又一年RSA Conference 落幕。推动AI 落地的，或许是CTO 和CEO；但真正站在一线、承受后果的，是CISO。
三天时间——以及过量的咖啡、红酒，还有挥之不去的存在性焦虑——我最大的几点观察如下。
1）AI 的采用已经在发生——无论安全是否批准
最反复出现的模式是：业务不会等待。在很多组织里，员工正绕开正式流程，使用个人设备，接入未经授权的工具，只因为合规选项太慢、太受限。
我们曾经担心Shadow IT。
而今天的“Shadow AI”，在量级上更甚——更快、更隐蔽，影响面也更大。如果你跟不上节奏，员工自然会绕过你，另寻路径。
2）安全团队需要从“阻止”，转向“在边界内赋能”
“‘No’部门”的时代已经结束。真正跑在前面的团队，并不是一味收紧控制，而是在做这些事：
只批准一小部分高质量工具
让这些工具真正易用
明确什么可以做、什么不可以提供
安全的沙盒环境用于探索
更关键的是，他们会观察员工在这些沙盒中“真实想做什么”，再将这些行为沉淀、产品化，转化为被批准的工作流。
思维模型需要改变：不再是阻止AI，而是塑造AI 的使用方式。
3）以用例为中心的安全，优于一刀切的策略
一个非常实际的突破点是：从“用例”出发，而不是从“工具”出发。先问一句：你到底想做什么？
因为不同的AI 使用场景，本质上并不相同：
分析品牌活动的公众舆情→ 低风险
上传客户合同或源代码→ 高风险
太多团队把这些一视同仁，结果就是一切都被拖慢。
更优的路径是：对数据进行分级，理解使用意图，再据此施加控制。安全的意义，不在于说“不”，而在于看清“哪里真正重要”。
4）最大的风险，来自“连接器”
真正的风险，并不在于人们在LLM 里输入了什么，而在于AI 工具连接到了哪些系统。
当一个LLM 接入邮箱、Slack、Google Drive、内部数据库、代码仓库时，问题就不再是“某个人输入了什么”，而是——它已经持续访问你的整套记录系统。
一旦工具被广泛连接，数据暴露的风险将指数级放大。这，正是下一波AI 安全事件最可能爆发的源头。
5）AI 正在压缩攻防时间尺度
AI 正在重塑攻击方式，三个变化尤为明显：
攻击者行动更快
低技能攻击者也能造成更大破坏
防守方必须逼近“机器速度”运作
一个广泛共识是：在某些攻击类型中，“人类速度”的安全防护已经不再足够，尤其是在钓鱼攻击、漏洞发现和智能体滥用等场景。
安全的“时钟速度”，已经被彻底改写。
6）真正的瓶颈在组织，而不在技术
技术已经具备，组织却尚未准备好。
问题集中在：
权责割裂（安全、合规、法务、运营各自为政）
过时的风险框架
决策缓慢
文化上的抗拒
当安全团队努力探索如何“安全地开放能力”时，风险与审计团队往往成为新的阻力——他们更倾向于阻止那些尚未完全理解的事物。
但“零风险”的诉求，与AI 的采用本质上是冲突的。创新意味着接受风险；否则，只会把行为逼入地下。
7）新的控制平面：身份× 数据× 智能体
安全问题，不会通过更多工具得到解决，而会通过更清晰的控制层得到重构。最终，一切都收敛为三个问题：
谁在行动？（身份/ 智能体）
访问了什么？（数据）
想做什么？（行为）
如果能够定义并执行好这三层控制，就可以在限制风险外溢的同时，实现有边界的自治，并在不失控的前提下加速前进。
这是面向智能体时代的安全模型基础。
8）智能体带来了新的安全与可观测性问题
智能体构成了一类全新的风险：它们以目标为导向，可以串联多步行动，并可能产生不可预期的行为。
这带来了新的运营挑战：
发现：知道系统中存在哪些智能体
授权：为其分配清晰、可控的权限
记录：采集足够的日志，以便还原行为路径
一个普遍担忧是：智能体系统会产生海量遥测数据，带来成本与存储压力。这意味着，防守方必须更聪明地决定记录什么、如何分析。
9）AI 正在使功能商品化，价值转向速度与服务
一个核心趋势是：AI 正在迅速让产品功能“趋同”。当核心能力越来越容易被复制，厂商之间的差异，正在转向：
执行速度
定制能力
服务与专家能力
实时响应客户需求的能力
一位CEO 提到：“如果客户提出一个需求，我们应该能在24 小时内交付。”——这正在成为新的行业基准。
无法快速适应的厂商，将逐步沦为“历史遗留供应商”；而真正的赢家，是那些能够快速定制、持续交付、接近实时响应客户的公司。
10）风险管理本身，需要被重写
传统的风险管理方法，已无法适用于AI 时代——因为规模与速度前所未有，决策高度去中心化（成千上万的员工在使用AI），且结果更加难以预测。
新的路径应当包括：
教育与赋能
清晰边界（数据、身份、使用方式）
接受“可控风险”
而最难的，正是第三点：没有对风险的接受，就不会有真正的创新。
今年RSA Conference 最大的变化，并不在某一个具体工具或威胁上，而在于——时间被压缩了。
构建周期更短，攻击周期更短，学习周期也更短。
我们真正需要调整的，是自身的运行方式，以匹配这个全新的速度世界。
原文链接：
https://saanyaojha.substack.com/p/the-department-of-no-meets-the-age
声明：本文来自安全喵喵站，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
