CMMC 与 NIST 800-171：国防制造商对 AI 检测的需求

对于国防制造商而言，时钟已经开始倒计时。CMMC 2.0 已于 2025 年 11 月在 DFARS 中正式确立，使其从一项即将到来的政策变成了可强制执行的合同要求。下一个重要日期是 2026 年 11 月 10 日，即第二阶段的里程碑，届时强制性第三方评估将成为涉及 Controlled Unclassified Information 的 Level 2 合同的标准。对于大多数 Level 2 工作而言，自我认证时代将就此终结。

这一转变改变了您应如何看待每一个接触 CUI 的系统，包括您检测线上的 AI 视觉工具。检测系统所生成的图像、模型和记录都可能包含 Controlled Unclassified Information，而这些数据所处的位置决定了评估方需要评估您运营的多大范围。换句话说，架构如今已成为一个合规问题。

CMMC Level 2 对您的要求

Cybersecurity Maturity Model Certification 是美国国防部用于在整个国防工业基础中保护受控信息的框架。Level 2 是适用于处理 CUI 的承包商的层级，它与 NIST SP 800-171 及其 110 项安全控制项保持一致。这些控制项涵盖访问控制、审计与问责、配置管理、系统与信息完整性等多个方面。

在 2026 年 11 月 10 日之后，证明 Level 2 合规通常意味着由 Certified Third-Party Assessment Organization（即 C3PAO）进行第三方评估，而不再是自我认证。切实做好准备需要 6 到 12 个月。您需要界定范围、划定安全边界、依据 110 项控制项进行差距评估、编写 System Security Plan 并完成整改。纳入该边界的系统和数据流越少，需要评估和防护的内容就越少。

为何检测数据应留在您的边界内

在梳理 CUI 时很容易忽略检测系统，但它们恰恰会生成 CMMC 所关注的那类数据。相机捕获的受控零件图像、编码该零件应有外观的已训练模型，以及您保留的检测记录，都可能承载 Controlled Unclassified Information。如果确实如此，那么存储或处理它们的每一个系统都会落入您的评估边界之内。

正是在这一点上，基于云的检测工具对您不利。将图像发送到异地进行训练或处理，会增加评估方必须依据全部 110 项控制项进行评估的外部系统、新的数据流和第三方连接。每一项新增都会扩大您的边界和攻击面。将检测保留在本地和边缘则恰恰相反：CUI 留在您已经管理的边界内，因此需要纳入范围的内容更少。

针对 CMMC 范围的云端与边缘对比

边缘架构如何支持您的项目

Overview.ai 在相机本身上运行检测的每一个步骤。每台设备都内置 NVIDIA 边缘 GPU，因此图像捕获、AI 推理和模型训练都在设备端进行。没有任何内容上传到共享云，系统可在隔离的生产网络中以 air-gap 方式运行，界面则是在您的网络内本地提供服务的浏览器。不存在第三方数据访问。

对于 CMMC Level 2 项目而言，这种架构将检测 CUI 保留在您已经控制的边界内，从而支持而非复杂化您的 NIST 800-171 控制项。国防生产线还能从运营技术层的设备端安全中受益。我们关于 边缘 AI 与 OT 安全 的概述介绍了将推理保留在本地如何缩小网络安全攻击面，而我们关于 符合 ITAR 的 AI 视觉检测 的指南则针对受出口管制的技术数据介绍了同样的边缘优先方法。

构建您的合规论据

在面对 C3PAO 评估时，最有力的立场是 CUI 从一开始就根本没有机会离开您的边界。仅在边缘运行的检测架构默认就能为您实现这一点，而无需依赖云策略和数据处理协议来将受控信息约束在边界之内。这在您的 System Security Plan 中更易于记录，在评估中也更易于辩护。

如果您正在为 2026 年 11 月 10 日之前的 Level 2 生产线规划 AI 视觉方案，请先梳理您的检测数据在每个步骤中将驻留在何处。使用 Overview.ai，每个步骤的答案都是一致的：在您的厂区内，在您的边界内。