2024年十大网络安全趋势盘点 | AI推动网安发展

2024年是网络安全行业发生巨变的一年，不仅攻击技术在AI的推动下更加复杂化，监管要求也更加严格。以下是对2024年呈现的网络安全十大新趋势的全面盘点和解析：

AI编程助手暗藏风险

AI编码助手的普及为开发流程带来了显著的效率提升，但也带来了不可忽视的风险。一些企业匆忙采用AI生成代码工具，但缺乏相应的开发者培训，导致代码缺陷率上升，甚至引发新的安全漏洞。研究显示，在许多情况下，AI生成的代码在被部署后，其问题解决时间比传统开发流程更长。

AI编程助手在高度结构化和易于衡量的任务（如静态应用程序安全测试中的漏洞修复）中表现出色，但广泛应用中却存在隐患。这表明，AI工具的使用应更加谨慎，选择适合其优势的场景，而不是盲目推广。

未来，企业应加强对AI技术的监控和评估，确保在享受技术红利的同时，将潜在风险降低到一定程度。

新法规推动上市公司安全事件透明化

美国证券交易委员会（SEC）2023年出台的新规，对上市公司网络安全治理提出了更高要求。这些规定要求企业披露重大网络安全事件，并且必须在发现重大性风险后的四个工作日内提交报告。这一变化显著增加了安全领导者的披露责任。

SEC的“重大性”定义不仅限于财务损失，还包括声誉损害、运营中断等定性风险。这为企业带来了评估难题：何时定义为重大性？如何平衡风险披露与商业秘密保护？

未来，透明化将成为监管环境下的主旋律，企业需构建更加完善的披露机制，同时提升对投资者的保护能力。

小型企业加速安全投资

过去，小型企业往往在快速成长后才会关注网络安全。但如今，许多初创公司在早期阶段便引入虚拟CISO（vCISO）服务，甚至在完成最小可行产品（MVP）前便开始设计安全和合规策略。

与中大型企业的合规驱动不通，小型企业正通过安全认证（如ISO 27001）加强其市场竞争力，以赢得大客户信任。这一趋势表明，网络安全正从“成本中心”转变为“业务助推器”。

对于初创企业而言，早期的安全规划不仅是风险管理的保障，也是未来增长的基石。

云计算需要设立信任办公室以应对信任危机

信任危机的爆发。近年来，云服务商的多次重大安全事件（如Snowflake和Okta的停运事故）导致用户对其信任度大幅下降。传统的安全问卷和责任分摊模式无法满足客户需求，这进一步放缓了云服务的采纳速度。

一些领先企业开始建立“信任办公室”，以透明的沟通方式重新赢得客户信任。这些办公室直接回应客户对数据安全、隐私和故障恢复的担忧，增强了客户的信心。

未来，随着AI和云技术的普及，信任办公室有望成为企业的标准配置，从而在客户关系中占据更加核心的位置。

第三方安全审查流程的优化需求

现有安全审查流程存在局限性。例如供应商安全验证依赖繁琐的问卷和报告（如SOC 2），但这些方法费时费力且效果有限，无法真正降低第三方供应链中的风险。数据显示，尽管企业花费了大量资源进行验证，第三方和第四方的安全漏洞仍在增加。

AI工具正在加速问卷处理流程，使供应商能够更快、更准确地完成评估。然而，要彻底变革第三方安全审查流程，仍需要新的解决方案，以便在效率和安全性之间找到平衡。

未来，企业应探索更先进的验证机制，以应对供应链威胁日益复杂化的趋势。

针对鱼叉式钓鱼的应对需求增加

钓鱼攻击正变得越来越复杂。2024年的钓鱼攻击不再是单一模板，而是通过高度定制化邮件，针对不同用户进行精确打击。这种方法不仅提高了攻击成功率，也增加了检测和响应的难度。

为了应对复杂化的钓鱼攻击，企业需要加强事件响应能力，增加事件响应团队的人员配备，利用更先进的工具对邮件进行实时监控。与此同时，安全意识培训仍是防范此类攻击的关键。

未来，随着攻击者技术的不断提升，企业需要更多创新的检测手段来应对复杂钓鱼活动。

AI是柄双刃剑

AI技术快速发展，但其潜在的安全威胁往往难以预料。安全团队需要实时监控AI系统的运行状况，以应对突发性风险。

企业必须为员工提供关于AI安全风险的教育，同时保持技术敏捷性，优化AI的正面效应，抵御可能的威胁。

未来，AI技术将进一步渗透安全领域，但企业需要警惕其可能引发的系统性风险。

深伪技术成为新兴威胁

生成式AI推动了深伪技术的发展，这为身份伪造和欺诈提供了新的工具。攻击者利用逼真的假视频和语音进行诈骗，甚至可能在企业内部制造混乱。

安全团队需要通过AI和机器学习技术检测深伪内容，同时加强员工意识培训，帮助他们识别潜在的攻击，技术对抗与意识培训双管齐下。

未来，深伪技术的应用场景将更加广泛，安全团队需未雨绸缪，以应对其可能带来的重大威胁。

第三方威胁的复杂化与分散化

随着企业逐渐采用多云和SaaS架构，传统的边界防护策略已无法适应新环境中的风险管理需求。身份验证与访问控制成为现代安全管理的核心。

新的风险管理模式要求企业构建基于身份和数据的动态安全框架，以应对分布式环境中的复杂威胁。这种转变要求企业在安全策略上更加灵活，确保数据和系统的访问权限始终在控制范围内。

AI与自动化重塑漏洞管理

AI已经证明能够提升漏洞修复效率。借助AI工具，企业能够更快速地进行漏洞分类、优先级排序和分发。与传统的SOAR工具相比，AI解决方案减少了对人工脚本的依赖，使漏洞管理更加高效。

在动态云环境中，海量漏洞的修复对团队资源提出了极高要求。AI和自动化工具的引入，不仅缓解了资源压力，也显著提高了修复速度和准确性。

CAISP

人工智能安全认证专家

CAISP认证由云安全联盟大中华区发布，是一个全面覆盖AI安全领域的培训认证项目，从技术、法律、道德与伦理等多方面，提升AI安全综合治理能力；通过实际案例和实践指导，提升解决AI安全实际问题的能力。

该认证课程不仅填补了国内AI安全认证培训的空白，也为推动我国AI安全领域的技术创新和产业发展作出重要贡献。

承制CAISP培训班

在24年9月1日，由CSA官方举办的CAISP培训已有74位学员获得CAISP认证，成为中国首批CAISP持证专家。

承制科技作为CSA授权培训机构，在11月30日也成功举办了承制首期CAISP认证培训班，并且有不少学员已经申请并通过考试。

承制将继续提升CAISP教学服务质量，并预计在25年3月举办下一期CAISP直播培训班，现在报名可开通录播、习题供您提前预习。

CAISP学习对象

• AI行业相关人员：AI工程师与开发者、AI安全工程师、AI应用终端用户；
• 安全相关人员：安全研究员、合规与风险管理专员、网络安全从业者；
• 其他：政策制定者和监管机构、科技管理者、在校学生

CAISP课程内容

模块	培训内容
AI安全概述篇	AI与AI安全基本概念AI与安全衍生技术发展脉络
技术基础篇	常见AI算法与模型介绍AI模型与算法安全性分析数据隐私保护与安全措施
安全风险篇	大模型安全风险概述典型攻击与应对策略：提示攻击、对抗攻击、梯度泄露攻击、推理攻击、模型萃取攻击、供应链攻击、应对策略防御机制解析
政策与治理篇	国内外AI安全法律法规、标准规范分析AI安全治理框架
全生命周期管理篇	DevSecOps与AIAI安全需求分析与设计安全的AI系统开发指南与实践AI安全测评框架应用AI渗透测试技术与方法AI安全运营保障体系建设
标准与评估篇	AI安全框架AI成熟度模型应用与评估AI安全标准与测评认证实践
特别篇ChatGPT的安全影响	恶意行为者利用LLM的安全分析 防御者如何将LLM应用于网络安全恶意提示词攻击的防范措施 企业安全使用ChatGPT的最佳实践
实践案例篇	现实世界中的AI安全问题深度分析解决方案制定与应对策略关键领域的AI安全最佳实践案例行业大模型应用及安全实践案例
伦理与未来发展	AI伦理道德挑战与分析典型场景下的AI伦理道德风险未来发展趋势
考前串讲	考前要点讲解与考前练习

CAISP证书样例