白宫AI工作组提责任豁免：企业善意披露网安事件可获12个月宽限

2026年11月13日，白宫AI工作组在第二次会议结束后发表声明。特朗普政府这份声明建议联邦机构给予主动、善意披露AI驱动网络安全事件的企业至少12个月的责任豁免。说白了，这是拿监管上的宽容，去换私营部门主动上报漏洞的积极性，想靠集体透明来应对AI时代变化很快的网络威胁。

《网络安全潜水》报道称，工作组在声明中写道：“很明显，网络安全风险环境已经发生变化，不久前还具备合理防护能力的组织如今变得更加脆弱。”工作组由此判断，眼下针对网络安全事件的监管执法标准“可能已经过时”。

谁在主导，谁在缺席

工作组核心成员横跨安全、商业、行政三条线：国家网络总监肖恩·凯恩克罗斯、商务部长霍华德·卢特尼克、五角大楼首席研究官埃米尔·迈克尔，以及人事管理局局长斯科特·库普尔。

相比之下，联邦网络安全和基础设施安全局（CISA）在工作组公开声明里的分量明显偏轻。这个缺席，透出行政端与监管端在网络安全政策取向上的一层微妙张力。

豁免的真实边界

建议书对适用范围划得很清楚。责任豁免只覆盖“善意自愿披露网络安全漏洞和事件”，同时要满足三个前提：“合法、实际可行、符合美国人民利益（包括公众健康与安全）”。12个月是基础期限，工作组称可“根据风险形势的持续评估延长”。

换句话说，某家企业因为AI系统被攻击者利用而发生数据泄露，只要主动向联邦机构报告，就有可能得到监管宽容。可要是AI聊天机器人给出了错误的医疗建议，或者公司内部安全测试没通过，那就落在豁免范围之外。《创业财富》的报道指出，工作组的建议“不是已生效的保护措施，也不是新的强制报告要求”——把它理解成“AI公司现在可以承认任何问题而不受追究”，属于过度解读。

企业真正的痛点：合规挤占了安全预算

要看懂这份建议的来龙去脉，得先看美国企业在网络安全合规上有多难。多年来业界一直在向联邦政府诉苦：网络安全法规层层叠叠、彼此矛盾，企业只好把本该投到实际安全改进上的资源，大量耗在合规文书和法律防御上。特朗普政府和前届政府都在找办法，想把监管的复杂性降下来。

不过这里埋着一个结构性矛盾：CISA正在筹备一套即将出台的网络事件强制报告规则，这套规则可能让合规负担明显加重。工作组在声明里也承认这层张力——它说“支持CISA的立法工作”，同时又希望CISA“建立清晰、实际可行的报告要求，尽量减少重复”。

2015年法案到期，才是制度根基的真正隐患

白宫AI工作组还支持对即将到期的《2015年网络安全信息共享法》进行“长期重授权”。眼下这部法律为企业与政府共享威胁情报提供责任保护，是整个信息共享框架的法律根基。

重授权得由国会动手，而当前建议对联邦机构的“呼吁”只是行政端的软性引导，各机构跟不跟进自己说了算。整套机制里，只有重授权需要立法，也最难推进——偏偏它的制度保障最强。一旦法案到期、国会又没能重授权，企业共享威胁情报的法律屏障就会空出一块。

AI重塑攻防节奏，监管框架的更新速度跟不上

这份建议真正的推动力，来自一个工作组明确点名、业界却仍在消化的现实：AI正在系统性地打破攻防两端长期维持的平衡。

以往企业搭起一套合规又“合理”的防御体系，通常能在相当长的时间里挡住主流威胁。可攻击者一旦用上生成式AI工具，鱼叉式网络钓鱼能个性化量产，漏洞扫描走向自动化，代码注入也变聪明了，传统的“合理防护”标准很快就撑不住。工作组用“不久前”这个时间副词，耐人寻味——它指向的不是哪家企业疏忽，而是整个行业的集体被动：防守方的响应节奏由人类工程周期决定，攻击者的迭代速度却在往机器节奏上靠。

在这种情况下，企业遭遇AI驱动攻击后还要面对严厉的监管惩罚，等于拿旧尺子去量新现实。

建议没有强制力，这是核心问题

这份文件既不是行政命令，也不是新法律，更不是正式的联邦法规——它只是工作组对联邦机构发出的“呼吁”。哪个机构都可以照做，也都可以不理，目前没有任何机构公开承诺跟进。

不妨对比其他领域跑了多年的“豁免换透明”机制：美国FDA对主动召回有明确的法定责任减免条款；《健康保险流通与责任法案》的“合格安全港”认定，具体标准写进了正式条例。这些机制有一个共同点——由法律或正式法规明确赋权，不靠机构自愿采纳。白宫AI工作组眼下这份建议，缺的正是这种制度刚性。

全球示范效应取决于后续落地

放到全球AI治理的视角看，美国联邦政府明确承认“AI正在使传统合规标准过时”，这件事本身就有参考价值。欧盟《AI法案》以风险分级和强制合规为主轴，英国侧重行业自律和原则性监管，目前都没有专门针对“AI放大网络攻击导致防御失效”这一具体场景。

如果美国联邦机构在未来数月里陆续采纳这份建议，并形成看得见的效果，它就能给其他司法管辖区提供一个具体的政策模板——责任豁免究竟能不能真的激励信息共享，AI安全事件的透明度会不会跟着提升，这些都可以测量、可以借鉴。反过来，各机构若冷处理，这份建议书最终就是一份诊断准确、行动落空的政策文件。

判断

这份建议对问题的判断相当清醒：进入AI时代，网络威胁已经超出现有监管框架能应付的范围，惩罚性监管的预期又压着企业不愿说出漏洞，信息各自封闭只会让各方都更脆弱。豁免12个月责任的思路，是拿短期的监管宽容去换长期的集体安全能见度，这套设计有它的道理，也有先例可循。

不过，诊断准不代表药方管用。真正的考验有三处：联邦机构会不会真采纳；国会在《2015年网络安全信息共享法》到期之前能不能完成重授权；CISA即将推出的强制报告规则，能不能跟眼下这条豁免导向相互配合，而不是彼此抵消。用豁免换透明，逻辑上说得通；用建议换行动，这一步还没迈出去。