CISA借助AI审计政府代码，网络安全进入新阶段
美国政府正在尝试把人工智能引入网络安全防线。
据消息人士透露，美国网络防御机构网络安全和基础设施安全局（CISA）目前正在使用Anthropic开发的人工智能工具，对政府代码进行安全审计，并已经发现多处潜在漏洞。
这项工作的意义并不只是提高代码检查效率，更反映出政府机构正在重新思考网络安全的工作方式。
长期以来，政府系统的软件安全审查主要依赖人工安全团队和传统自动化工具。面对不断增长的代码规模，这种方式越来越难以覆盖所有风险点。尤其是在云计算、开源软件和复杂供应链广泛应用之后，一段隐藏的问题代码可能影响多个系统。
AI工具的加入，为安全审计提供了新的可能。
相比传统漏洞扫描工具，生成式AI能够理解更复杂的代码逻辑，不只是寻找已知漏洞特征，还可以分析代码结构、识别潜在风险路径，甚至帮助安全人员解释漏洞形成原因。
对于拥有大量政府软件系统的机构而言，这种能力具有现实需求。
美国政府近年来持续加强关键基础设施网络防护。从能源、电力到通信、金融，大量基础系统都依赖软件运行。而软件规模越大，维护难度越高，人工审核成本也不断增加。
在这种情况下，AI辅助安全审计成为一种新的技术路线。
不过，将人工智能用于政府代码审查，也带来新的安全问题。
政府代码往往涉及敏感系统，如果使用外部AI模型处理相关内容，就必须考虑数据隔离、模型访问权限以及信息泄露风险。AI能够发现漏洞，但本身也可能成为新的攻击目标。
因此，安全机构通常需要在效率和控制之间寻找平衡。包括私有化部署、访问限制、数据脱敏等措施，都可能成为政府采用AI工具时的重要环节。
从产业角度看，CISA此次使用Anthropic工具，也体现出AI公司竞争正在从消费应用延伸到政府和企业级市场。
过去，人工智能竞争更多集中在聊天机器人、搜索和办公场景。但随着企业和政府机构开始将AI用于软件开发、安全防护和流程自动化，模型能力、安全合规以及行业适配能力正在成为新的竞争重点。
网络安全领域尤其如此。
攻击者已经开始利用AI提升攻击效率，包括自动生成恶意代码、发现系统漏洞以及进行钓鱼攻击。防御方如果仍然依赖传统工具，很可能难以应对攻击方式的快速变化。
因此，安全机构引入AI，本质上是一场技术竞速。
当然，目前AI安全审计仍无法完全替代专业人员。代码漏洞往往涉及业务逻辑、系统架构和实际运行环境，仅靠模型分析并不能解决所有问题。更现实的方向，是让AI成为安全团队的辅助工具，提高发现问题和处理问题的速度。
CISA发现多处漏洞的案例，说明AI在代码安全领域已经具备实际应用价值。随着政府和大型企业继续推进数字化建设，未来软件安全审查可能越来越依赖人工智能与专业人员结合的模式。
网络防御正在进入一个新的阶段：不仅要防范外部攻击，也要利用更先进的技术提前发现系统内部风险。对于政府机构而言，AI或许正在成为下一代安全基础设施的一部分。
