想像一下，你的家正在被盜
此時此刻，一場入室搶劫正在你的家中發生。你看不見入侵者——你不知道他們是誰，如何進入的，拿走了什麼，以及還有多少人在暗處潛伏。
當你回家時，發現原本鎖好的前門竟然神秘地開了，你意識到不對勁，但你不確定門已經開了多久。
你尋找凌亂的痕跡或強行闖入的跡象，試圖判斷入侵者去了哪些房間、尋找什麼。但對方極其專業——他們清理了所有現場，幾乎沒有留下任何痕跡。
你安裝了一把新鎖，以為問題解決了。結果第二天，家裡再次被闖入。
你想提醒鄰居，以便採取措施保障整棟建築的安全。但一旦你公開這件事，入侵者就會知道你已經察覺，從而採取更隱蔽的逃避行動。
接下來你該怎麼辦？
將這些風險提升到國家層面，影響新加坡的安全、經濟和生活方式，你就能體會到新加坡網絡安全局（CSA）首任局長 David Koh 先生在決策時所面臨的壓力。
Koh 先生在退休後接受 CNA 獨家採訪時表示，人工智慧（AI）從根本上改變了這場「貓鼠遊戲」的參數。
這位 61 歲的資深公職人員在服務 42 年後於 7 月卸任，其中最後 11 年一直領導著新加坡首個網絡安全機構。
Koh 先生指出，CSA 調查的大多數網絡攻擊並非技術上極其複雜，而是通過人為錯誤、粗心或社會工程學實現的。
他表示，新加坡尚未成為 AI 驅動的網絡攻擊目標，但國家的網絡防禦者必須正視這項技術帶來的衝擊。
如今的網絡攻擊大多是「手工打造」的，需要人類的創新、想像力和技術能力來挖掘漏洞。
「所有這些都依賴於少數擁有相關技能的人。這類技能稀缺且難以獲得。因此，這些人能造成的破壞程度，受限於他們投入的勞動強度，」Koh 先生說。
而 AI 可以將識別和串聯網絡漏洞的過程自動化——這裡一個脆弱的鉸鏈，那裡一把鬆動的鎖——從而打開大門。
他認為，這可能將構建網絡攻擊的時間從數周或數天縮短到數小時甚至數分鐘，極大地增強了攻擊的速度和規模。
AI 還可能通過打破「隱蔽安全性」（security by obscurity）來擴大攻擊目標範圍。
Koh 先生解釋說，由於構建網絡攻擊需要大量時間和精力，攻擊者通常會通過開發可複製到儘可能多目標的攻擊來最大化其「投資回報率」。
這導致他們傾向於攻擊廣泛使用的計算機系統，而較舊或專有的系統則因為稀有而避開了關注。
AI 讓攻擊這些稀有系統的成本降低了。 Koh 先生舉例說，運行電廠、電網和鐵路系統等關鍵服務的運營技術（OT）系統就面臨風險。
「通常你會發現，這類攻擊僅由資源充足、目標明確且極其專業的機構發起，因為他們有特定的理由攻擊某個電廠。所以通常是國家級攻擊。」
「但在 AI 時代，這類攻擊變得更容易實施了，」他說。
AI 能力意味著，目前行業標準中為新發現的漏洞開發安全補丁所需的兩到三周時間，可能不再合理。
為了更快響應，防禦者可能需要對計算機系統進行持續監控，而不是依賴年度安全審計。
「我們需要意識到世界正在改變。我們過去組織、運作和防禦自己的方式不能再維持原樣，」Koh 先生說。
他補充道，這需要董事會層面的關注，這也是為什麼 CSA 要求關鍵信息基礎設施的高級領導者重新審查其網絡安全設置的原因。
在 CNA 採訪幾天後，OpenAI 披露，其一些最先進的 AI 模型成功突破了受控測試環境，併入侵了一家 AI 初創公司以實現測試目標。
危機溝通
在擔任新加坡首任網絡安全局長之前，Koh 先生曾在新加坡武裝部隊和國防部任職，曾擔任國防網絡主管、技術副秘書、軍事安全局局長和首席信號官等職。
Koh 先生表示，與傳統安全相比，動員人們關注網絡安全更困難，因為網絡攻擊的後果不像摧毀建築或造成人員傷亡的物理攻擊那樣直觀。
另一個關鍵區別是數字領域邊界的模糊性。
「國家邊界延伸到哪裡並不明確。基礎設施位於何處並不明確。發生的事情是來自內部還是外部也不明確。」
網絡安全利益相關者不僅是政府或政府關聯機構，還包括私營公司，且攻擊可能更直接地影響普通平民。
2018 年發生的 SingHealth 數據泄露事件就是如此——這是 CSA 成立三年後面臨的一次重大考驗。
黑客入侵了該醫療服務提供者的系統，獲取了 150 萬名患者的醫療數據，並多次針對時任總理李顯龍的記錄。
Koh 先生回憶起那段「極其緊迫」的時期，CSA 必須在公開並通知受影響患者之前獲取更多信息。
新加坡網絡安全局首任執行長 David Koh 2026 年 7 月 20 日接受 CNA 採訪。(照片：CNA/Ooi Boon Keong)
「為了通知患者並採取行動，我們首先必須確信自己準確掌握了發生了什麼；其次，知道如何阻止它；第三，能向公眾明確告知哪些數據被泄露，」他說。
「我記得大約有 10 天時間，我們必須在極短的時間內確定所有這些事情。為什麼？因為時間在滴答作響。從公眾角度來看，你希望在合理的時間內被告知發生了什麼。」
一旦公開，防禦者可以採取更果斷的行動。在 SingHealth 案例中，採取的行動是切斷醫院電腦的網際網路訪問，因為這些電腦被確定為泄露的初始入口。
Koh 先生回憶起當時的一種緊張狀態：既要向民眾、企業和投資者保證新加坡是安全可靠的，又要讓公眾保持健康的懷疑態度，以應對充滿敵對行為者的數字空間現實。
「大多數發生的事件並沒有登上新聞，原因可能是它們數量太多，發生頻率太高，且沒有真正影響到更廣泛的生態系統，」他說。
決定公開 UNC3886 攻擊的「艱難抉擇」
Koh 先生表示，決定是否公開網絡事件的關鍵因素包括：攻擊了什麼？對新加坡國家安全、經濟或生活方式的影響如何？誰負責？更廣泛的地緣政治和國內背景是什麼？
去年 7 月，新加坡主要電信公司遭受 UNC3886 長期且持續攻擊的消息首次由國家安全協調部長 K Shanmugam 公開。
部長當時表示，雖然指名 UNC3886 相關的國家不符合新加坡的最佳利益，但攻擊嚴重到必須通知公眾。
「做出那個公告是一個艱難的決定，」Koh 先生說。
「這基於我們有足夠的信心檢測到了攻擊源，並能夠充分穩定局勢。」
「我非常謹慎地選擇措辭，因為這項工作的性質是高度機密的。」
「正因如此，即使我們說有信心穩定了局勢，我也不能肯定地保證我們知道一切，或者已經找到了攻擊者使用的每一個可能的秘密入口。」
新加坡針對迄今為止最大規模網絡攻擊的防禦行動涉及 6 個政府部門的 100 多人，代號為「網絡衛士行動」（Operation Cyber Guardian）。
「在 SingHealth 案例中，一個規模較小、不夠成熟的 CSA 幾乎能獨立完成所有工作，」Koh 先生說。
但 UNC3886 攻擊中的專業攻擊者意味著取證調查要困難得多，需要更多的人員和資源。
「我們不能只在第一層檢查，必須部署更多、訓練更專業的人員在第二層和第三層檢查，以查明他們具體做了什麼，去了哪裡，」他說。
「有時即使在第三層檢查，我們也無法確定，因為他們在清理痕跡方面非常細緻。」
Koh 先生表示，他特別自豪於多個機構在實時網絡安全行動的高節奏下協作良好。
「協作是第一層挑戰。而具有深層集成和信任的協作，我認為是第二層成就，且我們能在響應的作戰節奏中實現這一點。」
他稱這是 10 多年工作的結晶，並表示「只有極少數國家能夠做到這一點」。
三大教訓
在將 CSA 的職務移交給繼任者 Gwenda Fong 女士後，Koh 先生將擔任該局以及數字發展與信息部的資深顧問。他將繼續代表國家參與國際事務，並研究數字安全及量子計算等相關領域。
當被問及多年來哪些事件最改變他對新加坡網絡安全風險概況的看法時，他列舉了三點。
雖然不是攻擊，但 2024 年的 CrowdStrike 宕機事件給新加坡用戶造成了「災難性的技術故障」。
這次崩潰導致樟宜機場不得不採取手動辦理登機，導致 100 多架航班延誤，同時影響了部分組屋停車場的閘機。
Koh 先生說，這讓他深刻意識到系統韌性的重要性。
「我們傾向於將網絡安全視為技術問題……但實際上，CrowdStrike 事件向我們證明，技術手段能做到的有限。」
「你必須問自己：如果技術層面失效了，從業務角度、個人角度來看，你是否有韌性？你能在沒有它的情況下管理嗎？」
2021 年，針對石油管道運營商 Colonial Pipeline 的攻擊在美國引發了排長隊和對燃料短缺的擔憂。
Koh 先生表示，這次並不複雜的勒索軟體攻擊改變了人們的認知——即並非只有資源更豐富的國家或國家支持的攻擊者才能造成重大後果。
而在 2020 年的 SolarWinds 攻擊中，黑客滲透了軟體供應商的系統，在軟體更新中注入隱藏代碼。這些更新隨後被推送給包括美國政府在內的 SolarWinds 客戶。
雖然新加坡未被針對，但 Koh 先生指出，這次供應鏈攻擊清楚地表明，被攻破的供應商會如何影響最終用戶。
他反思道，網絡安全是一個要求極高且充滿挑戰的領域，需要多樣化的技能組合。
「這是一個令人興奮的領域，因為我們傾向於認為自己是在事後進入，像搜集指紋一樣查看發生了什麼，」他說。
「但在 SingHealth 和『網絡衛士行動』中，兩者都是實時行動。所謂的實時行動，意味著你實際上是在數字空間與『敵人』進行戰鬥。」
