數博對話 | 浙江大學求是特聘教授杜躍進：DSMM將是未來企業在數字世界中需要的“通行證”

本文轉自：人民網-貴州頻道

在數據要素市場化加速推進、人工智能技術深度融合的背景下，數據流通與安全、AI安全與效率等矛盾成爲行業關注焦點。2025中國國際大數據產業博覽會（簡稱數博會）將於8月28日在貴州貴陽舉辦，在大會前夕，特別專訪了浙江大學求是特聘教授杜躍進，圍繞數據安全技術應用、大模型“安全與效率”平衡、生成式AI風險防控、DSMM標準發展及數博會期待等關鍵議題展開了一場深度對話，分享了他的深刻洞察與前瞻建議。

問：數據安全是數據要素流通的基石，在您看來，當前數據要素市場化進程中，隱私計算等技術能否成爲破解“安全與流通矛盾”的關鍵？

杜躍進：數據安全與傳統網絡安全存在諸多不同，其中核心差異之一是數據安全與業務耦合極深，因此單獨某一種技術無法判斷能否解決所有問題，關鍵在於技術能否適配特定業務場景、滿足業務需求。

包括隱私計算、聯邦學習、安全多方計算、機密計算等在內的各類技術，均在探索數據安全保障路徑，但這些技術必須放在具體業務場景中實踐——要與業務融爲一體、與管理融爲一體，才能驗證其有效性。

簡言之，技術對數據安全至關重要，但不能“唯技術論”；安全是數據流通的前提，但數據安全絕對不能脫離業務需求，需在技術實踐與業務需求的結合中尋找平衡。

問：大模型廠商普遍採用“安全對齊”抑制風險，但企業爲業務效率常要求解除對齊限制。您認爲這種“安全與效率”的衝突應如何平衡？

杜躍進：“安全與效率”的衝突，本質是安全與發展平衡的經典難題，需結合當下大模型發展階段、全球態勢及數字革命進程，遵循五大原則落地解決：

第一，提高風險容忍度。安全風險無法完全消除，只能通過風險控制降低到合適程度。當前階段不應追求“零風險”，需適當放寬標準，接受一定範圍內的風險存在。

第二，風險消除適度“右移”。不必將所有資源投入“預防風險發生”，而是更要強化風險發生後的能力——快速準確地發現風險、及時且有效的響應、提升恢復能力降低損失等，避免因過度在“左側”追求“零風險”而“因噎廢食”。

第三，系統性應對風險。突破單一技術思維，從人工智能系統及社會影響層面綜合管控風險，例如結合數據治理、模型可解釋性提升、輿情和危機應對等多維度措施，形成整體防控體系。

第四，創新快速迭代。當前大模型技術發展速度遠超政策法規、標準、產品的更新節奏，需在政策、技術、標準、產品等各領域創新迭代模式，提升對新情況的適應能力。

第五，堅持以業務爲中心。所有安全措施的評估與實施，都需從業務視角判斷“價值與成本”——無論是企業、行業還是國家層面，都要避免“爲解決小風險付出過大代價”，最終以業務需求決定措施的必要性、程度與時機。

需強調的是，這些原則都需要結合具體行業、企業及事件落地，未來需通過更多最佳實踐總結經驗，而非依賴“自上而下的統一方案”。

問：生成式AI面臨數據污染、模型竊取等風險，從技術層面看，您認爲智能威脅檢測、自動化攻防演練等手段該如何具體落地？

杜躍進：這可以從“整體安全能力”的視角回答這個問題。目前我國在技術與工程領域能力突出，但常忽視技術之外的關鍵因素。不能認爲技術是解決一切的手段。

回顧網絡安全發展歷程：2007年前以“無組織攻擊”爲主，2007年後針對性信息竊取增多，2010-2011年起高級威脅攻擊出現，傳統的威脅檢測、態勢感知等方法已面臨挑戰。生成式AI面臨的“數據污染”“模型竊取”風險，僅是衆多網絡安全問題中的“兩個小點”，因此，核心不在於“某類技術如何落地”，而在於整體安全能力的提升。

安全能力不是單一技術指標更不是安全產品的功能性能參數，而是一個機構中技術手段與人員組織、制度流程、資源配置的融合產物——需先明確“安全能力如何刻畫與衡量”，再判斷其能否應對包括AI風險在內的各類威脅。

實踐中，不能陷入“買產品即保安全”的誤區，需重視運營、業務決策對接、人員培訓、組織建設、制度完善等“非技術環節”，通過多要素融合構建真正的安全能力。

問：2024年您牽頭髮布了《DSMM應用情況與未來發展分析報告》並推動行業互認機制。一年來，在AI多模態數據融合、跨境數據流動場景下，DSMM面臨哪些未預見的挑戰？

杜躍進：首先需明確DSMM的核心價值——它是以“組織爲單位”來解決組織或機構的“可信任問題”，即判斷某一企業或機構的可信度，進而決定“哪些業務可委託給它、風險是否可控”，這是平衡業務發展與風險可控的重要抓手。

當前，AI多模態數據融合、跨境數據流動對“數據流動效率”的需求愈發迫切，數據不流動或流動不足，不僅會增加業務成本，更會影響技術創新、行業發展與國際競爭。在此背景下，DSMM的價值將進一步凸顯，DSMM成熟度一至五級的等級劃分將是未來企業在數字世界中需要的“通行證”，沒有這張“通行證”的企業無法獲得別人的信任，而拿着更高等級DSMM證書的企業，則意味着其數據安全能力更加強大，有能力處理更大更重要的數據而不至於風險升高。

從實際應用看，DSMM發展勢頭良好，但也面臨三大可預見的挑戰：

第一，保持測評專業性。隨着DSMM普及，參與機構增多，需保障第三方測評機構的專業性，若失去專業性，整個DSMM體系的可信度將崩塌。

第二，深化與改進標準。我是從2015年開始提出DSMM的，2016年完成標準研究，2017年開始對外推廣和實踐，2019年國家標準正式發佈，隨着技術的進步我們也在不斷提升和改進，現在需要總結過去這些年的經驗對標準進行改進；另一方面，它是通用框架性標準，需在各行業細化適配才能夠更好地適應本行業的特點，但是目前“行業專屬DSMM標準”的建設仍不足，未來可加強在具體行業領域的“專屬DSMM標準”研究與建設。

第三，強化行業主管部門參與。數據安全與行業業務緊密相關，過去行業主管部門常將其視爲“安全監管部門的事”，參與度較低，這種情況事實上導致行業發展嚴重受阻。實際上，需行業主管部門根據本行業特點明確“不同DSMM等級對應的業務權限”（如三級可開展哪些業務、四級可突破哪些限制），才能實現本行業數據流動過程的風險可控，並且引導企業主動提升數據安全能力，而非僅滿足合規要求。

今年數博會上我們也將會發布新的DSMM產業發展報告，大家可以期待一下。

問：2025數博會以“數聚產業動能 智啓發展新篇”爲主題，將全面展現數據要素與人工智能技術融合創新的最新成果。作爲數博會的重要參與者，您對2025數博會在推動安全與發展的平衡、凝聚產業共識方面，有怎樣的期待？

杜躍進：我與數博會的緣分始於2016年，當時便建議藉助數博會平臺打造數據安全領域的標杆，以支撐貴州乃至國家的大數據戰略；2017年正式建立貴州大數據安全工程研究中心後，我們制定了中長期規劃，把每年數博會作爲階段性成果輸出的節點，每年都舉辦數據安全論壇、閉門會議等，推進測評師培養、實踐案例梳理、宏觀數據分析等務實工作。

正是以數博會爲“里程碑”，DSMM一步步獲得很多政府、行業和產業界（包括外資企業和國際機構）的廣泛認可，貴州的實踐也獲得了全國信息安全標準優秀實踐一等獎。

我們是參與數博會活動的衆多團隊之一，以我們自己作爲一個小的縮影，對於2025數博會，我的核心期待是“更聚焦務實案例，更注重生態合作”：希望數博會能更多關注“在中國本土紮根成長、具備國際領先性與話語權”的實踐案例，將數博會打造爲“宣傳推介優質實踐、建立務實性生態合作”的平臺，進而推動數據要素與AI技術融合中安全與發展的平衡，凝聚產業共識。當然，除數據安全領域外，其他行業也有大量優質案例值得關注，期待數博會能全面挖掘並推廣這些“紮紮實實的成果”。（安樂）