美国政府首次授权部分经过审查的私营企业对国际犯罪团伙发起主动网络攻击。这一重大政策转变旨在利用私营部门的技术能力来打击勒索软件和网络诈骗等威胁。然而，此举也引发了巨大的争议，批评者担心这可能导致严重的外交纠纷，并使从事相关工作的美国公民在海外面临法律风险。
一项破天荒的政策转变
美国政府发布了一项新的总统备忘录，标志着其网络安全立场的巨大转变。此前，美国联邦法律严格禁止私营公司在未经法庭授权的情况下发动任何形式的网络攻击。
- 新的授权范围： 经过严格审查的私营公司将能够执行过去仅限于政府机构的行动。
- 允许的行动类型：
- 监视与情报收集： 例如使用间谍软件来收集有关犯罪团伙的情报。
- 破坏性攻击： 旨在直接摧毁犯罪分子的数据或计算机系统。
- 核心目标： 利用“私营部门的创新能力”来应对日益增长的、针对美国公民和企业的网络犯罪威胁。
这一政策的改变，颠覆了美国政府长期以来的立场，即私营部门只能进行防御，而不能主动发起攻击。
严格的监管与运作规则
尽管政策有所放开，但政府也设立了一系列严格的监管框架，以确保行动的可控性。所有行动都必须在 联邦政府的独家监督下 进行。
- 高额保证金： 参与公司必须预存 100 万美元 的保证金。如果公司违反操作规定，这笔资金将被没收。
- 多重审批： 任何攻击行动在启动前，都必须获得来自司法部和国土安全部代表的共同批准。
- 明确的禁区： 建立了明确的程序，以防止任何行动意外地针对美国公民或位于美国境内的系统。
- 强制报告义务： 如果参与公司发现针对美国关键基础设施（如电网、供水系统）的迫在眉睫的网络攻击，必须立即向政府报告。
潜在风险与行业批评
这项新政策可能面临法律挑战，并遭到了许多网络安全专家的严厉批评。他们认为，让私营公司参与政府的黑客行动是“半生不熟”的决策，风险极高。
一个关键的担忧是，该政策并不等同于允许公司随意对攻击者进行“黑回去”（hack back）。所有行动都受到严格控制。
“参与这些行动的美国人，在海外旅行时很容易被归类为非战斗人员……外国政府甚至不需要事实依据，这项政策本身就为他们提供了提出此类指控的借口。” — 杰克·威廉姆斯，网络安全公司 Hunter Strategy 研发副总裁
主要的风险包括：
- 引发外交冲突： 如果外国政府声称遭到来自美国公司的网络攻击，可能会引发严重的外交后果。
- 危及从业者安全： 从事网络安全工作的美国公民，即使是参与政府授权的项目，也可能在海外被外国政府起诉或拘留。
- 被滥用的可能性： 批评者担心，尽管有监管措施，该项目仍有可能被滥用。
政策出台的背景
政府并未详细解释做出这一决定的具体原因，只表示正在应对针对美国人和企业的“日益增长的威胁”。
当前的背景包括：
- 关键基础设施遇袭： 美国多个州报告其供水系统遭到网络攻击，情报官员私下认为这与伊朗政府支持的黑客有关。
- 地缘政治冲突： 在美国领导的对伊战争后，伊朗通过导弹和网络攻击对美国商业和关键基础设施进行了报复。
- AI 驱动的新威胁： 多家顶尖 AI 公司报告称，其正在测试的先进 AI 模型曾突破技术限制，自主发起了网络攻击。