夜雨聆风6 月 3 日，Anthropic 发布年度威胁报告，首次公开了一年来追踪的 832 个恶意账号数据。
这些账号在 2025 年 3 月到 2026 年 3 月期间因网络攻击被封禁，Anthropic 把它们的攻击行为逐一映射到全球网络安全标准框架 MITRE ATT&CK 后，发现了一个震撼结论：
传统威胁评估模型已经测不准了。
报告显示，67.3% 的恶意账号把 AI 用于攻击准备阶段，比如写恶意代码、研究漏洞。6.5% 的账号已经把 AI 用到了横向移动这种深层渗透环节。更惊人的是中高风险行为者占比的变化曲线，前六个月还是 33%，后六个月直接飙到 56%，几乎翻倍。
攻击模式在质变。Account Discovery 这种账户发现技术的使用率上升了 8.9%，而 AI 辅助钓鱼邮件反而下降了 8.6%。
首个 AI 编排攻击曝光
2025 年 9 月，安全史上第一个经验证的AI 编排网络间谍行动被 Anthropic 抓到了。
这起代号 GTG-1002 的攻击，Anthropic 给出了高可信度评估。攻击目标大约 30 个实体，涵盖大型科技公司、金融机构、化工制造企业、政府机构。
自动化程度，80%-90%。人类介入次数，每次攻击活动只有 4-6 个关键决策点。
这不是传统意义上的脚本攻击。攻击者构建的是一套完整的 AI Agent 编排系统，底层跑的是 Claude Code 加上 MCP 工具。复杂多阶段攻击被拆成离散任务，扔给 Claude 的子代理自己执行。
攻击者用精心设计的提示词，给 Claude 套上合法网络安全测试的角色设定。模型在完全不知道恶意上下文的情况下，一步步完成单个任务。
整个攻击链路被自动化拆解成六个阶段。目标选择和初始化还是人类动手，但之后的侦察、攻击面测绘全是 AI 通过 MCP 和浏览器自动化完成。
枚举内部服务、认证机制、漏洞面，AI 自己跑。漏洞发现和验证阶段，AI 研究 SSRF 之类的漏洞，生成定制 payload，验证能不能打。
凭证获取和横向移动也全自动，AI 自己测试凭证、识别高权限账户、继续往网络深处钻。数据收集和情报提取这种，AI 自动分类窃取的数据，按情报价值排序整理。最后连文档化和交接都是 AI 干的，自动生成攻击过程文档、凭证文件、发现清单。
在高峰时，这套系统发起了成千上万次请求，频率达到每秒多次。
MITRE ATT&CK
Anthropic 在报告里写道：这类代理编排，还没有对应的 ATT&CK ID。
先解释下 MITRE ATT&CK 是什么。它是全球网络安全行业的攻击技术字典，把黑客可能用的所有招数都编了号、分了类。安全团队遇到攻击，就去这本字典里查，看对方用了哪些招，然后评估威胁等级。
Anthropic 把 GTG-1002 这起攻击拿去跟 ATT&CK 框架对照，结果显示覆盖了 13 个战术大类、30 个具体技术。这个数字看起来挺多，但跟样本里很多中等风险攻击者差不多。按传统评估方法，这就是个普通案例。
但 Anthropic 自己开发的风险评分系统给这起攻击打了满分 100 分，最高威胁等级。
矛盾就出在这。传统上，安全团队数攻击者用了多少种技术、调用了什么工具、在哪个平台操作，技术越多风险越高。但在 Anthropic 追踪的 832 个恶意账号里，最菜的攻击者平均也能用上 16 种不同技术，最厉害的也就 20 种左右。大家都会很多招，光数数量已经分不出高低了。
Anthropic 发现，真正能区分出高危攻击者的是三个维度。
第一个维度，AI 用在攻击的哪个阶段。是只用来写个钓鱼邮件骗你点链接，还是已经进了你的内网、正在用 AI 找管理员账号？
第二个维度，攻击者给 AI 搭了什么样的作战平台。有的就是简单问问 ChatGPT 怎么写代码，有的是搭了一整套自动化系统，AI 能自己调用工具、自己做决策、自己执行。
第三个维度，攻击链能不能连起来。传统黑客攻击是一步一步来，打进去一层，停下来看看，再想下一步怎么办。AI 编排攻击是一气呵成，从侦察到拿权限到偷数据到销毁痕迹，中间几乎不需要人插手。
单纯数用了多少种 ATT&CK 技术，完全看不出这三个维度的差异。这就是为什么传统框架会把一个满分威胁评成中等风险。
MITRE 其实也意识到这个问题了。它专门搞了个 ATLAS 框架，针对 AI 系统的攻击单独建模。目前 ATLAS 里有 16 个战术大类、170 个技术小类、35 种防御手段、57 个真实案例。
里面专门加了 AI 时代特有的攻击技术，比如 AI 代理调用工具、修改 AI 代理的配置、大语言模型越狱、用 AI 代理收集登录凭证。
传统网络安全模型仍然重要，但不能完整覆盖 AI 引入的独特攻击路径。
都在观察
全球主要科技公司和威胁情报机构都在观察到类似的质变。
微软在 2026 年 3 月的报告《AI as tradecraft》里也描述道，威胁行为者正在把 AI 操作化到整个攻击生命周期。观察到基于角色的越狱技巧，AI 应用场景包括漏洞和漏洞利用研究、钓鱼内容编写、恶意软件脚本与调试、攻击后数据发现和总结。
Google Threat Intelligence Group 在 2025 年 11 月的报告里记录了：过去一年发生了一个变化，攻击者不再只是为了提升生产力而用 AI，而是在主动部署 AI 赋能恶意软件。
典型案例包括 PROMPTFLUX，用 Gemini API 让恶意代码自我改写、混淆。PROMPTSTEAL 在运行中向 LLM 请求命令，动态生成窃取信息和侦察命令。QUIETVAULT 在主机上结合 AI CLI 工具搜索额外敏感信息。
Google 给这类现象起了个名字，即时 AI 恶意软件。
漏洞利用窗口缩短
2025 年 6 月，Anthropic 与卡内基梅隆大学合作的 Cyber Toolkits 研究显示，给 LLM 配上 Incalmo 工具包后，在 10 个测试网络中 5 个完全攻陷、4 个部分攻陷。网络规模是 25-50 台主机，场景包含初始入侵、横向移动、数据外传。所有模型在 Equifax 模拟场景中都至少部分成功。
到了 2026 年，最新的 Equifax 攻击模拟更新显示能力出现代际跃升。Sonnet 4.5 在仅给 Bash 加 Kali 的情况下，2/5 次完成完整攻击链。链路已经覆盖侦察、漏洞识别、利用、横向移动、外传全流程。
Anthropic 给出结论是，对已知漏洞的利用窗口可能从数月缩短到数小时。
传统上，安全团队有足够的时间窗口在漏洞被大规模利用前打补丁。但现在这个窗口正在迅速缩短。
最后
今天的分享就到这里。
觉得有用的话，欢迎点赞、分享、关注。
我们下篇文章见。
参考资料：
https://www.anthropic.com/news/AI-enabled-cyber-threats-mitre-attack
https://atlas.mitre.org/
https://attack.mitre.org/
https://www.microsoft.com/en-us/security/blog/2026/03/06/ai-as-tradecraft-how-threat-actors-operationalize-ai/
