开学季安全警报：教育 IT 面临人机双重身份威胁
每逢新学年伊始，英国各级学校、学院及大学均面临大规模招收学生、教师及行政人员的运营压力。这一周期性高峰为网络攻击者提供了可乘之机。随着人工智能技术的演进，威胁形态正发生显著变化：不仅钓鱼邮件的伪装能力大幅提升，大量未被有效管理的机器身份（Non-Human Identities, NHI）也在不断扩张网络攻击面。
教育部门长期位居勒索软件、身份盗窃和数据泄露的高危目标行业之列。黑客觊觎其中包含的学生记录、财务信息及科研数据等高价值资产。英国政府网络安全漏洞调查显示，27% 的高等教育机构至少每周遭遇一次网络安全漏洞或攻击；小学和中学的这一比例分别为 14% 和 20%。
AI 加剧社会工程攻击风险
人工智能正在使网络安全威胁变得更加隐蔽且危险。如今的钓鱼邮件能够精准模仿学生资助办公室、IT 帮助台或大学领导层的通信风格，传统识别手段难以察觉异常。
Keeper Security 针对教育领域 AI 与网络安全的研究指出，41% 的学校曾经历与 AI 相关的网络事件，包括 AI 生成的钓鱼邮件和错误信息传播。尽管 90% 的教育领导者对 AI 引发的网络安全威胁表示担忧，但仅有四分之一受访者认为自身具备充分信心识别此类威胁。这意味着，教育机构亟需通过强化身份验证与访问控制，弥补人类意识层面的防御短板。
被忽视的攻击面：非人类身份（NHI）
在开学季，IT 团队通常将重心放在保护学生和教职工的人类账户上，却往往忽视了支撑现代教育技术运行的底层架构——非人类身份。
这些身份涵盖广泛：从同步学生记录的服务账户、连接第三方应用及支付系统的 API 密钥，到验证校园 Wi-Fi、智能白板、实验室设备及监控摄像头的机器证书。此外，云工作负载自动化处理备份与研究流程，而 AI 代理则驱动招生聊天机器人、帮助台及评分工具。上述元素共同构成了机构必须管理的庞大身份与访问权限网络。
虽然这些机器身份对机构运行至关重要，但若凭证轮换不及时、旧集成代币持续活跃或自动化账户拥有超额权限，极易形成重大安全漏洞。与员工和学生不同，机器身份缺乏自然的“入职”与“离职”流程约束。若组织缺乏完整的身份库存，便难以掌握哪些身份实际存在及其潜在风险。
英国政府数据显示，目前没有任何一级教育机构完全符合政府的“网络安全十大步骤”。具体而言，仅 14% 的小学、23% 的中学、33% 的继续教育学院和 45% 的高等教育机构覆盖了全部 10 项标准。随着成千上万的新身份和设备涌入本已脆弱的环境，安全控制的盲点愈发难以识别和管理。
教育 IT 团队的风险缓解策略
鉴于人类身份管理相对成熟，当前的关键差距在于提升非人类身份的可见性与治理水平。建议安全团队采取以下措施以同时保护人类与机器身份：
- 启用多因素身份验证（MFA）：确保在所有教职员工和学生账户中强制执行 MFA，这是抵御基于凭证攻击的基础防线。
- 审计特权访问：定期审查人类与非人类账户的权限配置。重点清理离职人员及学生的访问权限，注销过期的服务账户，并消除不必要的管理员特权，遵循最小权限原则。
- 部署企业密码管理器：尽管安全意识培训能指导用户创建强密码，但在实践中，密码复用、明文记录及浏览器存储仍普遍存在。企业级密码管理器可有效填补这一执行缺口，帮助用户生成并存储独特且高强度的凭据。
- 建立非人类身份库：实现可见性是保障安全的前提。学校应对所有服务账户、API 密钥、机器证书、云身份及 AI 代理进行目录化管理，明确所有权并记录每个身份的访问范围。
- 实施权限轮换政策：为机器身份建立严格的凭证轮换机制尤为关键，特别是针对新增的 AI 代理和第三方 EdTech 集成。参考 2026 年 4 月报道的 Canvas 学习管理系统黑客事件，该事件波及全球近 9,000 所教育机构，警示我们第三方凭证需接受与内部账户同等严格的轮换纪律。同时，应定期审查第三方合作伙伴及供应商的安全性。
- 更新安全意识培训：培训内容需随威胁格局动态调整。鉴于 AI 生成的消息可能与合法机构通信难以区分，工作人员应养成独立验证异常请求的习惯，而非仅依赖视觉线索判断真伪。
结语：从检查清单到持续纪律
返校季虽给教育 IT 团队带来巨大压力，但这不应成为攻击者的窗口期。安全性建设不能止步于学生和工作人员的入学登记环节。
通过强制认证、收紧特权访问、改善凭证卫生状况以及实现对日益增长的非人类身份群体的全面可见性，IT 团队可显著降低暴露面。网络安全应被视为一种持续的运营纪律，而非一次性的返校检查清单。无论身份主体是人类还是机器，都必须确保其拥有正确且必要的访问权限。
