XIA LEI 
一种新型入侵者
几十年来，攻击政府系统需要技术娴熟的人员长时间工作：调查目标、撰写钓鱼邮件、探测网络、筛选窃取的文件。到了 2025 和 2026 年，情况发生了变化。自主 AI 智能体——能够自行规划、使用工具并采取行动的软件——如今只需极少的人工协助，就能完成其中大部分工作。
2025 年末，AI 公司 Anthropic 公开报告称，其阻止了一起被描述为主要由 AI 编排的间谍活动：一个与国家相关的团体利用 AI 编程智能体，协助攻击约三十个组织，其中包括政府机构。无论具体细节如何，对每个公共机构的启示都很明确：未来的攻击者不再是单个黑客，而是一台不知疲倦、可无限扩展的机器。
本文先从宏观层面解释 AI 智能体如何被用来攻击政府，然后重点讨论最重要的问题——如何防范。
> 本文面向防御者：公务员、IT 团队、政府供应商以及关心此事的公民。文中刻意不包含任何分步攻击说明。
为什么政府是首要目标
政府掌握着世界上最有价值的一些数据：
- 公民记录——税务、医疗、福利、移民、执照和选民数据
- 政策与谈判文件——贸易、国防和预算计划
- 关键基础设施信息——供水、能源、交通和应急系统
- 身份系统——公民用来访问其他所有服务的登录账户
公共机构通常还拥有庞大而老旧的 IT 系统、众多外部供应商，以及按设计需要公开大量信息的工作人员。这种组合使其同时成为犯罪团伙、黑客活动分子和外国情报机构的目标。
AI 智能体如何改变攻击方式
1. 机器速度的侦察
政府天然是透明的：组织架构图、招标文件、员工简介、技术岗位招聘和新闻稿都是公开的。AI 智能体可以在几分钟内读完成千上万份此类资料，清楚地描绘出谁在哪里工作、机构使用哪些系统和供应商，以及谁可能拥有特权访问。
2. 高度个性化的钓鱼与冒充
生成式 AI 能以任何语言和语气写出完美、贴合语境的信息。结合声音克隆和深度伪造视频，攻击者可以逼真地冒充部长办公室、供应商或 IT 服务台——并且能同时针对数百个目标，为每位收件人量身定制内容。
3. 自动探测暴露的系统
AI 智能体可以持续寻找被遗忘的网站、未打补丁的公共服务、泄露的密码和配置错误的云存储，然后优先攻击最薄弱的环节。过去需要一个团队数周的工作，如今一夜之间即可完成。
4. 攻击政府自己的 AI
各机构正在为公民和员工推出聊天机器人和 AI 助手。这带来了一种名为提示注入的新弱点：在文档、邮件或网页中放置隐藏指令，诱使 AI 助手泄露数据或执行不应执行的操作。一个能读取内部文件并发送邮件的 AI，会成为极具价值的攻击目标。
5. “马赛克效应”
单独看无害的公开数据集，经 AI 组合后可能暴露敏感信息——例如把匿名记录重新关联到真实个人，或从零散线索中推断出敏感设施的位置。
6. 更快地整理被窃数据
过去攻击者入侵后最耗时的环节是找出有价值的文件。如今 AI 能在数小时内对窃取的文件进行摘要、翻译和排序，大大压缩了防御者发现和响应的时间。
如何防范：多层防御
没有一劳永逸的解决方案。最有效的方法是纵深防御——设置多道防线，即使一道失守，其他防线依然有效。
第一层：严控身份
大多数入侵仍始于被盗的登录凭证。
- 为所有员工，尤其是管理员，启用抗钓鱼的多因素认证（安全密钥或通行密钥）。短信验证码已不够安全。
- 最小权限原则：只给每个人和每个系统真正需要的访问权限，岗位变动时及时收回。
- 独立的管理员账户，仅用于管理工作，绝不用于收发邮件或浏览网页。
- 通过其他渠道核实异常请求：如果“部长办公室”通过邮件或视频通话紧急索要数据，请拨打已知的电话号码确认。
第二层：打补丁并缩小攻击面
AI 智能体非常擅长找到被遗忘的东西。
- 维护一份最新的所有对外系统清单，包括旧项目网站和由供应商运营的服务。
- 快速为面向互联网的系统打补丁——严重问题应在 48 小时内处理。
- 关闭不再使用的服务。
- 遵循公认的安全基线，例如澳大利亚的 ASD Essential Eight、英国的网络评估框架（CAF）或美国的 NIST 网络安全框架。
第三层：用 AI 进行防御
机器速度的攻击需要机器速度的防御。
- 基于行为的检测，发现异常登录、数据下载或账户活动，而不仅仅是已知威胁。
- 自动响应，能在几秒内冻结可疑账户或隔离设备，事后再由人工复核。
- AI 辅助威胁狩猎，帮助小型安全团队审查远超人力所及的告警数量。
第四层：保护政府自己的 AI 系统
机构部署的每一个 AI 助手都必须被视为潜在的入口。
- 限制 AI 的访问范围：面向公众的聊天机器人绝不应读取它不需要的内部数据库。
- 保持人工参与：任何发送数据、修改记录或涉及资金的操作都需人工确认。
- 将 AI 读取的一切内容视为不可信——邮件、上传的文件和网页都可能包含隐藏指令。
- 记录 AI 的每一个操作，以便调查人员了解发生了什么。
- 在上线前及之后定期对 AI 系统进行红队测试，可参考 OWASP 大语言模型应用十大风险和 NIST AI 风险管理框架。
第五层：数据最小化与保护
不保存的数据就不会被窃取。
- 只收集必要的数据，并按期删除。
- 对静态和传输中的敏感数据进行加密。
- 在以开放数据形式发布前，评估数据集的马赛克效应风险。
- 使用数据防泄漏工具，标记异常大量或异常的下载。
第六层：管理供应商
许多政府数据泄露都源自承包商。
- 在每份合同中写明安全要求，包括 AI 的使用。
- 只给供应商有时限、受监控的访问权限。
- 要求供应商迅速报告安全事件。
第七层：为 AI 时代培训员工
- 让员工知道声音、面孔和写作风格如今都能被伪造。
- 开展逼真的 AI 生成钓鱼演练——以支持为目的，而非惩罚。
- 让报告变得简单：一键举报可疑信息，并对报告者表示感谢而非指责。
第八层：为入侵做好准备
假设总会有攻击突破防线。
- 保留离线且经过测试的备份。
- 制定书面的事件响应计划，每年至少演练一次，并让领导层参与。
- 提前明确联系对象——澳大利亚的 ACSC、英国的 NCSC 或美国的 CISA 等国家网络安全机构都能提供帮助。
公民能做什么
政府的安全同样依赖公众：
- 用强而独特的密码和多因素认证保护你的政府登录账户（例如 myGov）。
- 对“来自政府”的、要求你点击链接或确认信息的消息保持警惕——请直接访问官方网站。
- 向本国的诈骗举报服务报告诈骗行为。
结语
AI 智能体让针对政府的攻击变得更快、更便宜、更逼真——但同样的技术也为防御者带来了强大的新工具。能够保持安全的机构，并不是购买最昂贵产品的机构，而是把基础工作做好的机构：强有力的身份保护、及时打补丁、严格限制自身 AI 系统、最少化数据、妥善管理供应商，以及训练有素的员工。
这是一场 AI 对 AI 的军备竞赛。确保防御方的 AI——以及指导它的人——始终领先一步，如今已成为良好治理的核心组成部分。
