编者按

美国国防部正推动承包商更直接参与网络行动，其核心理念是所谓的“网络效应即服务”（CEaaS）模式，旨在满足新技术和新能力需求并应对快速演变的网络空间威胁。CEaaS模式彰显出美军网络行动策略正在发生以下几方面改变：一是从“买工具”转向“买结果”；二是从“合同关系”转向“行动伙伴关系”；三是从美国政府单独掌控行动转向借助私营部门执行；四是从传统流程应对转向“机器速度”应对；五是从信息共享式公私合作转向行动性合作。

美国国防部将CEaaS描述为在该部指导与监督下采购“任务就绪型”网络成果的模式，由美国政府负责确立目标、进行授权并履行政府核心职能，而产业界则负责提供技术专长、专业手段与创新能力以实现经授权的任务目标。根据该模式，美军将侧重签订特定结果合同而非特定工具合同，旨在购买特定结果而非定制能力；在美国政府指导和监督下寻求特定成果，私营公司不会自行行动或自主选择目标，行动目标和授权仍由政府掌握，相关结果可能包括获得对特定网络的访问权限；私营公司可使用自己的人员、工具和基础设施或与军事人员合作执行该操作，也可能涉及访问权限或某种类型的破坏等特定任务；美军将要求产业界从“合同关系”转向“行动伙伴”，更多依靠其技术专业知识推动新概念、新思考方式并更快提出新想法，类似由承包商拥有并开展的情监侦察飞行任务，但可能更进一步使承包商成为直接作战参与方。

CEaaS模式的出现是美国政府能力缺口与政策推动、产业界商业利益与能力供给共同作用的结果。从美国政府方面看，特朗普政府发布行政命令寻求让私营部门更多支持打击跨国犯罪组织，即将出台的美国国防部网络战略草案希望私营部门在对外网络行动中发挥更大作用；美参议院年度政策法案包含授权国防部开展试点、聘请承包商利用自身基础设施执行“访问行动”的条款；美国国防部负责网络政策的助理部长凯蒂·萨顿称国防部各级领导和各作战司令部指挥官的需求“远超目前所能提供的能力”；美国政府官员和行业专家认为当前网络作战模式过于陈旧、传统流程难以应对现实世界不断演变的网络威胁；美国国防部官员强调不能仅依靠传统流程应对“机器速度”带来的威胁，需要以结果为导向的合作关系，把政府的指导和问责与私营部门无与伦比的创新能力结合起来；美国政府倾向扶持成本较低、由私募股权和风投支持的初创企业，美国国防部表示将继续支持网络战初创公司，并继续寻找吸引此类公司参与的方法；美国国防部已组织由人工智能和国防技术业界人士及美国网络司令部参与的桌面演练，讨论从宏观概念转向实际应用，并计划利用演练成果完善CEaaS框架、确定近期可实现的机遇。

从产业界方面看，一些初创企业正试图将这种行动模式作为主要盈利模式，一些较传统公司和大型企业则在游说力争主导地位；允许承包商拥有更大自主权开展通常属于美国政府特权的网络行动虽与惯例不同，但被专家视为网络领域的一种自然演变，因为美国政府网络能力仍不足以应对所有威胁，冲突前线正向私营部门转移；科技公司构建了网络空间并处于新兴技术前沿，许多公司本身就在开发美国政府目前使用的工具，业界蕴藏可进一步利用的网络行动能力且商业工具已准备就绪，因此更多利用私营部门有其合理性；产业界协助规划网络行动甚至与美军一线操作人员并肩工作已变得普遍，相比之下，要求企业开发某种能力再由军方操作人员整合到实际作战行动中的另一种模式则较为模糊；风险投资支持的网络战初创公司Twenty的联合创始人兼首席执行官乔·林认为，当前网络作战在概念化、资源配置和实施上的范式源于信号情报领域，与现代军事行动需求并不相符，需要构建能够为决策者和指挥官提供应对各种竞争与冲突所需选项的能力。

CEaaS模式在实际操作中仍存在多重风险与待解问题：一是端到端作战模式尚不清晰，在美国政府必须掌握行动控制权的情况下，私营行业很难承诺确保行动结果，而网络空间确保特定结果非常困难；二是美国政府需从操作层面明确究竟需要业界提供的网络效应结果，是打击非国家行为体还是承担针对民族国家的高风险行动；三是企业若在自身网络和基础设施之外开展“网络外效应操作”，可能引发对手报复，成为敌方更具相关性或更有利的目标，并可能在美国境外面临刑事和民事责任且无法获得国内法豁免或辩护；四是美国国防部合同或合作机会的措辞若过于具体，还可能让对手察觉美军能力短板；五是治理不善时，项目成功可能导致过度依赖承包商，失败则可能导致进一步放松限制、冒更大风险。

奇安网情局编译有关情况，供读者参考。

为了跟上新技术和新能力的需求，同时应对网络空间威胁的快速演变，在过去的几个月里，美国国防部一直在推动一种新的范式，即要求承包商更直接地参与行动。

这种理念被称为“网络效应即服务”（CEaaS），该模式侧重于签订特定结果的合同，而不是签订特定工具的合同，旨在购买特定结果，而非定制能力。

美国国防部负责网络政策的助理部长凯蒂·萨顿在9月份表示：“我目前只专注于一个优先事项，那就是为美国国防部长和总统构建一套更强大的能力体系。美国国防部各级领导以及各作战司令部指挥官所提出的需求，远远超出了我们目前所能提供的能力。”

在过去一个月里，凯蒂·萨顿多次发表讲话，指出产业界与政府之间的关系必须改变。虽然这在许多届政府的官员中都是老生常谈，但在网络空间这一独特的领域，凯蒂·萨顿描述了一种理想的框架，即从与产业界的“合同关系”转变为“行动伙伴”，更多地依靠他们在技术领域的专业知识来推动“跳出固有思维模式的概念和思考方式，并比我们更快地提出新想法”。

根据9月份的媒体报道，即将出台的美国国防部网络战略草案显示，美国国防部希望承包商在开展行动方面发挥更大的作用。

十几位消息人士接受了采访，其中包括当前业界人士、前美国国防部官员和学术界人士，并为了解为何现在会发生这种变化、CEaaS 将如何运作、其中涉及的固有风险以及美国国防部在寻求更具行动性的合作伙伴关系时希望从业界获得什么提供了参考信息。他们解释称，推动加强合作的呼声来自私营部门和政府两方面。

一位前美国国防部官员表示，一些初创企业正试图将这种行动模式作为其主要盈利模式，而一些较为传统的公司和大型企业则在游说，力争在这一领域占据主导地位。但这位前官员透露，目前美国政府更倾向于扶持规模较小、由私募股权和风险投资（VC）资助的初创企业，尤其因为对于美国政府而言，这些新兴企业的成本更低。

凯蒂·萨顿9月份表示，她非常高兴地看到过去五年来，专注于不同网络效应（尤其是网络效应行动）的公司获得了更多资金。她注意到风险投资界对此表现出浓厚的兴趣。她将继续支持这些公司，并继续寻找吸引他们参与的方法。

美国国防部正在与多家商业公司接洽，探讨这一理念在哪些领域能够落地生根。

凯蒂·萨顿的办公室在9月下旬组织了一次桌面演练，人工智能和国防技术领域的业界人士以及美国网络司令部都参与了此次演练。演练旨在探讨美国国防部如何与业界合作，构建“新的行动模式，以在现代威胁环境所需的速度、规模和复杂性下交付网络安全成果”。

美国国防部9月底发布的新闻稿并未详细说明桌面演练的具体成果，但表示讨论已从宏观概念转向实际应用。美国国防部计划利用此次演练的成果完善CEaaS框架，并确定近期可实现的机遇。

网络战初创公司

美国政府官员和行业专家表示，当前网络作战模式在现代世界和面对现代威胁时过于陈旧。

风险投资支持的网络战初创公司Twenty的联合创始人兼首席执行官乔·林表示：“目前网络作战的概念化、资源配置和实施方面的范式源于信号情报领域，这与现代军事行动的需求并不相符，我们需要能够为决策者和指挥官提供应对各种竞争和冲突所需选项的能力。”

在传统模式下，美国政府发布能力需求，由产业界进行投标，并提供相应的专业知识、人力和工具，以交付政府所明确要求的内容。目前，产业界在协助规划行动，甚至与一线操作人员并肩工作，已变得十分普遍。

然而，据消息人士指出，新兴的CEaaS模式旨在在美国政府的指导和监督下寻求特定成果，而非定制工具。本质上，这意味着公司不会自行行动、自主选择目标。

美国国防部在新闻稿中将CEaaS描述为“一种在美国国防部指导与监督下，采购‘任务就绪型’网络成果的模式”。美国国防部负责确立目标、进行授权并履行政府核心职能；而产业界则提供技术专长、专业手段与创新能力，以实现经授权的任务目标。”

例如，结果可能是获得对特定网络的访问权限，在这种情况下，公司可以使用自己的人员、工具和基础设施或与军事人员合作来执行该操作。

受访的许多官员和业内人士表示，现在判断这在实践中会是什么样子还为时过早，但他们承认一种可能的情况是：美国政府可能会雇佣一家私营公司来获取敌方网络的访问权限，以执行特定任务，例如访问权限或某种类型的破坏。

在现实世界中，这类似于由承包商拥有并运营的情报、监视与侦察飞行任务，即相关企业在美国国防部的指挥下，动用自身的人员和航空器监视空中目标。而CEaaS更进一步：如果航空器为了更清晰地窥探敌方领土而飞离己方空域，那么这架由承包商拥有的航空器便会置身于敌方空域，从而成为直接的作战参与方。

凯蒂·萨顿在美国国防部发布的新闻稿中表示：“我们不能仅仅依靠传统流程来应对机器速度带来的威胁。我们需要以结果为导向的合作关系，将政府的指导和问责与美国私营部门无与伦比的创新能力结合起来。”

推演验证

特朗普政府一直寻求在网络空间获得私营部门的更多支持。今年8月，特朗普政府发布了一项行政命令，概述了私营公司在美国司法部和国土安全部领导下开展打击跨国犯罪组织的行动框架，但该框架仍在完善中。

同样，美国参议院通过的年度政策法案中包含一项条款，授权美国国防部开展试点项目，允许其聘请承包商利用自身基础设施执行“访问行动”（access operations）。

但与跨国犯罪框架类似，专家们对CEaaS在实践中如何运作提出了疑问，并概述了私营部门参与者执行这些行动（即使是在美国政府的指导下）所带来的风险。

虽然该模式在实践中将如何运作的具体细节尚不明确，但消息人士承认，美国国防部认为产业界的参与将发挥更大的作用。

一位国防公司的高级网络安全官员表示：“难点在于，端到端的作战模式究竟会是什么样？特别是考虑到如果政府必须掌握行动的控制权——理应如此——那么私营行业恐怕很难承诺确保行动结果。在网络空间作战中，想要确保特定结果是非常困难的。”

另一位前美国国防部官员指出，“基于结果”的模式很有吸引力，因为行业内的商业工具已经准备就绪，能够立即投入使用以解决问题，相比之下，另一种模式则较为模糊——即要求企业开发某种能力，再由军方操作人员将其整合到实际作战行动中。

但前述业内人士补充说，美国政府仍然需要从操作层面弄清楚它究竟想让业界做什么，无论是打击犯罪分子等非国家行为体，还是承担针对民族国家的高风险行动。

例如，美国网络司令部前参谋法官、现任美利坚大学技术、法律和安全项目主任加里·科恩概述了公司及其操作人员可能面临的风险。

加里·科恩表示：“如果企业开始在自身网络和基础设施之外开展‘网络外效应操作’（out-of-network effects operations），这可能会引发对手的报复。这些企业现在可能成为敌方更具相关性或更有利的目标。这些企业和个人可能面临美国境外的刑事和民事责任，因为在境外，他们无法获得国内法律可能提供的豁免或辩护。”

第二位前官员指出，美国国防部应该谨慎对待的一个方面是这些合同或合作机会的沟通和措辞。如果对结果的要求过于具体，可能会让对手察觉到美国国防部能力上的短板。如果要求不只是笼统地概述对某些目标的预期效应，而是过于具体，就会暴露美国政府自身能力的缺陷，因为这表明美军目前可能不具备相应的能力。

哥伦比亚大学高级研究员杰森·希利更关心的是此类项目的治理。他表示：“如果治理不善却取得成功，美国国防部就会认定，如果对承包商的少量依赖是好事，那么大量依赖肯定更好。这样一来，承包商就会对拥有核武器的对手的情报和军事力量开展远超明智范围的行动，导致项目失控。反之，如果治理不善且失败，美国国防部可能会认为需要进一步放松限制，从而更加执着地投入其中，甚至冒更大的风险。”

自然演变

虽然允许承包商拥有更大的自主权来开展网络行动（这通常是美国政府的特权）与惯例有所不同，但专家们认为这是网络领域发展的一种自然演变。

加里·科恩表示：“尽管我们在政府网络安全领域投入了大量资源，但我们仍然没有足够的能力应对所有威胁。这场冲突的前线正在向私营部门转移。随着时间的推移，要求公私合作超越目前围绕信息共享的乏力讨论和框架的压力与日俱增。”

鉴于科技公司而非政府构建了网络空间，并且处于新兴技术的前沿，因此，更多地利用私营部门对许多人来说很有意义。

前美国网络防御司令部前司令、现任Axonius Federal Systems公司董事会主席罗伯特·斯金纳表示：“业界拥有许多可以被进一步利用的能力。从网络行动效应的角度来看，业界确实蕴藏着巨大的能力。毕竟，许多公司本身就在开发美国政府目前所使用的工具。那么，为何不充分发挥他们所掌握的力量呢？”

声明：本文来自奇安网情局，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。