从网络安全到 AI 安全：CISO 的知识迁移地图

防护对象的清单变了

CISO 的防护清单正在被 AI 改写：新的资产（模型权重、向量库、提示词、Agent 的工具凭据——传统安全的资产清单里没有它们）；新的攻击面（提示注入、越狱、模型供应链——防火墙与 EDR 看不见它们）；新的责任（AI 输出的内容责任、监管的 AI 合规——传统安全的职责边界外了。

但 CISO 的核心能力——风险思维、攻击者视角、纵深防御、治理与合规——依然是 AI 安全的地基。这篇给安全从业者画一张知识迁移地图：哪些要带（可迁移的能力）、哪些要学（新的知识模块）、哪些要放下（不再适用的假设）。

要带的：可迁移的核心能力

能力一：威胁建模的方法论。威胁建模的思维（STRIDE 式的攻击面分析——「AI 系统的 STRIDE」（传统威胁分类在 AI 上的映射（ Spoofing→身份伪造（深度伪造、Tampering→数据投毒/模型篡改、Repudiation→日志与审计（LLM 日志篇、Information Disclosure→数据泄漏面、Denial of Service→成本攻击（速率限制篇、Elevation of Privilege→Agent 越权（工具权限——「STRIDE 的 AI 翻译」：威胁建模的框架不变、每一类的实例更新——「方法论的可迁移」是安全从业者最大的资产。能力二：纵深防御的架构思维。纵深防御的哲学（单点可绕、组合才可靠——「纵深防御在 AI 的直接复用」（间接注入防御篇的四道防线就是纵深防御的 AI 版——防线的设计逻辑完全同构——「假设失败」的安全设计哲学（假设注入必成功、假设会泄露——传统安全的「零信任」思想在 AI 场景的直接迁移（「零信任 AI」：不信任任何提示词、不信任任何模型输出、不信任任何检索内容。能力三：治理与合规的框架。安全治理的组织（三道防线、委员会、审计——「治理框架的迁移」（企业治理篇的组织设计对安全从业者并不陌生——CISO 的治理经验直接复用——「合规的迁移」（监管的合规方法（风险评估、控制映射、审计举证——AI 监管的合规方法论与传统合规同构（「合规的方法论比合规的细节更可迁移」——细节（法规条文）要学，方法（如何应对监管）已经有了。

要学的：AI 特有的知识模块

模块一：AI 的攻击面图谱。新攻击面的系统学习（提示注入、越狱、数据泄漏面、模型供应链、多模态攻击——「攻击面的学习路径」（库内的攻防篇是地图（提示注入入门→间接注入防御→越狱攻防面→多模态越狱→数据泄漏面→模型供应链——「学习顺序」的建议（先学提示注入（最高频的攻击）、再学供应链（最隐蔽的攻击）、再补多模态（最新的攻击面）——「学攻击面的同时动手」（自己搭应用攻击它——纯读书不练手是学不会的）。模块二：模型行为的理解。AI 的「非确定性」安全观（传统安全的确定性（同样输入同样输出、AI 的概率性（同样输入不同输出——「概率性安全的思维转换」（传统安全的测试（一次通过=安全、AI 的测试（分布性的安全（评测要多次采样——「评测的统计化」（安全评测维度篇的评测思维——N 次采样的通过率——「确定性的安全观要放下、概率性的安全观要建立」——这是安全从业者转型最大的认知转变。模块三：AI 的治理新维度。AI 特有的治理议题（对齐与幻觉的治理（传统安全没有的议题——AI 治理篇的组织设计、AI 保险篇的市场化——「治理的新议题」（价值观、幻觉、责任分层——这些超出传统安全的「安全」范畴——「AI 安全 > 传统 AI 的安全」（AI 安全不只是「保护 AI 系统」，还包括「AI 系统自身的安全属性（输出的真实性、决策的公平性）——「安全边界的扩张」（CISO 的职责边界正在被 AI 推宽。模块四：AI 的工具与生态。AI 安全工具箱（开源工具箱篇的工具链——Garak/PyRIT/promptfoo 的实操——「工具的学习成本」（对会写代码的安全从业者友好——工具的实操是最快的学习路径。

graph TD
    A[知识迁移地图] --> B[要带: 威胁建模方法论<br/>STRIDE 的 AI 翻译]
    A --> C[要带: 纵深防御哲学<br/>零信任 AI · 假设失败]
    A --> D[要带: 治理与合规框架<br/>三道防线直接复用]
    A --> E[要学: 攻击面图谱<br/>注入→供应链→多模态]
    A --> F[要学: 概率性安全观<br/>确定性思维要放下]
    A --> G[要学: AI 治理新维度<br/>幻觉/对齐/责任分层]

要放下的：不再适用的假设

假设一：「边界防御有效」。传统安全的边界思维（网络边界、终端边界——「AI 的边界模糊化」（提示词在外部、模型在云端、Agent 在内部——攻击通过「内容」穿越一切边界（「内容即攻击面」——外部文本就是攻击的载体——边界防御对提示注入无效——「零信任」在 AI 的彻底化——连「模型自己」都不能信任（模型的输出要验证。假设二：「补丁可修复」。传统漏洞的补丁模式（发现漏洞→厂商补丁→部署——「模型漏洞的修复难」（模型的行为缺陷不能「打补丁」——修复=重新训练或提示词调整——「修复的周期与不确定性」——行为缺陷的修复是「概率性的改善」不是「确定性的修复」——「对 AI 的漏洞管理」要接受「不完美修复」的现实。假设三：「安全是独立职能」。传统安全与业务的边界（安全团队独立于产品——「AI 安全的嵌入式」（AI 安全要嵌入产品与业务的每个决策（提示词的写法、Agent 的权限、RAG 的语料——「嵌入式安全」的强度（事后审查防不住「提示词里写错的逻辑」——安全要进到「写提示词的那一刻」——「安全左移」的 AI 版**——比 DevSecOps 更左——左到「设计的思想层」。

转型的实操路径

第一步：建一个「AI 攻防靶场」（动手实验的环境——用 API 搭一个带 RAG 和工具的 Agent——「靶场的学习曲线」（第一周搭应用、第二周攻击它、第三周防御它——「攻防各一轮」的认知跃迁。第二步：做一次「AI 资产盘点」（自己组织的 AI 资产清单（模型、提示词、Agent、向量库、工具凭据——「AI 资产盘点」的传统审计方法迁移——盘点后你会发现：AI 资产的「影子部署」率极高（业务在用 AI 但安全团队不知道——「影子 AI」是 CISO 面对的第一现实问题（员工用自己的 ChatGPT 处理公司数据——「影子 AI 的治理」是转型的第一个实战项目。第三步：接入治理体系（把 AI 风险纳入现有的安全治理（三道防线、委员会、审计——「治理的渐进接入」——不是建新体系，是扩旧体系——「渐进接入」防止「治理建在空中」。第四步：持续跟踪与社区（知识更新机制（AI 安全社区、会议、工具——「学习机制的制度化」（每周的更新时间——变化太快，没有制度化的学习就会掉队。

CISO 转型的进阶：组织的「AI 安全文化」与「转型的时间表」

CISO 转型的进阶：组织层面的 AI 安全文化建设与转型的时间表。「AI 安全文化」的建设：「文化」的定义：组织的 AI 安全行为模式（不是文档里的政策，是「没人监督时的默认行为」——「文化的可观测指标」：员工在用新 AI 工具前是否主动找安全评估（「主动评估率」——员工遇到可疑 AI 输出时是否上报（「上报率」——「两个率」是文化的温度计——主动评估率高+上报率高=文化健康——「文化的建设机制」：领导的示范（高管的 AI 使用透明（「高管的示范效应」（高管公开自己的 AI 使用规范——以身作则的传播力——「示范的内容」（高管分享自己被 AI 骗的经历（「高管的自曝」的信任价值——示范的真实性（「真实的示范」优于表演）、「失败的公开」（AI 失误的公开复盘（「内部公开失败」的惯例——失败被隐藏、文化就造假——失败被公开、文化才真实——「失败博物馆」（内部的事故案例库的公开化（无责复盘篇的文化——「失败博物馆」的参观率是文化的另一种度量。「转型的时间表」：「CISO 的 90 天 AI 转型计划」：第一个 30 天（认知与盘点——「30 天的动作」：AI 资产盘点（影子 AI 的发现——团队的知识升级（攻防靶场的建设——「30 天的产出」：一份 AI 资产清单+一个靶场+一份差距分析；第二个 30 天（治理的接入——「60 天的动作」：AI 风险纳入治理体系（委员会、三道防线的扩展——关键政策的更新（使用政策——「60 天的产出」：更新的使用政策+治理的扩展方案；第三个 90 天（能力与响应——「90 天的动作」：响应 SOP 的建设（AI 事件响应的流程——监控的部署（AI 资产的监控——「90 天的产出」：响应 SOP+监控上线+一次演练——「90 天计划的务实性」（不追求完美——追求「从零到一」的框架——「90 天后的持续」（转型不是 90 天结束——是每季度的迭代——「90 天」只是第一圈。「转型的常见失败」：「转型失败的三种形态」：形式主义型（文档齐全但没人执行——「形式主义」的识别（政策发布后无人引用、培训后无行为变化——「行为的检验」（文化的两个率——形式主义的克星）；技术崇拜型（只买工具不改流程——「工具崇拜」的陷阱（工具是执行器、流程是灵魂——「先流程后工具」的顺序纪律）；孤立建设型（安全团队单打独斗——「孤立建设」的局限（没有业务与高管参与的安全建设——落地率为零——「协同」是转型的根本方法——业务的参与、高层的背书、一线的执行——「三方协同」缺一不可。CISO 转型的进阶总结：文化的建设（两个率的温度计+失败博物馆）+转型的时间表（90 天的三段计划）+失败的三形态（形式主义、技术崇拜、孤立建设）——CISO 转型的终极判断：「AI 安全的成熟」不是安全团队的状态，是整个组织的状态——安全团队只能催化，不能代替——「催化者」的角色定位——CISO 在 AI 时代的新身份：从「守门员」变成「催化剂」——催化业务的 AI 安全自觉——催化剂的最高成就，是让系统不再需要催化剂。

小结

CISO 与安全从业者的知识迁移地图：要带的三样（威胁建模方法论——STRIDE 的 AI 翻译、纵深防御哲学——零信任 AI 的彻底化、治理合规框架——三道防线直接复用）；要学的四样（攻击面图谱（注入→供应链→多模态）、概率性安全观（确定性思维要放下）、AI 治理新维度（幻觉/对齐/责任分层）、工具与生态（Garak/PyRIT 实操）；要放下的三个假设（边界防御有效、补丁可修复、安全是独立职能——AI 的内容即攻击面、修复是概率性的、安全要嵌入式）。转型的实操四步：建攻防靶场、AI 资产盘点（影子 AI 是第一现实问题）、渐进接入治理、制度化学习。转型的核心判断：传统安全从业者的「安全思维」是稀缺资产——缺的不是思维，是对 AI 这个新物种的「具体认知」——具体认知的获取没有捷径，只有动手——搭、攻、防、修，四轮下来，地图就长在了你自己的知识结构里。

AI 安全不是一门新学科，是安全学科的新大陆——旧地图上的罗盘还能用，但新大陆的地形，必须自己走一遍才能画出来。