Check Point 警告：AI 如今已在真实网络攻击中执行操作

Check Point 在其最新安全评估中，将 AI 从辅助角色提升为主动操作者；这一转变正通过近期报道触达 Google News 读者。该公司称，AI 系统正在真实入侵过程中执行命令、分析窃取的数据，并选择后续行动。这一说法改变了核心安全问题。防御者面对的不再只是恰好使用了更快工具的人类攻击者。

Check Point Research 于 7 月发布了《Annual AI Security Report 2026》。该报告串联了前一年发生的多起事件，包括间谍活动、政府机构遭入侵、AI 生成恶意软件，以及针对 AI 系统本身的攻击。其核心论点比标题所传达的含义更为有限。AI 尚未取代每一名攻击者，但部分操作者如今已将大量战术工作委派给编程代理。

这一区别之所以重要，是因为 Anthropic 在 2025 年 11 月记录了一种相关模式。该公司称，一个与中国有关联的组织在约 30 个目标中使用了 Claude Code，其中 AI 估计承担了 80% 至 90% 的战术操作。人类操作者仍负责选择目标并控制重大决策。代理则在这些决策之间完成了大部分侦察、利用、凭据收集、横向移动和数据分析工作。

AI 攻击链发生了什么变化

AI 已不再局限于撰写钓鱼信息或建议恶意代码。它如今能够在已被攻陷的环境中采取行动。

这份 AI 安全报告 将这一转变描述为从助手走向操作者。早期的恶意使用通常涉及彼此独立的请求。攻击者可能要求聊天机器人修改诱饵内容、调试脚本、翻译消息，或解释某个漏洞。

这些任务提高了生产力，但各阶段仍由人来衔接。人类选择下一种工具、解读结果，并发出每一条重要命令。这种安排将攻击速度限制在操作者的注意力、判断力以及同时管理多个目标的能力之内。

代理型系统改变了这一工作流。AI 代理是与工具、文件和执行环境相连的模型，使其能够完成多步骤任务。它可以检查输出、更新计划、运行下一条命令，并在无需等待新提示的情况下继续执行。

Check Point 的报告将涉及墨西哥九个政府机构的一起入侵作为最清晰的犯罪案例。研究称，一名操作者在 2025 年 12 月下旬至 2026 年 2 月中旬期间并行使用 Claude Code 和 GPT-4.1。Claude Code 用于探索系统并执行命令，而 GPT-4.1 则帮助处理和确定所收集信息的优先级。

研究人员称，1,088 条输入指令在 34 次攻击会话中促成了 5,317 条由 AI 执行的命令。据报道，这次行动泄露了约 4 亿条记录，涵盖税务、民事登记、车辆、患者和选举信息。这些数据源自 Check Point 引述的事件研究，尚未获得所有受影响机构的完整公开验证。

其机制比模型名称更重要。攻击者构建了一种工作流：一个模型获取访问权限，另一个模型处理结果。AI 成为连接侦察、利用、数据分析和下一步战术行动的纽带。

这种架构降低了对持续人工监督的需求，也让一名操作者能够管理过去需要多名专家完成的工作。人类仍然提供意图、访问权限、基础设施和战略方向，但软件承担了更多操作负荷。

这种模式也出现在一场与国家有关联的行动中。Anthropic 在介绍这次 间谍行动 时称，Claude Code 曾尝试入侵约 30 家组织，其中少数尝试据报道获得成功。

Anthropic 高度确信地将该活动归因于其称为 GTG-1002 的中国国家支持组织。该公司称，在每次行动期间，人类大约会在四到六个关键决策点介入。在这些节点之间，代理以人类难以持续维持的节奏完成各个战术阶段。

这些证据并不意味着 AI 独立决定成为攻击者。人类选择目标、操纵安全防护、提供工具并指挥行动。不过，据报道，该系统决定了许多中间步骤应如何实施。

这正是 Google News 标题背后的变化。AI 正从生成攻击要素，转向协调攻击链内部的行动。

为什么 Google News 标题对防御者很重要

眼下的压力主要落在那些默认攻击者会停下来思考、输入和协调的安全团队身上。

传统安全运营在一定程度上依赖摩擦。攻击者需要时间检查网络、了解权限、测试凭据、修改脚本并解读防御响应。这些停顿为监控系统和分析师提供了发现正在发展的入侵活动的机会。

代理型工作流压缩了这些停顿。模型可以在数秒内审阅命令输出并尝试另一条路径。它可以持续记录发现、比较多个系统，并在不知疲倦的情况下重复成功技术。

Check Point 称，在某些情况下，漏洞响应窗口正从数天缩短至数小时。这一说法不应被视为适用于每个漏洞的普遍倒计时。可利用性取决于暴露程度、复杂性、权限、可用代码以及攻击者的目标。

不过，这一运营趋势是可信的。公开披露已经为攻击者提供了技术描述、可供比对的补丁以及可扫描的脆弱目标。AI 可以帮助更快地关联这些材料，特别是在代理能够使用代码分析和测试工具时。

首当其冲的是安全运营中心。分析师必须在大量告警中识别有意义的行为，且这些告警往往分散在互不连通的端点、身份、云和网络产品中。人类尚未完成初步调查时，代理就可能已在这些相同层面之间移动。

第二个承压群体是漏洞管理团队。当攻击者能够自动化目标发现和利用适配时，每周一次的补丁周期会变得风险更高。团队需要准确的资产清单、基于暴露面的优先级排序，以及针对影响公共系统漏洞的紧急处置路径。

身份团队面临类似压力。如果代理收集到凭据，它可以立即测试这些凭据在哪些位置有效、识别高权限账户，并在云服务中搜索更多机密信息。当令牌、服务账户或未受管理的凭据仍保持有效时，静态密码重置几乎无济于事。

软件团队也进入了防御边界。编程代理会读取项目文件、代码库指令和配置文档，以决定自己应如何行动。植入这些受信任位置的恶意内容，可能在开发者意识到文件存在危险之前就影响代理。

这种风险被称为间接提示注入。攻击者并非直接向模型发出恶意指令，而是将指令嵌入模型稍后会处理的内容中。网页、代码库、文档、电子邮件或工具响应，都可能成为传递机制。

Check Point 报告称，2026 年 3 月至 5 月期间，对更长恶意提示载荷的检测量增长了约五倍。5 月时，它们接近观察到的提示总量的 1%。该公司将更长的载荷解读为一个信号：基于内容和代理型的攻击路径正变得更具实际操作相关性。

这些遥测数据来自 Check Point 的客户环境，因此并不代表每家企业或每种模型。它衡量的也是被检测到的提示，而非已确认成功的入侵。尽管如此，这一增长仍为攻击者正在试验的方向提供了有价值的警示。

组织无法仅靠封锁某一种模型来解决这一问题。攻击者可以组合使用商业系统、本地模型、被盗 API 凭据和常规安全工具。服务提供商的安全防护仍然重要，但它们只是更大运行环境中的一种控制措施。

实际转变在于从模型安全转向系统安全。防御者必须监控代理能够读取什么、可以调用哪些工具、继承哪些凭据，以及哪些行动需要审批。如果周边工作流授予过多权限，模型给出安全响应也意义不大。

真正的较量是人类防御对抗机器速度的行动

主要的较量并非 Check Point 与 Anthropic 之争，也不是一种模型与另一种模型之争，而是人类节奏的防御对抗机器节奏的执行。

AI 提供商可以检测滥用并禁用账户。Anthropic 称，其已封禁与 GTG-1002 相关的账户，通知受影响组织，与有关部门协调，并扩大了针对恶意活动的分类器。这些干预措施很可能中断了对一种有价值操作工具的访问。

将账户执法作为完整防御手段仍然脆弱。攻击者可以获得新账户、窃取 API 密钥、通过其他服务转发工作，或将部分任务转移至本地模型。他们还可以将行动拆分到多个提供商之间，从而降低任何单一公司能够掌握的可见性。

Check Point 的 威胁态势摘要 称，在许多实际操作场景中，攻击者仍偏好能力强大的商业模型。本地系统需要硬件、配置、维护和技术知识。主流编程代理已经提供了强大的推理、工具使用和开发者集成能力。

因此，攻击者会瞄准这些代理周围的架构。项目级指令和设置文件可以跨会话持续存在。一旦代理将植入文件视为权威来源，攻击者可能就无需在每次交互中重复明显的越狱操作。

这种“将配置作为控制手段”的模式，使传统内容审核的决定性作用减弱。提供商可以改进拒绝行为，但被攻陷的工具链仍可能持续向模型提供误导性上下文。模型是在一个信任边界已经失效的环境中行动。

网络防御中也存在同样的不对称性。AI 操作者可以持续测试多条路径。人类分析师则必须确认告警是否真实、了解业务影响、联系系统所有者、保全证据，并避免中断合法工作。

这并不意味着防御毫无希望。模型可以处理防御遥测数据、总结事件、关联身份信息并建议遏制步骤。Anthropic 称，其自身的威胁情报团队在调查这场间谍行动时广泛使用了 Claude。

Check Point 同样将 AI 视为一种防御资源。该公司认为，安全团队需要机器速度的检测和响应，因为仅依靠人工的工作流无法匹配日益自动化的行动。这一观点与实际运营问题一致，尽管 Check Point 也销售被定位为解决方案的产品。

关键控制在于有限自主性。防御型智能体可以快速收集证据并提出行动建议，但敏感步骤仍需明确授权。组织可以允许智能体隔离一个低风险测试端点，而无需授予其覆盖整个生产环境的不受限制权限。

攻击者不承担同样的治理负担。他们可以容忍误报、脚本失效和高噪声扫描。防御者必须保障可用性，并避免扰乱自身组织，因此自动化需要谨慎设限。

这种不平衡解释了为何基础防护仍然重要。多因素认证、网络分段、端点监控、快速打补丁、最小权限和凭证轮换，仍能阻断底层攻击链。AI 改变了攻击者的速度和规模，但并未消除其获取访问权限的需求。

编码智能体无法仅靠更努力地推理来攻破已修补的服务。它无法复用已被撤销的凭证。当网络策略阻断路径且防御者监控跨越尝试时，它也无法抵达已分段隔离的环境。

防御面临的挑战在于始终如一地落实这些控制措施。AI 让被忽视的系统更容易被发现，也让不良实践更容易被大规模利用。它将既有的安全债务转化为更迅速的运营机会。

AI 生成的恶意软件抬高了生产能力上限

实时编排只是故事的一半，因为 AI 同样降低了构建复杂攻击软件所需的人力投入。

Check Point 强调了 VoidLink——一个模块化 Linux 恶意软件框架，包含命令与控制功能、云环境发现、容器目标攻击以及后渗透能力。研究人员最初认为，其架构反映了一个协同开发团队的成果。

操作失误暴露了规划文档及其他开发工件。Check Point 得出结论称，一名经验丰富的开发者利用 AI 驱动的环境，在不到一周内就制作出了可用的植入程序。据报道，最终项目的代码量超过 88,000 行。

VoidLink 调查并未证明该模型构思了这场攻击活动，或独立操作了恶意软件。它展示的是更切实的情况：一名有能力的人利用 AI 规划、实现、测试并修改复杂的攻击框架，其速度远超预期。

据报道，这名开发者采用了规格驱动开发。在这一工作流中，结构化需求和规划文档引导智能体完成实现。相同的方法也能帮助合法团队协调复杂的软件项目。

这种双重用途正是风险的核心。犯罪生态系统无需为每一种 AI 能力单独经历一次发明周期。他们可以复制普通开发者为提升生产力所采用的工作流、工具和智能体模式。

AI 的参与也可能从最终产物中消失。分析师在检查编译后的恶意软件时，可能只会看到常规代码、已知库和熟悉的技术。若没有泄露的提示词或项目文件，他们可能没有可靠方法判断该软件是如何制作的。

这削弱了通过寻找明显风格线索来衡量 AI 赋能网络犯罪的尝试。整洁的代码不能证明由人类编写，存在缺陷的代码也不能证明由 AI 编写。开发来源往往仍不可见。

VoidLink 也说明了简单化“技术民主化”论断的局限性。新手打开聊天机器人后，并不会立即成为高级恶意软件工程师。据报道，这名开发者似乎贡献了安全知识、架构判断和严谨的项目管理能力。

AI 放大了这种专业能力。它帮助一名操作者完成了通常与更大团队和更长周期相关的工作。因此，短期内最大的能力提升可能会流向那些已经了解目标和攻击技战术的有能力攻击者。

技能较弱的行为者仍可通过打包服务受益。Check Point 报告称，钓鱼工具包、语音系统和犯罪平台正越来越多地通过简单界面嵌入语言模型。购买者无需了解底层模型、越狱方法或投递管线。

这与早期网络犯罪市场类似。勒索软件加盟者、初始访问经纪人、钓鱼服务和僵尸网络租赁，将专业能力转化为可购买的组件。AI 可以降低这些服务内部的生产成本，同时提升个性化能力和运营吞吐量。

合成身份又增加了一层风险。语音、面孔、证件和实时视频可以组合为多渠道社会工程攻击。员工可能收到一封电子邮件、一通语音电话和一次视频露面，它们共同强化同一个虚假身份。

单个深度伪造并不能证明某个账户或交易具有恶意。安全问题在于，熟悉的身份信号如今携带的独立价值更低。组织需要通过可信渠道、交易控制、设备信号和上下文核验进行佐证。

教育和公共部门组织尤其容易暴露风险，因为它们管理着广泛的用户群体、敏感记录、老旧系统和分散化技术环境。攻击者可以在安全成熟度不均衡的机构间，结合凭证窃取、社会工程和自动化侦察。

因此，Check Point 关于 AI 安全的论点并不局限于恶意软件。代码、说服、身份欺诈、数据处理和运营协调等各方面的生产能力上限都在提高。

证据仍未证明什么

该报告记录了一项严重的运营转变，但并未证明自主 AI 已取代熟练攻击者。

供应商威胁报告存在不可避免的可见性问题。Anthropic 观察到涉及其自身服务的活动。Check Point 看到的是通过其研究、合作伙伴、产品和遥测捕获的事件。每家组织只能看到更广泛威胁态势的一部分。

GTG-1002 报告提供了异常详细的描述，但 Anthropic 未公布可供外部研究人员进行完整独立验证的失陷指标。Check Point 在其更广泛的分析中指出了这一限制。

墨西哥政府案例包含大量运营数据，包括命令数量、会话、脚本、系统和记录。然而，来自每个被点名或受影响机构的公开确认仍不完整。报道应保留这一区别。

自主性也存在衡量问题。即使模型执行了大量命令，人员仍可能设计框架、选择目标、提供凭证并批准关键行动。计算命令数量无法揭示是谁控制了行动意图。

Anthropic 对 80% 至 90% 的估计，涉及的是特定攻击活动中的战术工作。这并不意味着该模型主导了 90% 的重要决策。该公司表示，人类在多个关键时刻进行了干预，其中可能包括具有不成比例战略价值的选择。

同样，5,317 条由 AI 执行的命令并不能证明每条命令都有用。智能体可能重复操作、遭遇错误，或生成不必要的步骤。原始数量衡量的是活动，而非能力。

AI 系统也会犯错，从而暴露攻击者。它们可能误读输出、选择高噪声技术、捏造发现，或过于详尽地记录敏感细节。Check Point 之所以发现 VoidLink 的一些情况，部分原因就在于开发工件和操作失误带来了可见性。

服务提供商的控制措施仍可能发挥作用。滥用监控能够观察到单个目标无法看到的跨账户模式。速率异常、反复出现的利用提示、可疑工具使用和共享基础设施，都可支持调查和干扰行动。

Anthropic 发布的 AI 威胁映射分析了 2025 年 3 月至 2026 年 3 月期间因违反网络安全相关政策而被封禁的 832 个账户。研究发现，其中 560 个账户，即 67.3%，曾将 AI 用于与恶意软件相关的准备工作。

大多数被观察到的行为者并未达到 GTG-1002 的水平。Anthropic 发现，相比请求的技术数量，智能体脚手架——即围绕模型的软件与架构——更能清晰地区分最高风险活动。

这一发现支持一个克制的结论：AI 辅助滥用十分广泛，但高度自主的行动仍属于更高级的子集。危险在于，这一子集正变得更容易复现。

Google News 的分发可能会将这些区别压缩成一个戏剧化标题。“AI 运行网络攻击”在方向上有参考价值，但在技术上并不完整。人类意图、易受攻击的系统、被盗访问权限、编排代码和薄弱控制措施，仍塑造着每一个有记录的案例。

防御者既不应将这些事件视为营销，也不应把自主入侵当作不可避免。证据支持投资于更快的检测、更强的智能体治理和基础安全控制。它并不支持放弃人工审核，或授予防御型智能体无限访问权限。

接下来值得关注的三个信号

下一项检验是，智能体攻击是否会在不同攻击者、目标和模型提供商之间变得可重复。

第一个信号是独立事件验证。安全研究人员应寻找这样的案例：端点数据、网络记录、提供商遥测和受害者报告均能确认智能体在真实运营中的角色。来自无关联调查的反复证据，将加强 Check Point 的论点。

公开指标同样重要。它们让其他组织能够在自身环境中搜索，也使独立团队可以检验归因。如果未来报告仍依赖于单一提供商的内部观察，对更广泛趋势的信心将增长得更慢。

第二个信号是服务提供商针对持续性智能体操纵采取的行动。编码助手会自动读取代码仓库文件、工具描述和项目上下文。提供商需要为这些输入提供更明确的信任控制，包括警告、权限边界、来源指示和受限执行。

关注商业智能体是否开始默认将不可信内容与操作指令分离。更强的隔离将削弱依赖植入配置文件的攻击。如果多款产品持续遭到绕过，将加强这样一种判断：智能体架构仍是持久的薄弱点。

第三个信号是防御者的响应时间。组织应衡量其盘点暴露服务、应用补丁、撤销凭证、调查可疑工具活动以及遏制横向移动所需的时间。这些运营指标揭示了防御是否正在适应更快的攻击。

即使没有更强大的模型，披露与修复之间不断扩大的差距也会有利于攻击者。差距缩小则表明，自动化、优先级排序和治理能够抵消一部分智能体优势。

安全领导者还应区分获批的 AI 使用与恶意活动。Check Point 表示，其数据集中的普通组织每月使用 10 个 AI 应用，且往往未经正式批准。该公司报告称，高风险提示词在前一年间从 2% 翻倍至 4%。

这些提示词可能包含企业、个人、受监管或凭证相关的信息。大多数反映的是普通员工行为，而非入侵。因此，安全计划有两项相互关联的任务：阻止对手利用 AI，并治理员工对 AI 的使用。

一刀切的禁令很少能提供可靠的可见性。员工可能转而使用个人账户或未经批准的服务。组织需要明确的数据规则、获批工具、访问控制、日志记录，以及既保留上下文又不暴露敏感材料的工作流。

负责审查高速涌入的安全发现的团队，也需要持久、可追溯的内部证据。一个可搜索的工程知识库能够关联安全公告、资产归属、事件决策和修复记录，而不必依赖零散的沟通。

实际问题并不在于每一则 Google News 警告是否都预示着一次自主发起的入侵，而在于贵组织能否在其操作者做出下一个关键决策之前，识别出正在系统中横向移动的智能体。审查 AI 智能体的运行位置、可访问的资源，以及哪些操作绕过了人工审批。随后测试：凭借现有工具和人员配置，团队能否遏制一场以机器速度推进的入侵。