从“指南”迈入“强制令”！美国CISA拟发布人工智能安全约束性操作指令

进入2025年，美国网络安全与基础设施安全局（CISA）的动作明显提速。一份尚未正式公布、却已引起广泛讨论的草案显示，该机构正酝酿一项针对人工智能系统的约束性操作指令。这意味着，联邦政府对AI安全的态度，将从过去的建议性“指南”，直接跨越到具有法律强制力的“命令”。

对于长期跟踪网络安全政策的人来说，“约束性操作指令”（BOD）并不是一个陌生概念。它是CISA根据《联邦信息安全现代化法案》所拥有的权限，可以强制要求联邦民事机构采取特定安全措施。此前，这项工具主要用在修补已知漏洞、强化云安全配置等领域。

从软性建议到硬性约束的转折

过去几年，CISA围绕人工智能安全发布了一系列文件，从《人工智能风险管理框架》到各类专项指南，但基本都停留在“推荐实施”的层面。约束性操作指令的拟定，标志着政策逻辑的根本改变——决策层认为，自愿机制已无法应对AI带来的实时威胁。

多位参与前期研讨的消息人士透露，指令草案的核心目标，是建立一套覆盖AI全生命周期的“最低安全基线”。它不会是一刀切的禁令，而是要求联邦机构在使用或采购AI系统时，必须完成强制性的风险评估、红队测试和持续监控。未能达标者将面临预算或运营上的制裁。

为何此刻急于“亮剑”

触发这一转变的直接导火索，或许可以追溯到过去一年里频发的AI安全事件。从生成式大模型被操纵产生有害代码，到联邦机构试点应用中出现对抗样本攻击，再到关键基础设施的AI决策系统被数据投毒影响判断，风险已经不再是理论推演。

以能源部某实验室的案例为例，一个看似可靠的预测性维护AI，因为训练数据被悄然注入恶意样本，导致在特定条件下向运维人员推荐了错误的操作步骤。若不是人工复核及时，后果不堪设想。这类瞄准物理世界的威胁，让监管层感到“指南已经不够”。

指令可能覆盖的关键要求

根据目前泄露的起草要点，指令至少在四个维度划出红线。首先是透明度与可解释性，所有面向关键职能部署的AI系统，必须提供足够的文档和接口，确保安全人员能理解其决策逻辑，而不仅仅是对外输出一个分数或标签。

其次是持续性安全评估。机构不能只在采购时做一次检测，而是要在模型更新、数据漂移或应用场景变化时，重新进行压力测试。这意味着，安全将嵌入进AI的持续集成流程，成为一个动态过程，而非一个静止的节点。

再次是漏洞报告与响应。草案打算建立一个类似于网络威胁情报共享的机制，要求联邦机构在发现AI模型漏洞、滥用案例或系统性偏差时，限期向CISA报告。这种“强制上报”的机制，之前在关键基础设施领域已有先例，但用在AI上尚属首次。

联邦机构面临的压力与筹码

对于国防部、卫生与公众服务部等AI重度用户来说，约束性指令将直接改变技术采购的生态。它们需要在合同条款中加入安全验证要求，供应商必须开放模型权重、提供测试环境，甚至接受政府主导的红队演习。

这无疑会带来合规成本的上升，但CISA显然也准备了相应的筹码。内部评估报告指出，通过标准化安全要求，可以有效减少各机构重复测试的浪费，并防止低质量AI产品抢占市场。更重要的是，指令也可能成为联邦资金拨付的前置条件，形成切实的执行力。

科技企业的连锁反应

虽然指令的直接对象是联邦机构，但其辐射效应将迅速传导至整个科技供应链。为美国政府提供AI服务的厂商，无论是大型云提供商还是初创企业，都将被迫适应这一新规。一家不愿具名的AI公司安全负责人表示，他们已经在内部成立了专项组，提前研究如何构建“可论证的安全体系”。

值得关注的是，草案并不直接监管私营部门，但历史经验表明，联邦政府的规范往往会成为行业事实标准。ISO、NIST等国际标准组织通常会迅速跟进，将相似的条款纳入全球性的框架。因此，任何想进入美国市场或参与全球竞争的AI企业，都难以忽视这场合规变局。

国际上的回响与博弈

在大西洋的另一侧，欧盟已经通过《人工智能法案》建立起以风险分级为基础的监管体系。CISA的约束性操作指令，与欧盟路径形成了一种微妙的互补：前者侧重政府自身使用的强制安全基线，后者更面向市场进入和基本权利保护。

这种差异的背后，也隐藏着数字主权与贸易规则的博弈。有分析认为，美国正试图用“采购权”和“合同条款”作为杠杆，在不对产业施加正式立法限制的情况下，依然实现深度的安全治理。这种务实策略既避免了国会层面的政治僵局，又保持了对AI发展的牵引力。

争议与悬而未决的难点

不过，指令的落地并不平坦。首先是技术层面，许多前沿AI系统的内部运作仍然如同“黑箱”。即便强制要求解释，以当前的可解释性研究水平，能否在关键安全场景下提供真正有意义的信息，还存在极大争议。

其次是权衡问题。过度强调安全评估和打补丁，会不会拖慢AI在医疗诊断、灾害预测等领域的救命部署？一些临床研究机构已经表达了担忧，害怕合规时间比生命流逝得更慢。这类声音迫使CISA必须在安全与效率之间寻找动态平衡点。

还有法律权限的微妙地带。约束性操作指令的授权源自《联邦信息安全现代化法案》，但AI系统的风险有时既非纯粹的“信息安全威胁”，也非传统的系统漏洞。将这一命令扩展到模型行为安全与伦理偏差，是否超出法律授权范围，有待司法检验。

从被动防御走向主动塑造

无论争议如何，从指南到强制令的跃迁，已经清晰传递出一个信号：网络安全治理体系正在将人工智能安全纳入强制监管的核心叙事。这不再是留给后人的学术论文，而是当下必须面对的实践难题。正如一名前CISA高级官员在非公开场合所形容：“我们不能再给AI系统发放‘信仰驾照’，需要的是刹车、安全带和清醒的分级测试。”

这项指令的最终条款可能会调整，但它的出现本身就是一个关键里程碑。它要求所有AI安全的参与者——开发者、部署者和监管者，共同回答一个无法回避的问题：在一个智能体日益自主的世界里，安全基线到底应该由谁决定，又该如何被强制保障？答案的轮廓，正在这次政策跳跃中逐渐清晰。