AI驱动勒索软件数字核弹

2026年6月12日，美国商务部致函Anthropic，以国家安全为由命令其切断最强AI模型Mythos 5和Fable 5对全球所有外国国民的访问，约90分钟内完成了对这两款模型的全球封杀。白宫的这一举动标志着前沿AI模型首次被纳入出口管制框架——Mythos 5在网络安全能力上的突破性表现，使其被定性为具有战略威慑级别的“数字核弹”。

然而，就在政府致力于管控AI能力的同一时间，犯罪生态正在以更快的速度将AI武器化。Zscaler ThreatLabz 2026年报告显示，勒索软件活动同比激增超过275%，被盗数据达896.2TB，赎金支付总额达3.28亿美元，平均赎金支付额上升5.3%至431,995美元。Semperis报告进一步指出，在84%的攻击中，威胁行为者使用了AI技术。

勒索软件已从“人类黑客手动操作”转向“AI自主代理全流程执行”，从“加密驱动”转向“数据窃取驱动”，从“犯罪问题”升级为“国家安全问题”。

一、当勒索软件学会自己思考

1.1 从工具到自主攻击者

2026年7月，安全公司Sysdig披露了全球首例完全由AI Agent自主执行的勒索软件攻击，代号JADEPUFFER。这一案例标志着勒索攻击从“人类操作工具”向“AI自主决策”的质变。

攻击起点是一台暴露在互联网的Langflow服务。攻击者利用CVE-2025-3248——一个CVSS 9.8的远程代码执行漏洞——在无需身份验证的情况下获得目标主机控制权。该漏洞虽已在Langflow 1.3.0修复，并于2025年被CISA列入“已知遭利用漏洞”清单，但遭攻击的服务器被确认已有超过14个月未更新补丁。

进入系统后，JADEPUFFER自主完成了完整攻击链：自动收集OpenAI、Anthropic、DeepSeek、Gemini等大模型API密钥，以及阿里云、腾讯云、AWS等云平台凭证；使用MinIO默认账号密码“minioadmin”访问对象存储，创建计划任务维持持久化访问；通过Nacos身份验证绕过漏洞CVE-2021-29441和默认JWT签名密钥获取Nacos管理权限，植入隐藏管理员账号。

最具代表性的特征并非使用了新的攻击方式，而是AI展现出的自主决策能力。JADEPUFFER生成的大量恶意代码均包含自然语言注释，对每一步操作目的和攻击逻辑进行说明。当首次创建管理员账号失败后，它在31秒内完成错误分析、重新生成密码哈希、删除失败账号、重新创建管理员并再次验证登录，整个过程完全自动完成。此次攻击累计执行了超过600个攻击载荷。

在勒索阶段，JADEPUFFER使用MySQL的AES_ENCRYPT()函数加密了Nacos中全部1,342条配置数据，删除原始配置表及历史记录表，创建README_RANSOM表留下比特币钱包地址和Proton Mail联系方式。但Sysdig发现，AI在生成加密密钥后仅输出到终端一次，并未保存或上传给攻击者——这意味着即使受害者支付赎金，也无法获得解密密钥恢复数据。

Sysdig将JADEPUFFER定性为“agentic threat actor”（智能体威胁行为者）。其运行所需的最低技能门槛，已降至“运行一个智能体的成本”。

1.2 ENCFORGE：当勒索软件瞄准AI的“大脑”

首次攻击仅十余天后，JADEPUFFER回到同一目标站点，投放了全新编译的ENCFORGE勒索软件。与第一轮用临时Python脚本凑合的粗糙手法不同，ENCFORGE是专门为AI/ML基础设施设计的编译型Go勒索软件，标志着勒索攻击的目标已从传统IT资产扩展到AI模型权重、训练数据和向量索引等AI核心资产。

ENCFORGE的技术规格具有明确的针对性：UPX 5.20加壳的静态Go二进制，默认扩展名列表覆盖约180种AI相关文件类型，包括PyTorch/TensorFlow检查点、Hugging Face SafeTensors、GGUF/GGML模型文件、FAISS向量索引、Parquet/Arrow训练数据集和NumPy数组等。加密方式为AES-256-CTR选择性区域加密，RSA-2048公钥包装对称密钥。ENCFORGE不具备数据外传能力，也没有勒索谈判基础设施，其唯一杠杆就是加密数据本身——攻击者的意图是让AI资产失去可用性，而非直接牟利。

恢复经济学揭示了ENCFORGE的真正破坏力。Sysdig估算，重建一个生产级微调模型的成本为7.5万至50万美元，包含云端GPU资源和工程人力；如果训练数据同时受损，恢复成本和时间将指数级上升。与数据库不同，AI模型的恢复往往无法通过简单备份完成——模型权重与训练数据之间存在复杂的依赖关系。

在攻击执行中，JADEPUFFER还展现了超越传统自动化工具的环境适应能力。当勒索二进制文件从远程C2服务器下载失败后，AI在5分24秒内连续迭代了6个版本的Python逃逸脚本，每一个版本都针对性修正了上一版的错误，最终通过Docker API成功将勒索软件从容器内部部署到宿主机上。为躲避特征检测，它还采用了逐行构造代码、base64编码一次性执行的方式，把执行结果藏在报错信息里回传，常规shell命令检测根本无法捕捉痕迹。这种实时编写、测试、修正、部署攻击工具的闭环能力，已远超传统自动化脚本的范畴，呈现出接近人类渗透测试专家的操作节奏。

二、工业化勒索：RaaS生态的经济逻辑

2.1 The Gentlemen：90%分成改写游戏规则

The Gentlemen自2025年9月浮出水面，到2026年6月13日已在暗网泄露站点列出483名受害者，其中380名在2026年内被列出，成为全球第二大活跃勒索团伙，仅次于Qilin。

其快速崛起的核心驱动力是一个简单的经济决策：向附属成员提供90%的赎金分成，而行业标准为70%-80%。这10%的差异在犯罪生态中产生了显著的“人才虹吸效应”。该团伙仅9名核心成员，外部操作员负责实际入侵并保留90%赎金。

2026年5月泄露的内部聊天记录（2025年11月7日至2026年4月30日）揭示了该团伙高度企业化的运作模式。聊天内容读起来更像一个小型产品团队在讨论基础设施选择和数据分析用哪个AI模型。管理员使用DeepSeek和Qwen等AI编码工具，在仅3天内构建了完整的RaaS管理面板。该团伙的AI工具能够将每个目标的攻击成本降至0.40至4.00美元（仅计算AI token费用）。

在初始访问策略上，The Gentlemen几乎完全依赖商品化infostealer恶意软件窃取的凭证。研究团队将部分受害者的公司登录凭证与infostealer索引数据库进行交叉比对，发现多个受害者在被列入泄露站点之前，其有效公司登录凭证或活跃会话令牌已经暴露在stealer数据中。以菲律宾物流公司2GO为例，6个员工登录凭证、7个客户登录凭证和38个活跃会话令牌已在stealer数据中暴露。

值得注意的是，该团伙的受害者分布打破了典型勒索软件的地理模式。仅约15%的受害者在美国，远低于大多数泄露站点中美国目标40%-50%的占比。其余受害者分布在泰国、巴西、英国、法国、印度、德国、意大利、日本、台湾和西班牙等地。泄露的聊天记录解释了这一策略：操作员被指示优先攻击一级至三级国家和拉丁美洲，并权衡运营痛苦程度而非单纯收入——一个2000万美元的公用事业公司如果能被真正中断业务，可能比一个2亿美元的制造商支付更快。

2.2 从加密勒索到数据窃取的路径转移

2026年最显著的商业模式变化是勒索团伙从“加密驱动”转向“数据窃取驱动”。Check Point Research发现，由于企业备份能力提升，单纯加密数据的威胁效果下降，攻击者转而先窃取敏感信息，再以公开数据作为筹码。Zscaler报告确认了这一趋势，指出攻击者越来越关注知识产权、客户信息和其他敏感数据。

攻击目标的选择也发生了显著变化。攻击者越来越倾向于瞄准拥有特权角色和业务影响力的员工，经理及以上级别人员占受害者的62%。制造业和科技行业仍是最主要的攻击目标，货运物流（+725%）和公用事业（+622%）成为增长最快的受害行业。美国占全球勒索活动的50.7%，报告期内识别出7,366名受害者。同时，生态系统持续扩张和碎片化，报告期内新增52个活跃勒索团伙，受害者数量排名前15的团伙中有9个是新进入者。

2.3 勒索生态的极化竞争

2026年第二季度，活跃勒索软件组织从第一季度的71个增加至93个，创历史新高。同时，前十大勒索卡特尔的市场份额从Q1的71%下降至Q2的57.6%，中型团伙大量涌入。

Vect Ransomware采取了一种激进的扩张策略：以250美元门罗币入场费（CIS地区免费）开放附属计划，提供五级收入追踪器（从80%分成起步，累计勒索超过7500万美元后升至89%）。更为激进的是，该组织通过与BreachForums的自动化合作，向该论坛全部323,986个注册账户批量分发附属密钥，这一“大规模招募”在勒索软件合作史上前所未有。

三、地缘政治维度：勒索软件进入国家安全议程

3.1 美国国防部：DMDC九个月潜伏泄露

2025年10月至2026年7月，美国国防部国防人力数据中心（DMDC）的一个文件共享系统遭到未授权访问，持续长达九个月，直到2026年7月16日才被发现并修补。泄露的是未加密的个人身份信息，包括社会保障号码、姓名、出生日期、联系信息、种族、性别和军事职务专长。受影响人数为276万在世人员和29.4万已故人员，合计约305万人。

DMDC成立于1974年，是美军人事记录的核心枢纽，负责国防部证件身份验证、服役状态和福利资格管理。这一事件虽未被定性为勒索软件攻击，但其暴露的数据规模和潜伏时长使其完全具备被勒索团伙利用的潜力——被盗数据可能仍处于“待价而沽”状态，或已被用于情报目的。DMDC表示“没有发现被访问信息被滥用的迹象”，但未披露谁访问了这些文件以及是否被复制。

3.2 Kyber：后量子加密武器化

2026年3月，Rapid7在Incident Response过程中发现了一个名为Kyber的新型勒索团伙，目标是一家价值数十亿美元的美国国防承包商兼IT服务提供商。Kyber首次在实战勒索中部署了NIST标准化的后量子加密算法ML-KEM-1024（Kyber1024）与X25519混合方案，用于保护对称密钥材料，这是首个已知在生产环境中部署NIST标准化后量子加密算法的犯罪操作。

Kyber同时部署了针对Windows和VMware ESXi的两种变体。该组织声称窃取超过300GB数据，但实际泄露的文件量为141GB，包括项目文件、内部构建、数据库和备份存档。Rapid7分析指出，Kyber使用后量子加密更偏向心理施压——实际上文件仍由AES-256加密，后量子加密仅用于保护对称密钥材料，其“量子安全”宣称在实战中未必具有实际加密优势，主要目的是制造不可破解的心理威慑。

3.3 Medusa：国防供应链的系统性渗透

截至2026年4月，Medusa勒索团伙已攻击超过500家组织，明确将国防工业基地列为核心目标行业之一。FBI、CISA和HHS联合公告确认，受害行业涵盖医疗与公共卫生、国防工业基地、关键制造、政府服务、IT和金融服务等。

Medusa的初始访问模式以购买凭证为主，从约300名受害者增长到超过500名仅用了一年时间。这一数据表明，国防供应链中大量节点的安全防护远未达到与数据价值相匹配的水平。

3.4 Gunra：六机构联合警告

2026年8月10日，FBI、CISA、NSA、国防部网络犯罪中心（DC3）、美国特勤局及韩国国家警察厅六机构联合发布Gunra勒索软件警告。Gunra采用双重勒索模式，加密数据的同时窃取文件，威胁若5至7天内未付款即发布至专属泄露网站，大多数案例中赎金要求超过1000万美元。

攻击者利用Fortinet FortiOS/FortiProxy的身份验证绕过漏洞（CVE-2024-55591、CVE-2025-24472）获取超级管理员权限，进入网络后删除访问日志、清除命令历史以掩盖痕迹。攻击范围覆盖美洲、欧洲、中东、非洲及亚太，目标行业包括政府服务、关键制造、医疗、金融等。研究还发现，Gunra的Linux ELF变种存在缺陷，防御者可能通过文件时间戳数学重建密钥，无需支付赎金即可恢复数据。

3.5 国家行为体的AI自动化入侵

Quorum Cyber 2026年报告首次确认了国家行为体使用AI代理自动化高达90%入侵生命周期的早期证据。与俄罗斯、中国和伊朗相关的国家行为体仍是公共部门的首要威胁，而与朝鲜相关的团体在2025年通过网络犯罪活动估计获利超过20亿美元。

四、中国漏洞态势：双重压力下的安全挑战

4.1 传统漏洞积重难返

国家信息安全漏洞共享平台（CNVD）2026年周报显示，0day漏洞占比在75%至91%之间波动——第15期为75%（400个），第20期为83%（522个），第25期为87%（464个），第31期为89%（528个）。CNVD每周新增漏洞在500-630个之间，单周涉及党政机关和企事业单位的漏洞总数可达7,775个。

勒索团伙正在系统性地利用国产软件漏洞。管家婆211端口RCE 0day漏洞无需任何口令即可触发，可导致以SQL Server服务身份执行系统级操作，被“Weax”和“Sorry”病毒用于攻击部署了管家婆软件的中小企业。cPanel CVE-2026-41940（CRLF注入导致的认证绕过）自2026年2月23日起已被作为零日漏洞利用，攻击者可获得WHM Root权限。N-able N-central CVE-2026-18577是CVE-2026-18556的不完整补丁绕过，被中国关联威胁行为者Storm-1175用于部署StormEncryptor勒索软件。VMware vCenter CVE-2026-59310（CVSS 9.8）被中国关联APT组织用于在ESXi主机部署Babuk衍生勒索软件，Broadcom于2026年7月29日发布补丁，但成功利用在五天内即被观测到。

工控系统方面，全国工业互联网平台累计发现安全漏洞2,847个，同比增长45%，高危漏洞占比31%。超过六成在用工业控制系统存在高危可利用漏洞，但超三成漏洞因生产连续性顾虑不敢打补丁。工信部旗下国家工业信息安全发展研究中心发布的OpenClaw风险预警特别指出，OpenClaw存在信任边界模糊、多渠道统一接入、大模型灵活调用等特点，一旦缺乏有效权限控制，可能因指令诱导、供应链投毒等被恶意接管，造成工控系统失控、敏感信息泄露。目前已爆出80余个安全漏洞，攻击者可低成本实施精准匹配利用，快速获取平台控制权限。

物联网设备方面，超过60%的联网设备存在已知未修复漏洞。新型僵尸网络RCtea自2025年12月下旬活跃，专门攻击路由器、摄像头等物联网设备，通过Telnet暴力破解弱口令传播。2026年1月20日至25日监测期间，我国境内确认受感染设备达9,827台，单日最高活跃设备数4,870台，C2日访问量最高27.8万次。

4.2 AI基础设施成为新兴攻击面

360首次将AI基础设施列为独立攻击面。CNNVD 2026年第一期通报采集86个重要人工智能漏洞，其中超危15个、高危33个。2026年人工智能大模型安全众测活动对25家AI厂商的54款产品测试，发现873个漏洞，其中大模型及智能体应用特有漏洞608个，提示注入和信息泄露最为普遍。

供应链投毒成为AI基础设施的主要威胁。国产推理工具Xinference（下载量超68万次）和全球广泛使用的LiteLLM在2026年3至4月接连遭TeamPCP组织供应链投毒攻击。Xinference的恶意版本为2.6.0、2.6.1、2.6.2，专门窃取企业云平台长期访问密钥，直击企业云上资产核心命脉。

大模型自身的漏洞同样令人担忧。DeepSeek V4存在不当访问控制漏洞（CVE-2026-52394，CVSS 9.1），可通过精心构造的输入触发，允许攻击者绕过授权访问敏感信息。DeepSeek Harness存在沙箱逃逸漏洞（CVE-2026-82533，CVSS 9.4），本地API仅依赖Host头信任，允许被沙箱化的Agent禁用自身沙箱。另一漏洞CVE-2026-101078涉及用户命名空间缺失，当以root执行时可突破只读文件系统边界。

五、防御体系：从行为检测到零信任重构

5.1 行为分析：对抗AI自适应攻击的核心路径

传统基于特征签名的防御体系在面对AI驱动的自适应攻击时已彻底失效。核心转变在于：不应关注特定工具或特征，而应检测攻击者的行为模式——可疑身份活动、权限提升、异常认证模式以及跨系统的不寻常操作序列。

MinervAI框架基于多LLM驱动的自主网络威胁情报分析，实现勒索软件分类准确率97.99%，全流程平均延迟仅47秒，相比传统分析师驱动的工作流减少约98%的处理时间，可提供覆盖全部10个MITRE ATT&CK攻击阶段的完整杀伤链覆盖。自动化逆向工程与回滚框架运行准确率达96.8%，误报率2.8%，推理延迟仅1.2秒。

5.2 身份系统的核心地位

Semperis报告揭示了一个令人警醒的事实：87%的勒索攻击针对身份系统（如Active Directory、Entra ID、Okta），但仅约一半受访企业具备专用身份备份、自动化身份恢复方案和身份专属危机响应程序。AI自主攻击极度依赖窃取的凭证——The Gentlemen的主要初始访问向量就是通过infostealer购买窃取的有效凭证。防钓鱼MFA的强制实施和自动化身份恢复方案已成为阻断AI自主攻击链的关键基础设施。

5.3 物理威胁与人员保护

Semperis报告首次系统性地揭示了勒索攻击中物理威胁的上升趋势。40%的攻击涉及对员工的心理或物理威胁。在报告的案例中，53%的攻击者兑现了威胁，24%的受害者或家属遭遇“swatting”（虚假报警），25%的受害者寻求心理和医疗治疗，24%的受害者或家属雇佣了私人安保。

前美国国家网络总监Chris Inglis对此评论道：“攻击者心中只有一个目标：从你身上获取一些东西。而他们达成目标的唯一方式，就是让抵抗的代价大于屈服的代价。让你面临人身风险是最新出现的手段，因为我们已经堵住了大部分其他风险。”

六、前瞻与行动框架

6.1 趋势判断

Fortinet预测，到2027年网络犯罪将作为产业级规模运作，AI代理将接管攻击链的完整阶段。Gartner预测AI Agent将使暴露用户账户的利用时间减少50%。TRM Labs报告指出，自主AI代理可能在未来一至两年内取代人类黑客，独立完成从漏洞识别到勒索部署的全链条攻击。慕尼黑再保险2026年报告预计至2028年全球网络犯罪损失将达约140亿美元。

6.2 组织优先行动清单

紧急排查AI工作流组件：Langflow、Nacos等面向公众的AI开发工具应作为最高优先级资产进行漏洞扫描和补丁管理。CVE-2025-3248在披露一年多后仍在被利用，AI开发工具链的补丁滞后性是最薄弱的环节。

部署行为分析与AI Agent检测：重点识别非人类操作模式——快速重试、自动化横向移动、自然语言注释的恶意代码、非常规时段的API调用序列。多Agent自动化威胁狩猎平台可将检测响应时间从小时级压缩至分钟级。

身份系统加固：强制实施防钓鱼MFA，建立专用身份备份和自动化恢复方案。87%的攻击针对身份系统，但仅半数企业具备专用身份备份能力，这一差距必须弥合。

AI资产专项备份与恢复演练：AI模型的恢复无法通过传统备份完成——需要针对模型权重、训练数据、向量索引的专项不可变备份策略，并验证恢复时间窗口。

供应链安全审计：Xinference和LiteLLM投毒事件表明，AI工具链的开源依赖已成为新的供应链攻击面。组织需建立AI组件来源验证机制，仅安装经过签名验证的可信扩展。

MCP流量监控：The Gentlemen附属成员使用Model Context Protocol的exec_in_session工具作为实际攻击中的C2通道，网络防御者应监控和限制MCP协议流量，特别是在回环地址和暴露端口上。

人员安全预案：鉴于物理威胁上升趋势，将人身安全纳入勒索事件响应计划，为关键人员提供安全保护方案和心理支持资源。

2026年的勒索软件威胁已经完成了从“犯罪工具”到“工业化攻击平台”再到“国家安全议题”的三级跃迁。AI不再仅仅是攻击者的辅助工具，而是攻击基础设施的核心组件——它能自主决策、自我修复、实时生成恶意代码，将攻击成本压缩至每个目标不到4美元，同时将防御者的响应窗口从数小时压缩至数十秒。对于中国而言，传统漏洞积重难返与AI新攻击面快速扩张形成了双重压力。防御的核心已从单纯的技术对抗，演变为一场关乎响应速度、自动化水平与身份安全根基的全面竞赛。在这场竞赛中，速度是唯一的货币。

撰稿人：科小萌智库研究员