英国NCSC：2028年前AI勒索软件攻击关键基础设施“highly likely”

英国国家网络安全中心（NCSC）是英国网络安全的技术主管机构，隶属情报机构GCHQ。该中心于11月3日发布了年度报告《State of the Cyber Nation》。报告覆盖2025年9月1日至2026年8月31日，与《NCSC Annual Review 2026》同时发布，后者是该机构对其成立第十年的总结。最鲜明的一段涉及2028年。根据NCSC的新闻稿，到那时基于AI的恶意软件被用于针对英国国家关键基础设施的勒索软件攻击，是“highly likely”的，也就是非常可能。这句话应当按其本来面目理解：这是一项概率性的情报评估，既不是确定的预言，也不是已经发生的事实。该机构还估计，两年内敌对行为者对AI的使用很可能让三类活动变得更广泛、更高效：勒索软件、社会工程以及漏洞利用。

据美联社报道，报告的论点并不是AI会发明新的攻击，而是主要让现有手法更加有效，因为AI能够大规模地发现并利用长期被忽视的弱点。发布报告的是NCSC首席执行官理查德·霍恩。他在演讲中说：“In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents”。大意是：未来几个月，网络安全事件出现前所未有的激增，是一个现实的前景。随后他又补充了一句，把责任远远扩展到攻击者之外：“For decades, we have collectively got away with doing tech on the cheap”。也就是说，几十年来，我们所有人都靠着廉价凑合的技术侥幸过关。

同样据美联社报道，报告将中国列为英国面临的最大、最持久的网络挑战。报告称俄罗斯在武装冲突门槛之下开展行动，伊朗则攻击英国并针对其视为威胁的人士。美联社援引NCSC的数据称，恶意网络活动每年给英国机构造成近200亿美元的损失。报道还提到，英国和部分欧盟国家已将2025年12月针对波兰电网的攻击归咎于俄罗斯联邦安全局（FSB）：如果攻击得逞，多达50万人可能在冬天断电。这些数据来自美联社的报道，美联社将其归于NCSC和各国政府。总体而言，本文依据的是NCSC的官方新闻稿和美联社的报道，未查阅报告全文。

在应对方面，NCSC提到了财政大臣前一周宣布的三项措施。第一项是拨款6000万英镑，用于国家“Cyber Shield”的第一阶段。第二项是7000万英镑，用于建立“National Exposure and Real-Time Vulnerability（NERV）Centre”，负责识别关键基础设施和整体经济中的漏洞。第三项是由NCSC在曼彻斯特运营的新“AI Cyber Security Centre of Excellence”。在相关措施中，该机构还提到了《网络安全与韧性法案》（Cyber Security and Resilience Bill）以及即将出台的“National Cyber Action Plan”。英国安全大臣丹·贾维斯评论说：“The NCSC's latest annual report shows cyber threats are growing more sophisticated”。

与此同时，美联社转述的基本建议依然简单得出人意料：保持设备更新、限制管理员权限、备份重要数据。

耐人寻味的是，一份如此关注AI的报告，最终谈得最多的却是日常维护。对2028年的预测终究只是估计。而这三条建议没有任何假设成分：更新、限制管理员权限、备份。借用霍恩的比喻，廉价技术的账单并不是AI开出来的。AI只是可能让还款日提前到来。 — Olya