人工智能与量子计算时代的网络安全：谁来承担转型成本
每当一项技术以足够快的速度改变游戏规则时，都会出现一种反复出现的规律：最先承担成本的，往往是那些最没有能力承受代价的人。人工智能与量子计算的融合正在以一种令人不安的精确方式重演这一规律。攻击者借助能够降低行动时间和成本的工具获益。防御者则在技术和组织层面积累起大量债务，如今不得不偿还双重代价：其一是人工智能今天带来的风险，其二是量子时代明天将强制要求的密码迁移。
Michelle Drolet 在福布斯技术委员会发表的分析并非来自实验室的预警，而是一幅已经在任何拥有重要数字基础设施的企业的预算、董事会和安全团队中真实存在的张力地图。最值得关注的视角并非技术性的，而是分配性的：谁承担成本，谁在这场转型中获取价值，以及哪些结构性激励机制正在推动系统中每个参与者的行为。
人工智能压缩的是防御者的时间，而非攻击者的时间
人工智能在网络安全领域引入的不对称性，在概念层面并不新鲜，但在规模上却是前所未有的。攻击者利用人工智能更快地发现漏洞、大规模生成恶意软件变体、个性化定制社会工程学攻击信息，并自动化识别目标。发动一次复杂攻击的边际成本持续下降。而防御的成本，则依然高昂、高度依赖人才，且难以在不引入新风险的情况下实现自动化。
世界经济论坛与埃森哲的数据记录了这一认知：94% 的安全领导者认为人工智能将成为未来一年网络安全领域最重大的变革因素，87% 的人将与人工智能相关的漏洞列为增长最快的风险。这些数字描述的并非未来的担忧，而是已经深入组织内部的问题架构。
在这一分析中，Drolet 所称的"影子人工智能"是讨论最少的攻击向量之一：员工在未经授权的情况下使用人工智能工具，通过组织无法控制、无法审计、有时甚至完全不知情的平台来总结会议内容、处理敏感数据或生成代码。这不仅仅是边界安全问题，更是一个内部治理问题——个体激励，即员工的即时生产力，与组织的集体利益产生了直接冲突。这种激励冲突无法仅靠政策解决，需要通过设计来应对：访问控制、数据可追溯性、技术限制，以及对高影响行为的人工监督。
能够以用户名义跨多种工具和工作流程自主行动的智能体人工智能系统的出现，将这一问题提升到了另一个层次。当一个人工智能代理能够在没有实时人工干预的情况下做出决策、执行交易或共享信息时，风险边界就不再有清晰的轮廓。错误、凭证滥用和数据泄露可能以任何被动审计流程都无法遏制的速度发生。这种风险的成本不由工具供应商承担，而由部署该工具的组织来承担。
量子威胁不会等待团队做好准备
量子计算的运作时间框架与人工智能不同，但其对安全系统施加压力的逻辑同样具有结构性特征。其核心机制被称为"先收割，后解密"：对手今天截获加密数据并将其存储，等到量子计算机能够破解保护这些数据的公钥密码体系之时再行解密。攻击不发生在今天，但损害的种子已经埋下。
这就使得向抗量子密码体系迁移的工作成为一个当下规划的决策，而非未来的问题。美国国家标准与技术研究院（NIST）已经发布了首批后量子密码学标准，取代了 RSA 和椭圆曲线密码学等存在漏洞的方案。但采用这些标准并非软件更新，而是对许多系统架构的深度干预——这些系统在很多情况下已经在如今需要替换的算法之上运行了数十年。
这一工作的规模体现在市场预测之中：根据 Juniper Research 的数据，后量子密码学投资将从 2026 年的 12 亿美元增长至 2035 年的 133 亿美元。这一增长并非反映积极的技术趋势，而是衡量着各组织在证书、密钥、软件、硬件、供应商和流程方面必须弥补的累积赤字，以避免在反应窗口已经关闭时暴露于风险之中。
成本的分配是分析变得最为有趣的地方。拥有专业团队和充足安全预算的大型组织，能够启动有序的迁移项目、指定内部负责人、梳理密码依赖关系，并从强势地位与供应商谈判。中小企业则依赖相同的平台和云服务供应商，只能听凭这些供应商以自己的节奏推进转型。如果供应商优先服务其最大的企业客户，供应链中最薄弱的环节就需要更长时间才能得到保护，而最薄弱的环节往往正是将整个系统与其最易被利用的漏洞连接在一起的那个。
准备工作的价值不在市场衡量它的地方
市场对这些风险应对措施的评估方式存在结构性错位。从网络基础设施制造商到安全访问供应商和零信任架构提供商，各类安全平台供应商正在将基于人工智能的检测能力和抗量子加密作为产品功能加以整合。这在竞争层面合情合理：率先提供集成保护的一方能够赢得合同并建立技术依赖。
但这些能力的价值取决于任何平台都无法直接销售的东西：采用这些能力的企业自身的组织能力，即能否以一致、连贯的方式加以运用。一个基于人工智能的异常行为检测工具，无法替代对资产的可见性、对访问的控制，以及在警报触发时能够有效运作的响应流程。后量子密码标准也无法自行迁移那些多年未曾更新的遗留系统。
Drolet 的文章描述了一个包含七个步骤的准备过程。文章没有明确描述的——尽管每个步骤都隐含着这一点——是这一过程有多大程度上需要对内部能力进行持续投资，而这种投资是安全解决方案市场所无法替代的。风险评估必须由了解组织真实架构的人来完成。密码依赖关系的清单必须由能够访问系统的人来构建。对人工智能代理的治理必须由了解团队实际工作方式的人来设计。没有任何外部供应商拥有这些原始信息。
深层的分配问题在于：向能够在人工智能普及和量子压力持续增长的环境中保持可持续的安全态势的迁移，要求相当大比例的价值在内部产生，以能力、流程和治理的形式体现。但网络安全市场的结构是为销售外部产品和服务而建立的，而非为构建内部能力而设计的。这并不意味着外部供应商无关紧要，而是意味着完全外包的逻辑——即企业外包其安全工作并认为问题就此解决的模式——在风险移动速度快于服务合同更新速度的今天，已经没有继续运作的空间了。
这场迁移不可拖延，否则成本将成倍增加
应对这些风险的准备工作具有一种财务特征，而董事会目前尚未以足够清晰的方式将其内化：行动迟缓的代价并不是线性的。每过去一个月，若没有启动密码清单工作、没有建立对内部人工智能的控制、没有为量子迁移项目指定负责人，遗留系统就会积累更多技术债务，供应商在没有与组织协调的情况下继续推进，攻击者则捕获更多具有长期价值的数据。
向后量子密码体系的迁移是最具说明性的案例。无法快速更新的系统并非少数。在金融、医疗或关键基础设施等行业，存在大量使用周期长达数十年的组件，它们在量子计算正在使之失效的密码假设之上设计而成。替换这些系统需要时间、资金，以及与同样需要更新自身系统的供应商链进行协调。这一过程启动得越晚，可用时间就越紧缩，在风险具象化之前完成迁移的成本也就越高昂。
Drolet 指出的这一规律——激励分析也证实了这一点——是：现在启动这一过程的组织正在将成本分摊到时间轴上，在常规的技术和安全预算范围内是可管理的。而推迟行动的组织则在积累一笔债务，将不得不一次性偿清，届时面临的是监管、合同或竞争压力，而彼时它们的谈判能力将更弱，留给从容行动的时间也将更少。
网络安全的基本原则并没有因人工智能而改变，量子计算也不会改变它们。改变的是忽视这些原则的代价——而这个代价已经不再允许渐进式的摊销。将应对这些风险的准备视为当下投资的组织，正在购买时间和选择空间。而将其视为可推迟支出的组织，则在积累一种敞口，其价格终将由某个没有慷慨动机的人来定价。
