在采訪中，西門子數(shù)字工業(yè)部門網(wǎng)絡安全橫向管理副總裁邁克爾·梅茨勒(Michael Metzler)討論了在工業(yè)環(huán)境中部署智能體所帶來的網(wǎng)絡安全影響，他談到了智能體做出半自主決策所帶來的風險，以及為什么像縱深防御(Defense-in-Depth)這樣的分層安全方法對于保障工業(yè)系統(tǒng)安全至關重要。

在一個關鍵基礎設施環(huán)境(如能源廠或生產(chǎn)線)中，如果智能體被攻破，會帶來哪些影響?與傳統(tǒng)自動化系統(tǒng)相比，智能體為工業(yè)環(huán)境引入了哪些新的網(wǎng)絡安全風險?

智能體代表了工業(yè)自動化領域的一項重要進步，通過其半自主決策功能提供了新的能力。與任何技術進步一樣，成功實施需要與現(xiàn)有的工業(yè)安全和安全標準及協(xié)議進行深思熟慮的整合。

一個健全的智能體安全框架建立在既定的工業(yè)安全原則之上，同時融入了針對自主系統(tǒng)的特定措施，這包括全面的認證、授權和通信協(xié)議，確保智能體在明確界定的操作范圍內(nèi)運行，實施良好的安全措施，如持續(xù)驗證、適當?shù)脑L問控制和行為分析，使企業(yè)能夠有效利用AI能力，同時保持運營安全和安全。

成功部署智能體的關鍵在于將創(chuàng)新的自動化能力與經(jīng)過驗證的工業(yè)安全系統(tǒng)進行平衡整合，這種方法使企業(yè)能夠通過AI增強其運營，同時確保繼續(xù)滿足基本的安全和安全要求。

許多智能體是半自主運行的，或基于實時數(shù)據(jù)做出決策，企業(yè)如何確保這些決策不會無意中違反安全或安全協(xié)議?

在工業(yè)環(huán)境中，智能體是設計用來增強而非取代人類能力和監(jiān)督的工具，這一概念被稱為“人在回路”(human-in-the-loop)，這些智能體在精心定義的界限和多層安全防護下運行，以確保工業(yè)環(huán)境在受益于先進自動化能力的同時得到保護。它們作為一個協(xié)調(diào)的整體運行，通過集中編排進行管理，編排智能體對所有單個智能體的能力保持全面了解。

這一軟件層處理智能體管理，根據(jù)特定任務要求激活或停用它們。重要的是，用戶通過一個界面保持控制，使他們能夠根據(jù)自己的操作需求選擇性地部署特定的智能體和能力。此外，應使用LLM測試框架對提示和響應進行廣泛測試。這將有助于在發(fā)布前識別潛在的攻擊場景。

此外，安全的生產(chǎn)環(huán)境需要IT部門和生產(chǎn)人員之間的緊密合作。成功的關鍵在于跨學科團隊，其中IT和OT專業(yè)人員結合他們的專業(yè)知識并相互學習。只有通過這種合作，才能開發(fā)出全面的安全方法。聯(lián)合安全策略對于考慮兩個領域的優(yōu)先級至關重要。例如，補丁管理和訪問控制必須同時滿足IT安全要求和OT的特殊操作條件。這樣的策略有助于協(xié)調(diào)不同的優(yōu)先級——OT的可用性和IT的保密性。

對于在運營技術(OT)環(huán)境中部署智能體的企業(yè)，你推薦哪些網(wǎng)絡安全控制或治理框架?

西門子等公司采用的“縱深防御”概念是保障OT系統(tǒng)安全的一種經(jīng)過驗證的方法。這種多層安全方法在生產(chǎn)環(huán)境中創(chuàng)建了多個防御級別，并基于國際工業(yè)標準系列IEC 62443，這是工業(yè)網(wǎng)絡安全的領先標準。智能體的部署保持了這一方法的完整性。

“縱深防御”概念考慮了所有基本的安全因素，包括制造現(xiàn)場的物理訪問保護、保護生產(chǎn)網(wǎng)絡和控制系統(tǒng)免受未經(jīng)授權訪問、間諜活動和操縱的企業(yè)和技術措施。這一概念得到了零信任原則的補充，該原則側重于驗證和授權通信單元。

對于那些面臨快速采用AI工具壓力但又擔心安全風險的CISO或工廠經(jīng)理，你有什么建議?

為了有效提高OT安全性，工廠運營商應首先對其生產(chǎn)環(huán)境進行全面的安全評估。此類定期評估有助于識別潛在的漏洞。這些評估可以識別工廠中需要特別保護的關鍵組件和設備，從而采取有針對性的措施確保其安全。為了實施“縱深防御”概念，需要根據(jù)評估結果部署各種技術和工具。

由于OT系統(tǒng)通常多年不進行重大更改，因此必須定期實施可用的更新和補丁以關閉已發(fā)現(xiàn)的漏洞，然而，這些措施不得意外中斷生產(chǎn)，需要仔細規(guī)劃和協(xié)調(diào)。此外，人為因素往往是網(wǎng)絡攻擊的突破口，因此定期的員工培訓對于提高安全意識并在日常操作中實施OT安全要求至關重要。

在實施AI工具時，工廠經(jīng)理應從非關鍵流程開始，分階段實施智能體。隨后，應建立與現(xiàn)有安全協(xié)議相一致的清晰治理框架。定期進行安全審計和更新以及投資于員工培訓和安全意識也是至關重要的。成功集成AI的關鍵在于將安全視為基本設計原則，而非事后考慮。