2026年是“十五五”规划启动前的筹备关键年，恰逢新修订的《网络安全法》正式施行不久。回望过去一年，我们看到AI正从提升效率的“工具”演变为能自主决策的“执行体”；勒索软件攻击的目标，也从单纯的数据加密，转向了以瘫痪核心业务为要挟的“经营中断”。对于普通人而言，各类诈骗与隐私泄露事件也让网络安全的体感愈发直接。这些深刻的变化，意味着今年两会的网络安全议题将突破传统技术圈的讨论范畴，直接关系到公共服务的连续性、企业的生存韧性，以及我们每个人数字生活的安全感。以下几个方向，很可能成为代表委员们反复探讨与建言的重点。
AI的权限边界：从“建议者”到“执行者”的安全之变
过去我们更多讨论的是AI“能带来什么效率”，而现在的焦点正在转向：当大模型开始替代人类去调用系统、触发具体操作时，权限的边界应该如何划定？涉及资金、数据、关键流程的操作，是否需要强制性的二次人工确认？AI的每一步“执行”是否都做到了清晰留痕、可追溯？一旦AI的角色从“建议者”转变为“执行者”，安全问题的性质就发生了根本变化——核心矛盾不再是“它给出的内容对不对”，而是“它到底被允许做什么，以及如何控制它”。权限最小化原则、操作动作的全链路可追溯性，这些关键控制点将成为决定AI应用能否安全落地的深度与广度的标尺。
与此同时，由深度伪造（Deepfake）等人工智能技术带来的信任危机也同样棘手。造成实质性社会危害的，往往已经不是“能否识别出假图假视频”的技术问题，而是后续一整套处置链条的效率与协作问题：仿冒的链接和内容如何实现快速全网下架、电子证据如何有效固化并被司法采信、不同平台间如何建立高效的跨平台协作机制、如何有效阻断有害内容的二次传播。这些问题与反诈工作、舆情治理、平台主体责任深度交织，势必将被摆到更显眼的位置进行讨论。
反诈与数据保护：从单点打击到制度化联防联控
对广大民众而言，网络安全最切身的感受就来自于层出不穷的电信网络诈骗和个人信息泄露。短信、电话、社交账号、支付转账、验证码——数字生活的每一个环节都可能成为不法分子的攻击入口。未来值得关注的，将不只是执法部门持续高压的“打击力度”，更是“联防联控”机制能否实现真正的制度化与流程化。在平台、电信运营商、金融机构之间，谁应该在哪个时间节点进行拦截？拦截的规则和依据是什么？万一发生“误伤”，用户如何进行快速有效的申诉？案件相关的证据链条又该如何在不同机构间安全、高效地流转？对于企业而言，这意味着安全、业务风控与内容治理等部门必须更紧密地捆绑在一起，因为单点、静态的规则已经难以应对不断升级的对抗。
数据泄露的治理逻辑也同样在进化。过去企业更关注如何满足“合规要求”，而现在则更可能被追问实际的“治理效果”：内部数据泄露事件是否切实减少？非法倒卖个人信息的黑产链条是否被有效切断？与第三方的数据共享行为是否得到了收敛和控制？企业需要能够回答更具体的问题：数据采集是否遵循了最小必要原则？内部有哪些人能以什么权限访问这些数据？数据能否被批量导出？导出行为是否有严格的审批流程和数字水印追踪？共享给外包团队的API接口，其调用行为是否有定期的复核审计？最终的比拼，是看企业能否拿出扎实的证据，证明自身数据保护体系的有效性。
第三方与供应链安全：合同、SLA与协同响应
在现代商业与技术体系中，完全脱离第三方服务几乎是不可能的，无论是云服务提供商、软件外包团队，还是不计其数的开源组件。真正的难点不在于“完全不用”，而在于“你到底用到了什么，风险有多大”。企业能否快速、准确地拉出一份完整的软件物料清单（SBOM）？能否向客户清晰说明第三方组件出现漏洞时的响应与修复时效？能否证明自身的漏洞更新与补丁分发机制是可靠且及时的？这些能力正越来越直接地影响到企业的采购决策、项目验收乃至市场信誉。安全要求将被明确写进商业合同、写入服务等级协议（SLA），也同样会写进“出了问题后，各方如何共同承担责任、协同响应”的应急协作机制里。
此外，一个在两会期间常被公众忽略、但实际风险极高的领域，是网络的边界与各类远程访问入口。每逢重大活动保障，大家都会强调“7x24小时值守”，但真正能系统性降低风险的是“收口”工作：对公网暴露的资产是否做到了底数清晰、管理可控？非必要的临时端口是否已经全部关闭？VPN、OA系统、企业邮箱等通用入口是否经过了充分的加固？供应商的远程运维通道是否遵循了权限最小化原则？历史遗留的共享账号是否已被彻底清理？“收口”工作看似不热闹，但效果极为现实：把入口数量减少一半，应急值守的压力和遭受攻击的潜在面同样也会减少一半。
IOT设施安全：从信息系统风险到公共安全风险
随着车路云协同、车联网、工业互联网以及各类大规模物联网终端的普及，新型硬件联网设施正将网络安全的风险范畴，从传统的“信息系统风险”推向更严峻的“生产安全与公共安全风险”。这类设备往往生命周期长、部署环境复杂，导致系统升级和漏洞修补异常困难。因此，当物联网设施安全议题进入两会语境时，讨论的重点通常会强调“前置”。即在规划与建设阶段，就把安全测试、入网验收标准、后期运维的权限划分与责任边界等问题通过法规或标准的形式写清楚、定下来，而不是等到安全事故发生后再去“补窟窿”。
以上是对2026年全国两会期间可能被重点讨论的网络安全议题的一些展望。我们期待，在两会之后，关于这些议题的讨论能够超越泛泛而谈，在更清晰的责任边界、更具可操作性的规则设计以及更可量化衡量的治理效果上凝聚共识，并最终转化为扎实的制度安排与长期的资源投入。真正的进步，不仅在于议题在庄严的会场上被提出和讨论，更在于会后能被产业界、监管方与社会各界持续推动、在实践中被反复验证，并最终让每一个人都能看见其成效。对于技术从业者而言，保持对政策动向的敏锐洞察，并积极参与到云栈社区等专业平台的相关讨论中，将有助于更好地把握趋势，将安全能力真正融入产品与业务的肌理。 | 
发表于 昨天 05:38
|
查看: 11|
回复: 0
