摘要：4月，全球网络安全领域迎来多维度变革。英国发布《网络安全与韧性法案》，强化关键基础设施保护并首次将数据中心纳入监管；美国DARPA启动“Red-C”项目，以总线级弹性技术应对武器系统威胁，国防部更提出2035年实现武器系统“零信任”的雄心目标。与此同时，量子通

前言

4月，全球网络安全领域迎来多维度变革。英国发布《网络安全与韧性法案》，强化关键基础设施保护并首次将数据中心纳入监管；美国DARPA启动“Red-C”项目，以总线级弹性技术应对武器系统威胁，国防部更提出2035年实现武器系统“零信任”的雄心目标。与此同时，量子通信迈入新阶段，英国投资5400万美元建立综合量子网络中心，而美国军方则聚焦人工智能与工业控制系统安全，从AI决策支持到OT攻防演练，多线推进技术防御升级。这些事件不仅凸显网络空间博弈的激烈，更揭示了技术、政策与国际协作在应对新型威胁中的重要作用。

01

中国披露美国入侵加密公司窃取数据事件

中国国家计算机网络应急技术处理协调中心（CNCERT）披露，美国情报机构对中国一家主要商业密码提供商发动复杂网络攻击，呈高级持续性威胁（APT）特征。攻击者利用公司客户关系管理（CRM）系统的未公开漏洞建立初始攻击向量，进而部署专门木马进行指挥与控制操作。该恶意软件在技术上与美国情报行动相关工具相似，攻击方法与之前记录事件类似，通过后门和远程访问木马建立持续访问，并利用横向移动技术扩大在网络中的存在范围。攻击者建立控制权后，利用隐身技术执行数据泄露操作，从CRM系统转移至产品管理系统，最终到达包含专有加密实现的代码存储库，导致约950MB敏感数据及6.2GB的专有加密研究和开发代码泄露。

02

英国发布《网络安全与韧性法案》强化关键基础设施保护

英国科学、创新与技术部（DSIT）正式发布《网络安全与韧性法案》政策声明，拟对现行网络安全监管体系进行全面升级。该法案主要包含三大核心改革措施：（1）扩大监管范围至数据中心等数字服务供应链；（2）强化监管机构职权，要求企业强制报告网络攻击事件；（3）建立动态调整机制应对AI等新兴技术威胁。政策声明特别指出，当前仅不到10%的基础服务运营商能有效管理供应链风险，而针对国家医疗服务体系（NHS）和国防部的近期攻击事件凸显立法紧迫性。法案创新性引入四项补充措施：将数据中心纳入关键国家基础设施清单、发布监管机构战略优先级声明、授予国务大臣网络安全紧急处置权，以及建立跨部门协同监管机制。英国国家网络安全中心（NCSC）同步推出《特权访问工作站八项原则》，为高风险环境提供操作规范。

03

美国DARPA启动面向单一设备的网络弹性项目Red-C

美国国防先进研究项目局（DARPA）发布单机网络弹性项目“在受损期间恢复基于总线的系统”（Red-C）项目的泛机构公告（编号：HR001125S0005）。Red-C项目旨在改造各总线组件的固件，使其成为取证传感器，以便在网络攻击期间监控相邻的部件，从而检测和修复系统，并使系统之后能抵御类似攻击。Red-C项目将专注于“外围组件的高速互连”（PCIe）总线和“计算高速链路”（CXL）总线，并解决以下3项挑战：（1）实现关键部件仪表化，使之能彼此监控，从而提供高分辨率传感能力；（2）开发分布式算法，使各组件能独立执行从攻击检测到全力恢复等任务；（3）论证在线总线恢复和固件改造方案，以消除现代总线的级联隐性信任缺陷。

04

美国防部提出2035年实现武器系统零信任的目标

美国国防部计划以2035年为节点，在战斗机、坦克、舰船等武器系统中全面部署零信任架构。根据2022年《国防授权法》要求，美军零信任战略分三阶段推进：2027年前完成信息技术（IT）系统、2030年前完成作战技术（OT）系统、2035年前完成武器系统的部署。随着关键基础设施遭受攻击事件增加，零信任办公室已于2024年11月将工作重点转向OT系统改造，并将于2025年10月发布实施OT零信任的相关指南。OT系统计划在2030年前全面实现零信任架构。对于武器系统，相关技术方案仍处于“萌芽阶段”。

05

英国启动综合量子网络中心

英国启动由赫瑞瓦特大学牵头、联合12所大学、2个国家实验室和40多个行业合作伙伴共同组建的综合量子网络中心（IQN Hub），以加速部署安全且可扩展的量子通信基础设施。该中心投资超4200万英镑（约合5400万美元），旨在按照英国政府《2035年量子战略》的规划，解决与量子网络相关的技术和工程挑战。该中心将开发可扩展量子网络所需的底层技术，包括高性能量子光源、低噪声探测器和稳固型量子开关等。该中心还将与各国家机构合作，制定新的量子安全通信标准。该中心还将在量子处理器之间建立局部链路，扩大基于光纤的量子网络，以及将量子网络与卫星通信相集成。为此该中心将开发具有足够相干时间的量子存储器，以用作量子链路上的中继器。该中心还将设计能与现有光纤基础设施相衔接的协议，以确保未来量子硬件的兼容性。

06

美国陆军发布《网络安全服务供应商协调

指南》

美国陆军首席信息官发布《网络安全服务供应商协调指南》，该指南旨在为系统所有者（SO）提供战略指导，并要求在陆军的统一网络中使用经授权和认证的网络安全服务供应商（CSSP）。该指南指出，陆军网络司令部（ARCYBER）和陆军指挥、控制、通信、计算机、网络、情报、监视和侦察中心（C5ISR）是仅有的两个获得认证授权的CSSP，其中ARCYBER负责提供一般性的CSSP服务，C5ISR负责为商业和私有云环境中的系统和网络提供CSSP服务。此外，该指南还要求SO在机构任务保障支持服务期间记录CSSP的合规情况，遵守CSSP规定的网络安全上报要求，并共享系统安全信息。

07

美国国防情报局寻求人工智能决策技术

美国国防情报局（DIA）发布招标书（编号：HHM402-23-SC-0002-0001），以向企业界寻求基于人工智能和机器学习的决策支持技术。该招标书主要关注以下三个技术领域：多模型大语言模型（LLM）应用；多源数据检索和预处理；支持人工智能的文档生成和评估。该招标书要求投标方必须满足以下要求：拥有直观的用户界面，且能选择不同的大语言模型；配备用于快速优化的输出缓存；允许用户将文档上传到临时内存；具备输出显示功能；适用于超过2000个并发用户的大型分布式用户群，并具备用户身份验证和网络安全功能；能轻松集成检索增强生成（RAG）、媒体生成和智能体功能；能够从不同的来源检索数据，对检索到的数据进行预处理，并具备数据存储管理功能；能将快速收集的大量数据集成到现有和新的工作流程中；必须包含网络安全功能，并可存储不同密级的数据；支持细粒度的数据权利管理，能与在不同密级间移动数据的跨域解决方案相集成，并为大语言模型构建矢量数据库。

08

美国IARPA启动下一代AI网络安全研究计划

美国情报高级研究计划局（IARPA）局长里克·穆勒透露，该机构正将大语言模型（LLM）列为下阶段人工智能网络安全研究的核心方向。穆勒在情报与国家安全联盟活动中指出，研究重点包括：识别LLM训练偏差导致的意外后果、防范机密数据泄露风险（即使通过精心设计的提示词触发），以及应对模型幻觉问题。当前TrojAI项目（2019年启动的AI系统防木马计划）即将收官，新研究将继承其跨图像分类、自然语言处理等领域的多模态安全防护经验。IARPA曾于2023年9月与美国国家标准与技术研究院（NIST）联合举办AI训练数据防篡改挑战赛，持续推动AI安全前沿探索。

09

美国NSA发布《国家安全系统智能控制器

网络安全指南》

美国国家安全局（NSA）发布《国家安全系统智能控制器安全指南》技术报告，针对工控系统的OT与IT网络融合带来的新型风险提出防护措施。报告指出，智能控制器因普遍缺乏默认安全配置，成为高价值攻击目标，尤其老旧OT系统风险突出。NSA建议采取三项核心措施：定期测试更新OT固件/软件（涵盖主机、嵌入式设备及网络设备），强制禁用无线接口默认模式，以及参照NIST标准与美国国际标准管理局（ISA）技术要求建立防护体系。该研究同时支持“OT保障合作伙伴计划”试点项目，相关成果将提交美军情报支援行动标准委员会，用于工业自动化控制系统未来安全标准更新。此次指南是NSA继2月发布边缘设备防护策略后，针对关键基础设施安全的又一举措。

10

美国CISA举办针对工业控制系统的网络攻防演练

美国网络安全与基础设施安全局（CISA）在其位于爱达荷州的“控制环境实验室资源”（CELR）实验室中，与来自国土安全部科学技术局、爱达荷国家实验室（INL）、路易斯安那州立大学和关键基础设施运营商的代表，共同举办了针对工业控制系统的网络攻防演练。此次演练为期2天，旨在检验和应对针对人机界面（HMI）、监控与数据采集（SCADA）系统以及可编程逻辑控制器（PLC）等工业控制系统的网络攻击。此次演练使用了CELR实验室中的化学处理平台，参演方需在真实的信息技术（IT）和运营技术（OT）流量环境中，抵御来自红队的攻击。CISA表示，此次演练有助于加强关键基础设施运营方的网络搜寻能力和网络事件响应能力。

来源：信息安全与通信保密