印度网络安全：专家发现十大系统性漏洞

简单来说

Medianama（2026年7月17日）汇编了一份专家摘要，列出了印度网络安全的十大结构性缺陷。这不是一份官方报告，而是一份罕见的综述，它在多次事件发生后（Reliance / Kudankulam，公告#1166）和CERT-In关于代理AI义务的辩论（#1167）之后出现。

背景

印度2026年的AI叙事强调主权（Bhashini离线#996，MeitY暂停OpenAI/Anthropic#1074）。主权和网络安全并不一致：构建本土堆栈并不能提供免疫力——在审计较少的系统上，盲点会积累。

摘要指出的问题

不重复每一项列出的内容，批评的结构归纳为四类：

• 碎片化治理：CERT-In、MeitY、NCIIPC、银行业——没有单一责任点。
• 资金不足和人才短缺：面对印度的规模，主权团队人手不足，与私营部门的薪资差距。
• 法律框架正在构建：DPDP法案部分实施，审计义务不平等，关键基础设施的定义模糊。
• 供应链：依赖外国组件和软件，开源依赖的可追溯性低（Kudankulam是供应链的原型）。

对AI的影响

三个直接与india-ai-sovereignty议程相关的问题：

1. 代理支付（#1167）：没有坚实的网络安全基础，人在回路的义务就变成了敷衍。风险转移到供应商。
2. 主权模型：在计算和SIEM能力不足的基础上托管的模型会继承其基础的漏洞。Bhashini也不例外。
3. 跨境信任：一个不易理解的体系使合作变得复杂。OpenAI/Anthropic的暂停（#1074）就是这种气氛的体现。

场景

• 结构性：专家们做出了诊断，政治层面在危机中行动。预计12-18个月才能进行大规模改革。
• 反应：DPDP法案加强，CERT-In获得更多资源，一个单一权威机构出现——可能但缓慢的场景。
• 断裂：一个重大事件发生在大众金融服务上，迫使采取行动。考虑到目前的轨迹，这并非不可能。

结论

对于以印度为供应商、市场或云中心运营的领导者来说：印度的网络安全不仅仅是一个孤立的问题，它是一个AI风险的放大器。需要在供应商尽职调查和数据驻留决策中加以考虑——现在，而不是十八个月后。