这份声明是在工作组第二次会议结束后发布的。其思路是用宽监管换私营部门主动上报安全漏洞，靠集体透明去对付AI时代变化极快的网络威胁。
据《网络安全潜水》报道，工作组在声明中写道："很明显，网络安全风险环境已经发生变化，不久前还具备合理防护能力的组织如今变得更加脆弱。"工作组据此判断，眼下针对网络安全事件的监管执法标准"可能已经过时"。
谁在主导，谁在缺席
工作组核心成员横跨安全、商业与行政三块：国家网络总监肖恩·凯恩克罗斯、商务部长霍华德·卢特尼克、五角大楼首席研究官埃米尔·迈克尔，以及人事管理局局长斯科特·库普尔。
联邦网络安全和基础设施安全局（CISA）在工作组公开声明里的分量明显偏轻。这种缺席，照出的是行政端与监管端在网络安全政策路线上的一层微妙张力。
豁免的真实边界
建议书把适用范围写得很明确。豁免只覆盖"善意自愿披露网络安全漏洞和事件"，还要同时满足三个前提——"合法、实际可行、符合美国人民利益（包括公众健康与安全）"。基础期限是12个月，工作组称可"根据风险形势的持续评估延长"。
换成具体场景：一家企业因AI系统被攻击者利用而泄露了数据，只要主动向联邦机构报告，就可能拿到监管宽容。可要是AI聊天机器人给出错误的医疗建议，或者公司内部安全测试没通过，就不在豁免之列。据《创业财富》报道，工作组的建议"不是已生效的保护措施，也不是新的强制报告要求"。把它理解成"AI公司现在可以承认任何问题而不受追究"，属于过度解读。
企业真正的痛点：合规挤占了安全预算
要看懂这份建议的来龙去脉，得先看美国企业在网络安全合规上有多难。多年来业界一直在向联邦政府诉苦：网络安全法规层层叠叠又互相打架，企业只能把本该投到实际安全改进上的资源，大把耗在合规文书和法律防御上。特朗普政府和前届政府都在找降低监管复杂度的路子。
可这里藏着一个结构性矛盾：CISA正在准备一套即将出台的网络事件强制报告规则，这套规则有可能大幅加重合规负担。工作组在声明里没有回避这层张力，称"支持CISA的立法工作"，同时希望CISA"建立清晰、实际可行的报告要求，尽量减少重复"。
2015年法案到期，才是制度根基的真正隐患
白宫AI工作组还支持对即将到期的《2015年网络安全信息共享法》做"长期重授权"。这部法律眼下为企业与政府共享威胁情报提供责任保护，是整个信息共享框架的法律底座。
重授权得靠国会动手。当前建议对联邦机构的"呼吁"只是行政端的软性引导，各机构跟不跟随自己定。整份文件里，需要立法的只有重授权这一块，也是最难推的一环，偏偏它又是整套机制中制度保障最强的部分。法案一旦到期、国会又没完成重授权，企业共享威胁情报的法律屏障就会空出一块。
AI重塑攻防节奏，监管框架的更新速度跟不上
推动这份建议的真正原因，是工作组点名、业界却仍在消化的一个现实：AI正在系统性地打破攻防两端维持已久的平衡。
以前企业搭起一套合规且"合理"的防御体系，往往能顶住主流威胁相当长一段时间。现在不一样了：攻击者用生成式AI把鱼叉式网络钓鱼做成个性化量产，漏洞扫描自动化、代码注入智能化，传统那套"合理防护"标准很快就不管用。工作组措辞里的"不久前"是个耐人寻味的时间副词，它指向的不是哪家企业疏忽，而是全行业的集体被动——防守方的响应节奏由人类工程周期决定，攻击者的迭代速度却在逼近机器节奏。
在这种情况下，企业遭遇AI驱动攻击后还要面对严厉的监管惩罚，等于拿旧尺子量新现实。
建议没有强制力，这是核心问题
这份文件不是行政命令，不是新法律，也不是正式联邦法规。它只是工作组对联邦机构的一声"呼吁"：哪个机构都可以照做，也都可以不理会，目前没有任何机构公开承诺跟进。
拿其他领域跑了多年的"豁免换透明"机制比一比：美国FDA对主动召回有明确的法定责任减免条款；《健康保险流通与责任法案》的"合格安全港"认定有具体标准，写进了正式条例。这些机制的共同点是法律或正式法规明确赋权，不靠机构自愿采纳。白宫AI工作组眼下这份建议，缺的正是这种制度刚性。
全球示范效应取决于后续落地
放到全球AI治理的盘子里看，美国联邦政府明确承认"AI正在使传统合规标准过时"，这件事本身就有参考价值。欧盟《AI法案》以风险分级和强制合规为主轴，英国侧重行业自律和原则性监管，目前都没有专门应对"AI放大网络攻击导致防御失效"这一具体场景。
接下来几个月，美国联邦机构会不会陆续采纳这份建议、并拿出看得见的效果，将决定它能否成为其他司法管辖区可参照的政策模板。责任豁免究竟能不能真正推动企业共享信息、AI安全事件的透明度会不会跟着提高，这些都能被测量，也能被后来者学习。反过来，如果各机构选择冷处理，这份建议书最后就只是一份诊断准确、行动落空的政策文件。
判断
白宫AI工作组这份建议对问题的判断是清醒的：AI时代的网络威胁正在超出既有监管框架的应对能力，惩罚性的监管预期压住了企业披露漏洞的意愿，信息各自封存只会让所有人都更脆弱。用12个月责任豁免来设计——拿短期的监管宽容换取长期的集体安全能见度——有其合理性，也有先例可循。
不过，判断准确不等于开出的方子有效。真正的考验在三件事上：联邦机构是否真的采纳；国会能不能在《2015年网络安全信息共享法》到期之前完成重授权；CISA即将出台的强制报告规则，能否与当前这套豁免导向相互协调，而不是彼此抵消。用豁免换透明，逻辑是成立的；用建议换行动，这一步还没有走完。
