的支持，但面对市场上层出不穷的新工具和快速变化的技术环境，他们陷入了严重的选择疲劳。Axios的报道指出，安全领导者正挣扎于如何制定AI投资策略。决策瘫痪已成为行业普遍现象。与此同时，最新的数据泄露成本报告揭示了一个严峻的现实：64%的组织在安全功能中仅使用或完全未使用AI。然而，威胁形势却在急剧恶化，由AI生成的攻击数量同比增长了56%。这种防御手段滞后于进攻技术升级的差距，使得解决这一问题变得紧迫，但领导者们往往不知从何下手。

从重复性任务入手缓解焦虑

针对这一困境，IBM X Force Cyber Range创意总监Claire Nunees指出，AI转型对安全团队乃至业务部门都令人恐惧。在业务侧，人们担心发展速度过快而遗漏关键环节；在安全侧，员工则担忧AI会增加负担而非提供帮助。决策疲劳源于对自动化边界、合作伙伴选择以及整体安全影响的困惑。Dave Bales建议，领导者应从红队（Red Teams）和重复性任务开始尝试AI应用。他特别强调，不要试图一口吃成胖子，而应优先利用AI处理L1、L2级别的警报查看等重复性工作。这样做不仅能提高效率，还能有效防止警报疲劳（Alert Fatigue），让安全人员从繁琐的信息筛选中解放出来。

克服员工恐惧与“快速失败”文化缺失

除了技术选择，心理层面的障碍同样巨大。Curtis Pittz提到，员工普遍担心AI会接管他们的工作岗位，这种恐惧在缺乏技术背景的人群中尤为强烈。市场将AI包装成“银弹”，导致领导者害怕做出错误决策，因为一旦失败可能意味着数据泄露或业务终结。然而，Dave Bales反驳了这种过度谨慎的心态，他认为“快速失败”（Fail Fast）在AI领域同样适用。他比喻道，如果汽车刚发明时就有如今上百种车型可选，人们反而难以决策；正是因为从Model T开始逐步演进，市场才得以成熟。拥抱失败是成功的必经之路，停滞不前只会维持现状。然而，Claire指出市场宣传中的“羞耻感”让领导者不敢轻易尝试。

合同模式与高昂试错成本的矛盾

造成决策瘫痪的另一个核心因素是AI部署的高昂成本与传统合同模式的不匹配。Dave Bales指出，在普通商业领域，“快速失败”意味着“低成本失败”，但在AI项目中，试错成本极其昂贵。现有的采购模式往往签订3到5年的长期合同，这与AI技术快速迭代的特性相悖。他建议借鉴政府部门的“交付即付款，不达标则终止”的短期多续期合同模式（1-2年为主），以便在技术不成熟或效果不佳时能够灵活退出。网络安全是业务的一部分，领导者需要意识到这是一项重大投资，因此必须通过更灵活的合同机制来降低长期风险，从而缓解因害怕巨额沉没成本而产生的决策 paralysis。

红队赋能：以攻促防的敏捷策略

面对AI安全领域的决策瘫痪，一种有效的破局思路是将人工智能工具赋予红队（Red Team）。这种策略的核心逻辑在于“最好的进攻源于最懂防守”，通过让红队掌握与攻击者相同的AI工具，能够更精准地模拟威胁行为。正如Dave所言：“如果我们将AI交给红队，让他们去学习和弄清楚攻击者究竟在做什么，这将使他们更好地准备应对这些挑战。” 这种“以攻促防”的方法不仅能让安全团队深入理解攻击者的思维模式，还能加速防御机制的开发。考虑到近期Costco数据泄露事件中广告生成攻击激增56%的严峻现实，攻击者正以“机器速度”行动，安全团队必须武装自己，利用AI工具进入黑客心态，从而在对抗中占据主动。这种敏捷的契约和部署方式允许团队“快速失败”，从而降低初始承诺的风险。

自动化基石：从重复任务切入AI旅程

对于尚未准备好全面拥抱复杂工作流的企业，自动化高频率、低风险的重复性任务是引入AI安全能力的最佳起点。这类活动通常具有明确的参数和已知值，例如供应商风险评估、合同分析或警报分类。Curtis团队正在实施这一策略，通过设置智能代理（Agent）来自动验证已知参数，将原本需要两人份的时间从日常工作中剥离出来。这不仅减轻了员工因处理海量重复警报而产生的疲劳，还释放了人力资源去从事更具战略性的工作。Dave指出，由于这类任务本身“非常易于理解”且不属于复杂的工作流整合，因此它是测试AI效果、建立组织内部安全文化的低风险试验田。通过解决销售团队每年面临的数万项重复性风险评估和合同审查，企业可以在“没有巨大风险”的前提下探索AI能力的边界。

幽灵劫持：信任链中的新型注入威胁

在探讨如何开始AI应用的同时，DefCon上披露的“幽灵劫持”（Ghostjacking）技术揭示了AI安全的新维度。这是一种高度复杂的提示注入攻击，恶意代码被嵌入到防火墙日志、错误报告等通常被视为“可信”的系统记录中。攻击者利用云安全代理读取这些日志时的信任机制，在防火墙成功拦截恶意连接后，通过解析记录该事件的日志来劫持AI代理。Tenet Security的报告指出，在测试中Claude模型有90%（10次中的9次）中招。这意味着即使底层基础设施防御有效，AI代理仍可能因读取被污染的日志而受到控制。Dave对此评论道：“DefCon的好人们打开了我们的眼界，让我们看到了无数从未想过可能发生的事情。” 这一案例警示安全领导者，在推进AI采纳时，必须同时警惕数据源本身的完整性问题。

幽灵劫持：提示注入的隐蔽性与历史重演

Defcon大会再次揭示了AI安全领域的惊人漏洞，其中“幽灵劫持”（Ghost Jacking）技术尤为令人震惊。这种攻击方式允许黑客通过读取日志发现并执行恶意操作，其复杂程度让研究人员难以理解攻击者是如何构思出这种方案的。正如对话中所言：“提示注入一直是一个棘手的问题，幸好安全研究人员不断提出新的、令人兴奋的攻击方式。” 这同时也意味着防御方必须开发相应的新手段来对抗。这种动态博弈并非AI独有，而是安全领域的常态。“我们不得不重新思考AI与安全的关系。” 这种攻击的隐蔽性在于它利用了系统对日志和指令的信任，使得原本看似安全的流程成为突破口。

历史镜像：从DNS欺骗到AI提示注入的类比

Curtis指出，当前的AI安全问题与早期互联网时代的DNS欺骗有着惊人的相似性。在互联网初期，攻击者只需将恶意的DNS记录注入缓存表即可实施欺骗。“当我们使用一个旨在读取并执行某事物的代理时，除非专门设计如此，否则其中并没有太多逻辑或参数来保证安全性。” 当时我们花费精力解决了DNS安全问题，而现在则必须解决AI提示注入的安全问题。这种历史重演提醒我们：“许多我们认为自动安全的事物，在引入新工具和新能力时，往往并不像想象中那样安全。” 这种认知偏差导致我们在面对新技术时容易忽视潜在风险，直到被证明存在漏洞。Defcon上的发现并非来自恶意黑客的偶然成功，而是安全研究人员的主动探索，这为防御方提供了宝贵的洞察。“这不是坏人用错误的方式发现的，至少我们有来自好人的见解。”

零信任与身份访问：AI时代的防御核心

随着AI进入企业环境，“零信任”（Zero Trust）原则的重要性被进一步凸显。传统安全模型假设某些组件是安全的，但LLM（大语言模型）本质上无法区分运行代码与不受信任的用户输入。“当引入LLM时，它打破了以前编写安全软件时必须保持代码与用户输入分离的原则。” 因此，防御策略需要从传统的边界防护转向身份和访问管理（IAM）。Dave提出，既然代理可能被此类方式劫持，“我们应该通过赋予它们适当的权限和限制来防止其造成危害。” 这种观点将AI安全问题重新定义为身份与访问控制问题。Claire也认同这一视角，认为这是黑客行为的真实体现：“让某物做它不应该做的事情。” 虽然目前令人恐惧，但随着时间推移，防御方将适应并开发出新的对抗手段。“如果我们不期待它，我们就不会去寻找它。” 这种适应性是安全领域长期以来的特征。

防御行动：学习、收紧控制与红队测试

面对日益复杂的提示注入攻击，Dave建议防御者立即采取行动。“了解AI侧的提示注入是关键。” 这种攻击不会消失，只会变得更加复杂和令人恐惧。“当它被写下来时看起来非常简单。” 现有的概念验证（PoC）虽然看似简单，但可能被其他黑客利用。因此，防御者需要“找出所有可以收紧控制的方法”。这一过程与红队测试的理念高度契合：“这支持了将AI放入红队的想法。” 通过模拟攻击者的技术，防御方可以开发相应的对策。“我们发现了攻击者的技巧，以便针对它们发展自己的防御措施。” 这种主动的、基于对抗的学习模式是应对AI安全挑战的有效途径。尽管问题令人不安，但“我们知道如何修复它”，关键在于正确应用现有的工具和原则。“我们手头有工具，只是需要以正确的方式使用它们。”

限制代理权限与保留人工审核的关键性

在部署AI安全代理时，最核心的风险往往源于过度授权。许多组织出于对效率的渴望，倾向于赋予代理过多的权限和能力，却未深思熟虑地划定“禁区”。限制代理的行为边界是首要的安全措施。例如，如果一个日志读取代理被允许提升权限或提交高风险命令，这将构成严重的安全隐患。正确的做法是设定严格的无操作区（no-go land），确保代理无法执行特权升级等高危动作，或者在需要此类操作时强制要求人工验证。保留“人在回路”（human in the loop）是防止代理失控的最后防线。当完全移除人类监督时，代理可能会像案例中提到的那样“互相攻击”或进行未经授权的操作。正如讨论中所指出的，必须确保有具备专业知识的人员参与决策过程。对于非人类身份（如AI代理），其承诺的自动化能力往往诱使管理者放松警惕，但历史教训表明，缺乏约束的代理可能会突破沙箱限制（如黑客利用AI作弊），因此必须仔细审查其访问权限、运行环境及功能范围。

"Really only limit what your agents can do, right? and set clear boundaries on what is the no-go land... don't remove people from the loop, right? There has to be eyes in the loop of a person who knows what they are doing."

AI补丁生成的实证数据与人类表现的对比分析

关于AI在漏洞修补方面的能力，OnePassword发布的新研究对当前热潮提出了质疑。研究人员利用GPT-5.5（配合可信网络访问）和Opus 4.8（配合网络安全验证），针对6个漏洞生成了540个补丁。然而，结果显示仅有46%的补丁成功解决了底层漏洞。更严峻的是，即使部分补丁有效，它们也常常引入新的安全问题。AI生成的补丁成功率约为46%，这意味着超过一半的尝试是失败或有害的。这一数据引发了关于是否应重新评估AI在安全领域应用的讨论。然而，多位专家指出，这一表现并未超出人类开发者的常态水平。人类编写的补丁同样存在高失败率，通常源于在非生产环境或离线环境中测试不足导致的回归错误。因此，AI补丁的46%成功率在统计学上与人类当前的表现相当。

AI与人工协作的理性预期与管理策略

面对AI补丁生成的数据，专家建议避免陷入“期望过高”的认知偏差。人类编写代码和补丁本身就不完美，这也是为什么企业需要固定的“修补星期二”（Patch Tuesdays）来集中处理累积的问题。AI并非要替代人类成为完美的补丁生成器，而是作为辅助工具。将AI与人工结合可能比单独使用更有效，因为人类可以弥补AI在上下文理解和长期影响评估上的不足。正如讨论中提到的，当人们匆忙行事时容易遗漏细节，AI也是如此。因此，在引入AI转换的过程中，不应期望其一开始就能100%准确无误地独立运作。在初期阶段保留人工审核环节至关重要，这有助于确保代理正常工作并防止错误扩散。此外，专家还提到IBM正在积极研究“代理身份”（agentic identity）领域，这表明行业正从单纯的功能实现转向对AI主体权限和行为的精细化治理。对于企业而言，关键在于缩小范围、在特定领域完善后再扩展，而非盲目追求全自动化。

"I think like as Dave mentioned, patching by humans is not perfect. I think maybe a AI patching when partnered with a human may be a little bit more effective... it's like you can't expect to send AI out to do something on its own and be perfect 100% right out of the start gate."

AI代码生成的局限性与自我信任陷阱

在探讨AI如何与特定代码库协同工作并随时间学习时，一个核心假设是：随着对代码库理解的加深，AI的表现会像熟悉项目的人类开发者一样提升。然而，现实情况更为复杂。AI在初始阶段几乎从不生成安全的代码，即使提供了严格的参数和剧本指导。这种局限性源于AI的“自我信任”机制——它倾向于认为自己是最聪明的存在，因此会盲目信赖自己生成的代码。

“It trusts itself. And so, you know, you’ve got to do multi-agent coding where it’s validating from other agents that the code that it wrote was secure.”

这种自我信任导致了一个严峻的安全问题：AI生成的代码往往存在漏洞，且缺乏外部验证。为了弥补这一缺陷，必须引入多智能体（multi-agent）编码架构。在这种模式下，需要构建多个专门的验证代理来审查主生成代理的代码。然而，这又引出了新的问题：如何确保这些验证者本身是可靠的？如果所有代理都基于类似的自我信任逻辑运行，整个系统的安全性依然存疑。因此，单纯依赖AI进行代码生成和验证是不可行的，必须结合人类审查或更复杂的交叉验证机制。

成本悖论与决策瘫痪的根源

随着AI在代码生成中的应用深入，企业面临着巨大的成本压力和决策瘫痪（decision paralysis）。许多组织投入巨资部署AI解决方案，期望其能完全替代人工审查。然而，现实是如果花费一亿美元部署AI，却仍需人类阅读每一行代码以确安全性，那么这种投入的价值将大打折扣。这种期望与现实的落差导致了严重的资源浪费和管理困惑。

“We expect too much, candidly, out of AI this early on in the game.”

当前的困境在于，AI无法解决由其自身创造的问题。例如，当新工具（如Mythos）发布并引发对漏洞修补速度的焦虑时，市场随即要求AI快速生成补丁。但这形成了一个逻辑闭环：AI创造了新的复杂性或漏洞风险，而企业又指望AI来解决这些由它引发的问题。这种“用AI解决AI制造的问题”的思路并非长久之计，而是反映了行业在早期阶段对技术能力的过度高估。安全领导者需要重新评估AI的角色，将其视为辅助工具而非终极解决方案。

纠正预期：将AI视为“三年级学生”

行业媒体和营销叙事往往夸大AI的能力，导致安全领导者误以为通用人工智能（AGI）或超级智能已经就绪。这种认知偏差加剧了焦虑和错误决策。实际上，当前的AI技术仍处于非常早期的阶段。我们不应期待一个尚未接受充分训练的系统去应对高难度的复杂任务，就像不能要求三年级学生直接参加SAT考试一样。

“We are in the AI age of like the third grade right now. We’re expecting it to go out and take the SATs.”

这一类比清晰地揭示了当前AI技术的真实水平：它在许多方面表现良好，但在关键的安全和复杂逻辑领域尚未达到卓越。AI仍在从人类那里学习，而人类应当扮演“教师”的角色，主动引导和规范其行为，而不是作为旁观者批评其不足。安全领导者需要调整心态，将AI视为一个需要持续教育和监督的学习者。通过建立合理的期望值和有效的指导机制，企业才能在不确定的技术环境中找到可持续的安全策略。最终，AI不是银弹，而是需要被精心引导的辅助工具。