ENISA关于AI辅助软件开发的草案技术咨询文件——公开征求意见（截止日期2026年10月15日）

2026年9月17日左右，ENISA就一份关于AI辅助软件开发的草案技术咨询文件启动了公开征求意见（持续至2026年10月15日）。该咨询文件主张“功能代码不应与安全代码混淆”，识别了三个风险领域（非对抗性故障，如幻觉依赖；对抗性威胁，包括提示词操纵、恶意软件包和智能体权限滥用；以及治理/保证风险，如责任不清和过度自治），并提出了四阶段安全设计方法——识别、明确、验证、记录——将安全要求直接嵌入AI助手/智能体指令和可复用的“技能”中。该文件刻意不创建新的合规框架，而是将现有的安全开发期望应用于AI辅助工作流，并将其与欧盟《网络弹性法案》挂钩。

这是欧盟机构首次专门针对AI编码助手和编码智能体安全性发布的指南，这是一个快速增长的攻击面。它为从业者提供了一个具体、轻量级的AI辅助开发控制模型，并预示着ENISA未来与CRA相关的安全设计期望方向。

在2026年10月15日之前向ENISA提交评论反馈，并将识别/明确/验证/记录方法映射到现有的SDLC和DevSecOps控制框架中。