高峰对话 思想碰撞

中国信息安全研究院副院长左晓栋，中国计算机学会计算机安全专委会主任严明，亚信安全副总裁、亚信网络安全产业技术研究院院长刘东红，启明星辰集团CBG战略咨询中心总经理、集团助理总裁韩明畅，北京中科同向信息技术有限公司董事长邬玉良，青藤云安全创始人&CEO张福以及中科院软件所首席研究员卿斯汉7位嘉宾在论坛高峰对话环节围绕“人工智能时代动态安全防御新技术、新趋势”和“‘安全自主可控’的机遇与挑战”话题展开了深入交流。

左晓栋表示，谈“自主可控”，首先要弄清什么是自主可控，和国外合作行不行？国外的产品能不能用？什么样的产品能用？在对待技术发展上有两种观点，一种观点认为，要关起门来，另起炉灶，彻底摆脱对外国技术的依赖，靠自主创新谋发展，否则总跟在别人后面跑，永远追不上。另一种观点认为，要开放创新，站在巨人肩膀上发展自己的技术，不然也追不上。这两种观点都有一定道理，但也都绝对了一些，没有辩证看待问题。

我们要遵循一定的标准，要搞清楚哪些是可以引进但必须安全可控的，哪些是可以引进消化吸收再创新的，哪些是可以同别人合作开发的，哪些是必须依靠自己的力量自主创新的。再者，自主可控是要到什么样的程度，这也需要标准来解释，这是一个科学问题，要基于客观事实。

同时，我国各厂商往往各自独立开发，没有建立起生态环境和生态系统，这样是行不通的，我们应该学习国外的“Wintel”联盟，联合起来共同开发基础硬件和软件，打造出完善的生态环境。

高峰对话环节现场

在严明看来，自主可控是安全的必要条件，而非充分条件。但是我们不能以此来否定它的必要性。在智能化的安全问题方面，严明认为这和其他安全问题有相似也有不相融的地方，包含两方面，一个是把AI（人工智能）技术运用到安全，一个是AI本身的安全。所以，在发展信息化建设，在研究AI或者智能化技术的时候，对它的安全新的挑战，也应该给予充分的重视，而不是等到这个挑战让我们吃到大亏的时候，再进行慢慢修补。

例如AI 的误判导致的潜在威胁和安全隐患。还有就是我们在谈AI时往往围绕算法、数据、网络等方面，但实际上AI还有执行机构，比如无人机和机器人的形式。我们在考虑智能化时，不能忘记它的执行机构的研究和发展，应该提前有所规划、有所思考、有所储备，才能让AI做得更好。

刘东红在谈到智能化和动态防御时表示，传统上的安全防御以设备的堆砌、人工的运维、静态的防御为主，已远远不能适应新的威胁带来的挑战。现在更多地谈动态防御、精密编排。这种安全能力要从战略层、战术层和工具层三个方面来综合考虑，从战略层的角度来讲是顶层设计，要落实主体、机制以及目标等等；在战术层就要构建安全的能力框架去制定威胁相应处置流程等等；工具层就把相关的技术工具、各个厂商的产品进行精密编排联动，使其能够各司其职，从而实现自动化的运维管理。这其中离不开人工智能技术，现在很多厂商都在研究将人工智能运用到安全领域，亚信安全也在做相关工作，并在识别安全威胁过程中达到自适应、自学习的能力，从而提高效率和分析的精确度等。同时，还将AI融入到精密编排联动的体系中，并取得了良好的效果。

韩明畅表示，启明星辰作为老牌的安全厂商，深刻理解到网络空间安全形势不断的发展变化，需要考虑如何颠覆原有的技术和模式，来适应新的安全形势，以应对更高强度的网络安全攻击。在未来将面临国家级高压的网络对抗，实际上这种高压对抗对网络企业产生新的挑战，网络空间类似海洋流体，具有复杂、开放、常态化接触对抗的性质，并且环境不断的变化。因此，韩明畅认为，不存在有效的网络攻击手段，也不存在永久的防御手段和措施，即使设计良好的安全体系也存在一定的风险，本质就是我们在网络安全领域将面临更多的不确定性。因此，在这种新的形势下，不仅是网络技术，网络的思维模式都发生了变化。需要借鉴灵活性来对抗不确定性，核心的目标就是取得网络空间的控制权，而且摒弃过去在网络里面常见的预设阵地的做法。在这种理念的指导下，近期启明星辰也研发了基于智能化定义的安全体系，来应对网络空间中不确定的、高强度的网络攻击。

邬玉良在谈到网络安全时认为，网络安全的发展需要多种方向，纵观网络安全发展历程，其实更多地是针对网络的“门”的防护，即在网络边界部署安全策略。但其背后的系统和数据才是关键，因此对于数据本身的防护是未来安全防护的重点。而在自主可控的发展道路上，有机遇也有挑战。国家从政策层面为自主可控的发展指明了方向，这对厂商来说是一种支撑。随着云计算、大数据等技术的发展，计算机技术出现了新态势和新环境，只有依靠创新才能把握弯道超车的机会。

张福详细解读了新形势下安全的发展方向，随着业务系统由封闭走向开放，意味着安全风险也成倍增加，过去的安全防御往往是建立在对黑客的认知基础上，通过建立安全团队去研究黑客的攻击方法。但张福认为，这种以有限的认知和资源去应对无限的和未知的攻击，是注定不会成功的。因此，必须把注意力从黑客身上转移到自己身上。如果能够对自己的认知非常清晰，在整个体系运转的过程中，能够产生很多内在的指标，通过分析这种指标去发现其内部的规律，无论黑客用了什么样的漏洞、工具或方法，只要在网络内部活动，一定会产生某种变化，关键是有没有这个水平和能力去敏锐地发现目标，这其中只靠人工是不够的，因此，需要结合AI技术来实现，这是未来安全的发展趋势。

卿斯汉介绍了如何看待未来AI与信息安全的发展，AI技术的发展也经历了几次高潮和低谷，近年来再次变得火热，但目前AI仍旧处在一个较初级的阶段。

因此，一方面我们还要继续加大研究，把握好未来的发展方向。另一方面需要根据AI发展趋势来考虑信息安全的需求，是否需要构建一个新的安全架构？例如物联网体系下的认证技术与其他安全体系是不同的，所以我们需要建立AIoT，即“健壮的物联网结构”下的安全保护体系。当然还有物联网体系下密钥的存储也是有着不同的策略，这些都是需要考虑的。