事件经过
2026年8月14日，云安全联盟发布了关于人工智能事件响应的从业人员指南，主张传统IR剧本对自主/代理型人工智能系统失效。该文件规定扩展事件分类法，加入人工智能特定类别（提示注入、数据/模型中毒、工具中毒和滥用、恶意代理部署），构建具有关键性分类的人工智能系统清单，审计最低日志记录要求（提示、输出、工具调用），以及为代理/会话活动实施行为异常检测。这与CSA单独发布的2026年《顶级威胁报告》（已涵盖）不同，特别关注为人工智能/代理系统实现事件响应。
影响分析
大多数组织拥有人工智能清单和可接受使用政策，但很少有组织针对人工智能特定故障模式（提示注入、工具滥用、恶意代理）调整了事件响应流程。该指南为安全运营团队提供了具体的分类法、日志记录和检测要求以填补该空白，这在任何正式的人工智能IR监管授权之前进行。
建议行动
SOC/IR团队应扩展事件分类法，加入人工智能特定类别，使用关键性标签编制人工智能系统清单，审计日志记录覆盖范围（提示/输出/工具调用），并试点代理活动的行为异常检测；将其视为从业人员指南以指导内部剧本，而非强制性控制。