在AI应用席卷全球之际，能源系统却面临一个尴尬现实：最致命的网络安全风险并非失控的AI，而是人的失误。本文结合科技新闻与安全研究，剖析能源行业如何应对这场数字时代的攻防战。
能源系统为何成为网络攻击的“猎物”？
能源系统——电网、油气管道、核设施——向来是网络攻击者眼中的“高价值目标”。安全专家Joshua Corman曾一针见血地指出：“我们一直是猎物，只是在捕食者的胃口下勉强生存。”这句话道出了关键基础设施的先天脆弱性。
过去几十年，能源行业为了追求效率和控制成本，大量引入工业控制系统（ICS）和物联网设备。这些系统在设计之初几乎没有考虑安全性，很多还在运行几十年前的老旧协议，连基本的数据加密都没有。当它们从封闭的专用网络接入互联网后，攻击面呈指数级扩大。
更令人担忧的是，攻击门槛正在降低。过去，要攻击一座水电站或变电站需要国家级黑客团队，如今暗网上出售的攻击工具包和漏洞利用脚本，让毫不起眼的勒索团伙也能对能源企业发动袭击。2021年美国科洛尼尔管道遭受勒索软件攻击，导致东海岸燃油供应中断，正是这种风险的真实写照。
能源行业的数字化程度越高，暴露的漏洞就越多。一项针对全球电力公司的调查显示，超过70%的企业在过去两年内遭遇过至少一次针对OT（操作技术）系统的网络攻击。讽刺的是，许多攻击并非源于复杂的渗透技巧，而是通过最简单的入口——比如一个未被修复的已知漏洞，或者一名员工的弱口令。
这构成了一个残酷的现实：能源系统的网络安全防线，远比我们想象中脆弱。即便没有“流氓AI”作祟，恶意攻击者依然可以利用现有工具造成巨大破坏。而理解这种脆弱性，是能源系统安全建设的第一步。
人类错误：比恶意AI更危险的薄弱环节
当我们谈论网络安全时，总习惯把目光投向尖端技术——AI、量子计算、零信任架构。但数据告诉我们，超过90%的成功网络攻击源于人为失误。钓鱼邮件、误点链接、泄露凭证、违规操作……这些“低级”错误才是真正的突破口。
Joshua Corman在最近一次访谈中强调，公众对“失控AI”的恐惧，转移了对真正问题的注意力。他说：“我们总担心AI会不会哪天决定攻击我们，但现实是，员工今天就会打开一封伪装成供应商发票的钓鱼邮件。”
攻击者深谙人性弱点。他们利用紧迫感、恐惧心或贪念，诱导员工交出凭证或执行转账。比如，一封看似来自领导的深夜邮件，要求紧急购买礼品卡；一条伪装成IT部门的短信，引导员工登录虚假门户修改密码。这些社会工程学手段，根本不需要高深的AI技术。
更麻烦的是，随着生成式AI的普及，钓鱼攻击变得更加逼真。AI可以模仿老板的写作风格，生成语法完美的邮件，甚至通过语音克隆伪造上级的语音消息。但这并不意味着AI是罪魁祸首——它只是工具，做出点击决定的依然是人。
因此，安全专家们反复强调“人”在安全链条中的核心地位。定期培训、模拟钓鱼测试、建立“报告可疑邮件”的企业文化，这些看似朴素的措施，往往比部署昂贵的安全设备更有效。正如Corman所言：“我们不能修复人的天性，但我们可以设计系统让错误不致命。”
这一观点与关键基础设施保护领域的共识不谋而合——技术可以缩小风险，却无法根除人性。
从伊朗威胁到“流氓AI”：安全焦虑的转移
去年，美国国土安全部发布预警，称伊朗黑客组织及其同情者可能对美国能源系统发起网络攻击。这一警告并非空穴来风——伊朗曾在2012年对沙特阿美公司发动破坏性攻击，用“沙特之心”病毒抹掉了数万台电脑的数据。
然而，近期媒体风向突然转向“流氓AI”，仿佛AI失控才是能源系统面临的最大威胁。一篇关于“AI可能杀死所有人”的耸动报道，吸引了公众眼球，却掩盖了更紧迫的、由人发起的真实攻击。
实际上，所谓的“流氓AI”仅存在于科幻构想中。今天的AI系统没有自我意识，不会“决定”攻击人类。即便是最先进的生成式AI，也只是在训练数据的范围内进行预测。真正的威胁是：攻击者利用AI生成更有迷惑性的钓鱼邮件、绕过安全检测的恶意代码，或者深度伪造视频来实施欺诈。
换句话说，AI是一把双刃剑，但挥剑的永远是背后的人。伊朗黑客不会因为AI的出现而消失，勒索团伙也不会因为舆论关注“流氓AI”就放下屠刀。科技新闻中的戏剧性叙事，容易让公众忽视那些不断发生的小规模攻击——它们才是能源系统每天面对的现实。
从战略层面看，这种“焦虑转移”是有害的。安全团队如果过度关注不存在的“AI叛变”，就会减少对真实威胁的投入。比如，工业控制系统的漏洞研究、供应链安全、内部威胁监测——这些“没有故事性”的领域，恰恰是防御的薄弱地带。
我们需要冷静的头脑：能源系统的敌不是科幻电影里的天网，而是那些利用钓鱼邮件和弱口令得手的普通黑客。放下对“流氓AI”的执念，才能真正审视漏洞。
AI应用在网络安全中的双刃剑效应
尽管人为失误是最大风险，AI应用在网络安全领域仍然展现出巨大的潜力。问题在于，攻防双方都在使用AI，而且AI本身无法解决“人为因素”这一根本痛点。
在防御端，AI可以做到人类难以企及的事：实时分析海量网络流量，识别异常行为；在几毫秒内响应入侵信号；自动生成威胁情报报告。许多安全团队开始借助AI工具导航寻找合适的异常检测平台，而AI工具箱则集成了从日志分析到自动化处置的多种模块，极大减轻了安全分析师的压力。
例如，一家电力公司每天会产生数十亿条日志，人工根本无法逐一审查。AI模型可以学习正常流量模式，一旦发现蹊跷连接立即标记。这种“智能监控”能力，让安全团队从“大海捞针”变成了“精确制导”。
然而，攻击者同样受益于AI。他们用AI自动扫描漏洞、生成定制化恶意软件，甚至利用生成式AI编写更有说服力的钓鱼文案。更糟糕的是，AI生成的定制化攻击可以绕过传统的基于签名的防御机制，迫使防守方不断升级技术。
这种“军备竞赛”让AI应用成为双刃剑。一方面，AI大幅提升了安全防御的效率和覆盖面；另一方面，它也降低了攻击者的技术门槛，让更多“小白”能够发动复杂攻击。
但我们必须承认，AI无法解决“点击链接的人”。即便AI识别出钓鱼邮件，如果员工没有接受过训练，依然会中招。因此，聪明的企业会将AI作为辅助工具，而不是替代品。比如，用AI进行个性化的安全意识培训，针对员工容易上当的场景生成模拟攻击，以提高他们的抵抗力。这种“以AI攻AI”的实战演练，正成为科技前沿的热门做法。
科技前沿防御策略：从技术到人性的综合治理
面对复杂的网络安全形势，能源行业需要一套“综合治理”方案。科技前沿的防御不再迷信单一技术，而是强调“人+流程+技术”的有机融合。
首先，零信任架构成为共识。过去“内网可信、外网不可信”的边界防护已经失效，现代网络要求每台设备、每个用户都经过持续验证。对能源系统而言，这意味着即便攻击者拿到了一台运维终端的权限，也无法横向移动到核心控制系统。
其次，AI驱动的威胁情报正在改变被动挨打的局面。通过共享情报平台，能源企业可以在攻击者发动施暴前收到预警，提前加固防线。例如，美国能源部建立的网络应急响应系统，已经将响应时间从数周缩短到数小时。
但技术只是“天花板”，人的因素才是“地板”。一个高明的安全策略，必须让员工成为防御链条的积极一环。具体做法包括：
- 将安全意识培训从一年一次的“走过场”，改为每月一次的小型互动课程； - 建立“无责上报”机制，鼓励员工在可疑邮件面前敢按“报告”而非“删除”； - 利用AI生成的钓鱼演练，让员工在真实感极强的模拟中学会识别陷阱。
例如，安全团队可以利用AI画图生成高仿真的钓鱼邮件配图，模拟紧急通知或供应商发票，让员工在安全环境下“中招”，从而加深记忆。这种创新的培训方式，比枯燥的PPT有效得多。
此外，物理安全与网络安全需要打通。很多能源设施地处偏远，门禁系统与网络系统分离，导致黑客可以通过物理入侵接入网络。将监控摄像头、门禁日志与网络威胁情报联动，也是科技前沿的探索方向。
未来展望：构建韧性基础设施
能源系统的网络安全没有终点，只有持续进化的过程。未来十年，我们可能会看到如下趋势：
第一，AI应用将更深入地嵌入安全运营中心，成为“首席分析师”。AI不仅能发现威胁，还能自动生成处置建议、预测攻击者的下一步动作。但这种自动化需要建立在“人在回路”的基础上，关键决策仍由人类控制。
第二，行业协作将更加紧密。电网的网络安全不再是一家企业的事，而是整个生态系统的共同责任。发电厂、输电运营商、设备供应商、政府监管机构必须共享情报、协同演练。正如企业数字化转型中强调的那样，数据孤岛是最大的敌人。
第三，“韧性”思维取代“防护”思维。既然无法百分百阻止入侵，那么如何减轻攻击影响、快速恢复功能，就成为核心目标。这要求能源系统进行冗余设计：备份控制中心、备用通信线路、可降级运行模式等。
科技新闻中常有“某国电网遭网络攻击”的标题，但真正值得关注的不是事件本身，而是系统能否“扛得住”。例如，乌克兰电网曾三次遭遇攻击，每一次都迅速恢复运行，这种韧性比单纯防御更有价值。
对于普通公众，我们需要降低对“AI失控”的戏剧化想象，转而关注能源系统安全的真实威胁——那些可能被忽视的基础设施漏洞、内部人员风险、供应链后门。科技前沿的每一次进步，都应该服务于“让系统在危机中存活”这一朴素目标。
AI应用永远不会完美，人的错误也不可能穷尽。但正是在人与技术的拉锯中，能源系统才能变得更具弹性。正如Corman所说：“我们无法改变自己是猎物的事实，但我们可以学会如何更艰难地被捕获。”
这句话，或许是对未来能源网络安全最清醒的注脚。