第48期

2月6日，加拿大政府发布了新版国家网络安全战略，相比2023年版本，在全球合作、技术创新、供应链安全、数据隐私保护等领域做出了更多前瞻性调整和强化。特别是在量子计算、人工智能和新兴技术的应对措施上，战略内容更加深入，不仅明确了如何利用这些新技术来提升国家的网络防御能力，还着重强调了规避技术滥用风险的重要性。此外，新战略还加大了对人才培养和跨部门合作的重视，表明加拿大致力于在未来的网络安全挑战中保持领先地位的决心，确保国家、企业和公民的网络安全。

2月4日，欧盟公布《人工智能法案》（AI Act）的指导方针草案，旨在为人工智能技术的开发和应用制定全面的监管框架。该草案将人工智能系统的风险等级进行了分类，并针对高风险应用领域（如医疗、交通、执法等）提出严格的要求，包括透明度、数据治理和人工监督等。对于低风险应用，则采取较为宽松的监管，以鼓励创新。此外，草案明确禁止部分被认为对社会构成不可接受风险的人工智能应用，如社会信用评分系统和实时大规模生物识别监控。该法案的出台旨在平衡人工智能技术的创新潜力与伦理风险，确保其在充分尊重人权和隐私的前提下发展。欧盟希望通过此举在全球人工智能监管领域占据领导地位，并为其他国家提供参考。接下来，草案将进入讨论和修订阶段，最终版本预计将对全球人工智能行业产生深远影响。

2月6日，日本政府批准了《主动网络防御法案》，标志着其在网络安全战略上的重大调整。该法案允许政府在未获得相关方许可的情况下主动进入外部网络系统，旨在识别、预防和消除潜在的安全威胁，特别是针对关键基础设施、政府机构和国家安全的网络攻击行为。此外，政府还可监控网络流量并采取防御措施，如删除恶意软件或阻断攻击源。然而，该法案的出台引发了公众对隐私侵犯和滥用权力的担忧。为此，日本政府承诺将设立严格的法律框架和监督机制，确保权力使用的合法性和透明性。此法案的通过反映了日本在应对复杂网络威胁上的主动转变，旨在兼顾国家安全与公民权利的保护。

2月8日，针对DeepSeek及其是否对美国家安全构成威胁的问题，美总统特朗普表示，“这是一项正在发展的技术，如果发展得当，美国将会从中受益，因为现在所涉及的人工智能成本将远低于人们最初的预期，这无疑是一件好事”。在此之前，美国会曾提出《2025年美国人工智能能力与特定国家脱钩法案》，其主要内容包括：禁止美国人在特定国家境内推进人工智能能力，禁止下载或使用DeepSeek，违者将被定性为犯罪，最高可判处20年监禁。

2月10日，法国将在巴黎爱丽舍宫举办为期两天的AI行动峰会，旨在推动人工智能全球治理和开放源代码发展。此次峰会汇聚了来自80个国家的领导人、科技企业的高管和研究人员，其中包括美副总统万斯（JD Vance）、OpenAI首席执行官萨姆·奥尔特曼（Sam Altman）和谷歌首席执行官桑达尔·皮查伊（Sundar Pichai）。峰会将聚焦于AI的开源能力、对劳动力市场的影响，以及如何通过建立新的全球AI平台来打破少数国家对AI能力垄断的局面。法国总统马克龙强调，AI发展需要规则，以避免歧视和大规模监控。此外，峰会还将讨论欧洲在AI领域的追赶策略，以及如何在不阻碍创新的情况下进行适度监管。

2月6日，法国政府宣布已与阿拉伯联合酋长国达成框架协议，共同开发投资额介于300亿至500亿美元之间的千兆瓦级人工智能数据中心。在巴黎人工智能峰会召开前夕，法国总统马克龙与阿联酋总统谢赫·穆罕默德·本·扎耶德·纳哈扬（Sheikh Mohamed bin Zayed al-Nahyan）进行了会晤。除了数据中心，双方还计划在芯片制造、人才培养和主权AI基础设施等多个领域展开深度投资合作。

2月4日，阿拉伯联合酋长国宣布将于2026年在阿布扎比举办AI Everything全球峰会。在近期公布的《阿布扎比政府数字战略2025-2027》的推动下，阿布扎比的目标是在未来两年内成为世界上首个完全由人工智能驱动的政府。

2月6日，谷歌宣布放弃其曾作出的“不开发武器化人工智能”的承诺，此举引发广泛争议。早在2018年，谷歌曾承诺不会开发用于武器化的AI技术，尤其在军事领域。然而，随着谷歌与美国防部合作的不断深化，该公司逐渐开始参与多项涉及AI的军事项目，包括自动化武器系统和数据分析技术。此次放弃承诺的决定引发了关于伦理和社会责任问题的激烈讨论。

2月1日，美海军在导弹驱逐舰“菲茨杰拉德”号上首次部署了人工智能系统ERM v4，该系统能够以每秒约10,000次的频率处理传感器数据，实时监控船体和设备状况并生成维护建议。通过捕捉细微的模式和偏差，ERM v4帮助船员在问题恶化前排除故障，确保舰艇始终处于作战准备状态。海军希望借助该系统，解决长期存在的维护延迟和战备不足等问题，从而提高工作效率并缩短修复时间。未来，ERM v4将扩展到更多舰艇，并在2025年进行数据训练，进一步提高维护预测的准确性。此次部署是美国防现代化进程的一部分，旨在利用人工智能提升军事装备的维护效率。与此同时，私营部门也在与国防公司合作，共同开发诸如预防无人机袭击军事设施等新技术。

2月1日，Meta公司首席执行官马克・扎克伯格（Mark Elliot Zuckerberg）宣布，公司今年将斥资至少600亿美元用于建设配备130万块图形处理单元（GPU）的人工智能数据中心。Meta透露，目前正在美路易斯安那州的理奇兰郡建造一座总供电能力达2GW的数据中心，其供电规模可覆盖美纽约曼哈顿大部分区域。年内，该数据中心将有1GW的计算资源投入运营，年底前该数据中心将拥有超过130万块GPU。

1月27日，DeepSeek官方网站显示，其线上服务遭受大规模恶意网络攻击。此前，DeepSeek在苹果应用商店的下载量迅速攀升至榜首，成为美评分最高的免费应用之一，并在谷歌Play商店中名列前茅。该应用的火爆引发了美科技股大幅下跌，特别是AI芯片制造商Nvidia的股价在早盘交易中暴跌13.6%，市值蒸发约5000亿美元。据奇安信安全专家监测，DeepSeek近一个月来持续遭受来自海外的攻击，自1月27日起攻击手段升级，包括分布式拒绝服务（DDoS）攻击和大量密码爆破攻击。此次攻击分为三个阶段：1月3日至7日为疑似HTTP代理攻击；1月20日至26日转为SSDP、NTP反射放大攻击；1月27日起攻击数量激增，主要为HTTP代理攻击，防御难度显著增大。攻击峰值出现在北京时间1月28日凌晨3点至4点（对应北美东部时间下午2点至3点）。对此，DeepSeek已采取紧急措施，如IP切换等，以应对此处攻击。

1月31日，DeepSeek的AI助手应用程序在2025年1月成为iOS App Store下载量第一，但其迅速崛起也吸引了网络犯罪分子的关注。恶意行为者利用DeepSeek的知名度大肆发起网络钓鱼活动、投资诈骗以及恶意软件攻击。他们设立欺诈网站冒充DeepSeek平台，通过二维码钓鱼手段窃取加密货币钱包信息；同时推出虚假代币和IPO前股票骗局诱骗投资者；更有甚者，将恶意软件（如AMOS Stealer）伪装成DeepSeek应用程序进行数据窃取。此外，DeepSeek的开源语言模型被曝存在越狱漏洞，可能会生成有害代码。尽管DeepSeek已修复数据库泄露问题，但用户仍需保持警惕，避免使用非官方来源，并加强网络安全防护措施。

2月4日，由美国、英国、加拿大、澳大利亚和新西兰组成的五眼联盟网络安全机构联合发布了关于网络边缘设备安全的指导文件，旨在提高设备的取证可见性，帮助防御者更迅速地检测和应对网络攻击。相关文件包括《网络设备和器具生产商的数字取证与保护监测规范指南》和《边缘设备的安全注意事项（ITSM.80.101）》。文件指出，边缘设备（如防火墙、路由器、VPN网关等）因缺乏端点检测、固件更新和强身份验证，已成为网络攻击的主要目标。为此，指导文件建议制造商在设计阶段启用强大的日志记录和取证功能，支持实时日志传输、易失性和非易失性数据收集，并要求系统所有者能够解密存储数据以便进行检查。英国家网络安全中心（NCSC）建议制造商默认启用强大的日志记录和取证功能，以更好地支持网络防御工作。

2月5日，美众议员南希·梅斯（Nancy Mace）再次提出一项两党法案《2025年联邦承包商网络安全漏洞削减法案》，要求联邦承包商实施漏洞披露政策（VDP），以弥补现有网络安全标准的漏洞。该法案旨在扩展联邦机构已有的漏洞披露要求，覆盖所有民用和国防承包商，确保他们在网络安全方面遵循美国家标准与技术研究院（NIST）的标准。法案要求管理和预算办公室（OMB）更新《联邦采购条例》（FAR），国防部更新《国防联邦采购条例补充》（DFARS），以强制执行这一政策。

2月6日，英国正式启动网络监控中心（CMC）。该中心将专注于监控和分析全国范围内的网络攻击、恶意活动和潜在的安全漏洞，特别是针对关键基础设施、政府机构和商业领域的网络威胁。新成立的监控中心将利用先进的人工智能技术，实时分析网络流量，识别潜在的攻击模式，并为相关部门提供响应建议。此外，该中心还将与英国国家网络安全中心（NCSC）等网络安全机构紧密合作，实现信息和威胁情报共享，以便快速识别和应对包括勒索软件、APT攻击在内的各种网络攻击。同时，网络监控中心还将推动跨部门合作，强化公共和私营部门在网络安全方面的协作。英国政府强调，建立这一中心是为了确保国家在全球网络安全领域的领先地位，并保障民众与企业的网络安全。

2月4日，埃隆·马斯克（Elon Musk）领导的政府效能办公室（DOGE）员工获得了对美联邦网络的无限制访问权限，这一消息引发信息安全专家的深切担忧。据透露，DOGE员工可能会将未经授权的计算机连接到联邦机构网络，从而暴露联邦雇员的敏感数据，包括背景调查和安全许可信息。专家警告，这种行为可能会对财政部支付系统和国家安全构成威胁，因为其中涉及情报承包商的付款数据以及高级官员的个人信息。此外，DOGE还可访问美国际开发署和教育部系统，而该办公室员工中有6人缺乏政府工作经验。专家指出，未经授权的访问和潜在的敏感数据存储增加了安全风险，有可能成为“历史上最大的政府数据泄露事件”。目前尚不清楚DOGE对联邦系统的渗透程度如何，但马斯克的参与并未增强系统的可靠性。对于此事，官方尚未发表评论。

2月3日，印度尼西亚计划通过加强军事训练和招募民间网络专家的方式，推动其网络防御能力的现代化进程。印尼武装部队信息中心负责人哈里扬托少将（Hariyanto）表示，军方计划通过教育和训练提升士兵在网络领域的技能水平，并招募民间技术人员以增强在信息技术、网络安全和人工智能方面的能力。军方还计划延长现役人员的高级数字安全训练课程，并启动面向民间网络专家的招募计划。哈里扬托强调，这一战略旨在充分利用民间人才的专业知识加强国家网络防御。印尼政府在2024年建立了一个专注于数字安全的军事部门，以应对持续的网络攻击，特别是2024年7月的重大攻击。此举旨在确保国家在物理战场外的安全，提升整体网络防御能力。

1月28日，英国议会与上议院通过国家安全战略联合委员会（JCNSS）启动了一项新调查，旨在评估海底电缆的脆弱性。此次JCNSS的调查将重点评估英国保护海底电缆（包括岸上连接部分）的能力，以及在面临重大和长期中断情况下的恢复能力。调查将研究英国的现行战略、与盟友和合作伙伴的协同机制、威慑和补救措施的优化方案，以及跨政府协调的充分性评估。此外，调查还将探讨英国在互联网基础设施遭遇重大中断时的恢复能力。

1月31日，英国国家网络安全中心（NCSC）提出了一种新的漏洞评估方法，将漏洞分为“可原谅”和“不可原谅”两类，旨在消除常见漏洞并简化关键防御机制的实施过程。研究表明，尽管许多漏洞难以避免，但某些错误却年复一年地重复出现，表明严重违反了安全开发原则。NCSC基于CWE-2023列出的25个最危险漏洞，确定了11种解决方法，并根据实施复杂度（成本、知识可用性和技术可行性）评估其可行性。如果一个漏洞可以通过简单的方法修复，则被归类为“不可原谅”。以SQL注入漏洞为例，NCSC分析了三种解决方法，其中两种复杂度适中，而另一种则相对简单，因此，该漏洞被归类为“不可原谅”。NCSC强调，此类“不可原谅”漏洞不应在任何程序代码中出现。

《中国信息安全》杂志倾力推荐

“企业成长计划”