CrowdStrike 警告：AI 既是网络武器，也是攻击目标

CrowdStrike 在近期 Google News 的网络安全报道背后记录了一场尖锐的冲突：企业正在部署 AI，而攻击者既将其武器化，也将其作为攻击目标。这家安全公司表示，犯罪分子和与国家有关联的组织正利用生成式 AI 改进欺骗手段、加快行动并协助伪造身份。同样的组织也在攻击 AI 开发工具、自主智能体、凭证，以及这些系统能够访问的数据。

这种组合改变了安全评估方式。AI 助手并不只是员工使用的又一个应用程序。智能体可以执行命令、调用外部服务、访问内部知识，并通过非人类身份采取行动。一旦其中一个遭到入侵，攻击者便可能同时获得信息和操作通道。

CrowdStrike 在其于 2025 年 8 月 4 日、Black Hat USA 期间发布的 2025 Threat Hunting Report 中提出了这一双重威胁。其后续研究进一步强化了这一警告：AI 正在降低部分攻击任务的成本，同时也创造了防御者不能像对待普通软件那样处理的高权限系统。

CrowdStrike 实际发现了什么

核心发现并不是 AI 创造了新的网络犯罪，而是它让熟悉的手法更容易规模化，也更难遏制。

这些威胁狩猎发现基于一线调查和情报，覆盖了 265 多个已命名的对手。CrowdStrike 表示，攻击者正将生成式 AI 用于社会工程、影响力行动、虚假就业和技术问题处理等环节。

该公司重点提到了 FAMOUS CHOLLIMA，这是其对一项与朝鲜有关联、涉及虚假远程技术员工的行动所使用的名称。CrowdStrike 表示，在此前 12 个月中，它调查了 320 多家受影响企业。该公司称，这较前一时期增长了 220%。

这些行动并不只是发送润色精美的简历。CrowdStrike 表示，相关人员在招聘和雇佣的整个过程中都使用了生成式 AI。据报道，其用途包括制作求职材料、准备面试、掩盖身份，以及在受雇后完成技术工作。

通过常规筛选的虚假员工，是通过获授权账户进入组织的。雇主可能为其提供受管设备、凭证、源代码访问权限和内部通信渠道。这使得该行动成为由欺骗支撑的内部威胁，而非传统的外部入侵。

生成式 AI 有助于串联各个环节。它可以针对每个职位改写简历、准备回答、生成代码，并维持一致的虚构背景。不过，CrowdStrike 的证据并不能证明 AI 独立实施了这些行动。人仍在指挥这些活动，并从所获得的访问权限中受益。

其他与国家有关联的组织以不同方式使用这项技术。CrowdStrike 表示，与俄罗斯有关联的 EMBER BEAR 将生成式 AI 用于支持亲俄叙事的影响力活动。据报道，与伊朗有关联的 CHARMING KITTEN 则使用大语言模型改进针对美国和欧洲目标的钓鱼材料。

该报告还审视了“hands-on-keyboard”入侵，即攻击者手动与已遭入侵的环境交互。CrowdStrike 发现，在观察期内，这类入侵中有 81% 不涉及恶意软件。攻击者转而依赖有效凭证、可信工具、云服务和内置管理功能。

这一统计数据很重要，因为许多防御措施仍集中于检测恶意文件。使用获批准软件的合法账户，可能几乎不会产生传统的恶意软件指标。AI 可以帮助攻击者研究环境或解读技术输出，而无需引入可检测的载荷。

云入侵又增加了一层压力。CrowdStrike 报告称，2025 年上半年相比整个 2024 年增长了 136%。由于这一比较涵盖时长不同的时期，因此应将其视为运营层面的警示，而非全市场的比率。

云控制台包含身份、存储、机密信息和管理控制功能。它们也承载着许多用于构建和运行 AI 应用的工具。这种集中性使云访问极具价值，即使攻击者从未入侵员工笔记本电脑也是如此。

这些数据来自 CrowdStrike 对客户环境和调查的可见性，并非对全球每起入侵事件的普查。供应商遥测可以识别有意义的模式，但也会反映供应商的客户群、检测方法和定义。

这一局限并不会抹去这一模式，而是确立了恰当的置信程度。CrowdStrike 在真实调查中观察到，攻击者正将 AI 辅助工作与身份滥用、可信服务和云访问结合起来。

为什么这条 Google News 警告如今很重要

AI 的采用正将权力从可见的人类操作转移到许多安全团队无法完整盘点的自动化工作流中。

Google News 的标题捕捉到了一个真实的逆转。企业采用 AI 来加快研究、编码、客户支持和行政工作。每一项使智能体更有用的连接，也可能增加操纵或访问权限被窃后造成的损害。

AI 智能体是一种接收目标、选择行动，并在有限人工干预下使用工具的软件。与传统聊天机器人不同，它可能与电子邮件、数据库、浏览器、代码仓库或云服务交互。这种能力会使误导性输入转化为潜在的运营事件。

以一个编写销售简报的智能体为例。它可能会读取客户记录、会议记录和内部文档。如果攻击者操纵其指令，该智能体可能泄露机密材料，或将受污染的信息带入另一个系统。

编程智能体则带来了不同的暴露面。它可能检查私有仓库、运行终端命令、安装软件包并提交变更。受入侵的插件或恶意指令，可能利用这种访问权限，而不会呈现为防御者已经在监测的恶意软件投递方式。

这种风险并不需要一个完全自主的攻击者。对手只需篡改一个输入、窃取一个令牌，或利用一个存在漏洞的组件。随后，受信任的智能体便可利用组织合法授予的权限执行下一步操作。

这正是身份成为核心问题的原因。机器身份包括服务账户、令牌、应用程序凭证及其他非人类访问机制。它们通常持续运行，其活动也可能混入预期的自动化行为中。

人类账户通常在招聘、离职、身份验证和访问审查方面已有既定控制措施。机器身份的增长速度可能快得多。团队可能在试验期间创建它们，让其保留过高权限，或未能记录其归属人。

自主行为进一步增加了监测难度。人类分析师可以解释自己为何打开文件或更改设置。智能体则可能根据模型输出及其遇到的信息，动态选择行动序列。

因此，安全团队面临两个相关问题：他们必须判断该身份是否被允许执行某项操作；还必须确定智能体的行为是否朝着其预期目标推进。

传统访问控制并不完美地回答第一个问题，几乎无法回答第二个问题。智能体即便使用有效凭证和获批准工具，也可能作出有害决定。

CrowdStrike 后续的发现强化了这一论点。其2026 threat report称，具备 AI 能力的对手活动同比增长了 89%。该公司还报告称，攻击者向 90 多家组织的合法生成式 AI 工具注入了恶意提示词。

CrowdStrike 测得，2025 年 eCrime 的平均突破时间为 29 分钟。突破时间是指从初始访问到横向移动至另一系统之间的间隔。该公司称，观察到的最快案例仅用了 27 秒。

这些数字不应被解读为大多数攻击都是自主进行的证据。CrowdStrike 所称的“具备 AI 能力的对手”是一个更广泛的类别，其中可能包括在特定阶段使用 AI 的人员。在组织规划防御或评估近期风险时，这一区别至关重要。

但运营层面的教训依然紧迫。以小时计的审查流程，无法可靠阻止以分钟计的横向移动。当攻击者几乎可以立即复用有效身份时，需要多次人工审批的工作流可能会失效。

AI 可以帮助防御者以相近速度分析信号。然而，自动化防御同样需要边界、证据和人工升级处置。赋予安全智能体无限权限，只会重现其他领域造成风险的同一权限问题。

攻击者利用 AI 扩大信任滥用

AI 最成熟的恶意用途，是强化欺骗和工作流效率，而不是用独立机器取代攻击者。

虚假员工案例清楚地说明了这一模式。攻击者并不会要求模型从头到尾入侵一家公司。相反，AI 为过去耗时或需要更多人员参与的重复性任务提供支持。

语言模型可以根据职位描述调整求职材料，也能翻译消息、生成看似合理的解释，并协助完成不熟悉的编程工作。合成媒体还可能被用于在远程面试中掩盖操作者身份。

每一项能力都会提升规模。一个团伙可以申请更多职位、维持更多虚假身份，并更快作出回应。最终获得的访问权限，依然是通过企业为合法招聘而设计的业务流程取得的。

这使招聘系统成为安全边界的一部分。招聘人员、招聘经理、IT 管理员和工程领导者各自只看到流程的一部分。可疑细节可能永远不会汇集到同一位审查者面前。

攻击还可能在入职后持续。拥有有效访问权限的员工可以复制代码、收集凭证，或将收入转向受制裁政权。AI 辅助可帮助操作者完成足够的工作，以维持可信度。

防御者不应将不自然的视频表现或语言错误视为决定性证据。这类信号可能伤害合法候选人，也容易被攻击者调整规避。更强的控制措施应将身份验证、设备来源、访问范围和持续行为关联起来。

钓鱼攻击同样体现了这种经济效应。生成式 AI 可以改善语法、翻译信息，并利用公开信息定制诱饵。它无法保证说服力，但能降低创建可接受变体所需的工作量。

攻击者还可以将模型用于技术支持。经验较少的操作者可能请求脚本协助，或要求解释不熟悉的系统。这降低了一部分技能门槛，但并未消除对访问权限、判断、测试和运营纪律的需求。

其结果是不均衡的能力提升。AI 最能帮助处理重复性强、语言密集或易于验证的任务；当入侵需要原创研究、稳定的长期规划，或在不确定条件下作出精确决策时，它仍然较不可靠。

这一区别挑战了对自主黑客攻击的戏剧化预测。在假定可靠的端到端自主性之前，安全领导者应先为攻击者获得更快的辅助能力做好准备。辅助模式已经足以增加警报量并压缩响应时间。

攻击者同样受益于合法基础设施。他们可以通过云平台、远程管理工具、协作服务和获批应用开展活动。这些服务既提供规模和可信度，也让简单的封锁规则更难奏效。

CrowdStrike 发现，81%的键盘操作型入侵未使用恶意软件，这与这一模式相符。对手的优势日益来自其看起来像是已获授权。AI 通过支持沟通、研究和快速调整，进一步增强了这种表象。

因此，身份保护比仅检测恶意代码更重要。抗钓鱼认证能够降低账户接管风险，但没有任何一种认证方式能单独解决虚假雇佣或被盗会话令牌问题。

组织还需要缩短凭证有效期并收窄权限范围。一个能够读取所有代码仓库或调用所有生产工具的令牌，会带来不必要的暴露。Agent 访问权限应遵循与人类用户相同的最小权限原则。

最小权限意味着只授予完成既定任务所需的访问权限。对于 Agent，这些访问权限还应快速过期，并始终关联到可识别的负责人。长期共享凭证会使归因和遏制变得困难得多。

安全团队需要能够关联提示词、工具调用、身份事件及其产生变更的证据。没有这条证据链，分析人员可能只会看到一个获批账户执行获批操作，却看不到导致该操作的操纵行为。

这正是知识治理与网络安全的交汇点。将研究资料、转录文本和文件集中存储于个人知识库的组织，应了解哪些 Agent 能够检索这些材料。搜索便利不应在不知不觉中变成机器的普遍访问权限。

目标并不是阻止员工使用 AI，而是防止试验活动产生不可见的身份和未记录的连接。安全团队无法保护一个无人登记的 Agent。

AI Agent 将实用自动化变成攻击目标

AI Agent 获得的权限越大，对攻击者的价值就越高，其输入也越需要得到审慎保护。

CrowdStrike 表示，它观察到威胁行为者正在利用用于构建 AI Agent 的工具中的漏洞。报告的后果包括未经认证的访问、凭证窃取、持久化访问、恶意软件部署和勒索软件投递。

弱点可能并不在模型本身。一个 Agent 依赖编排软件、API、插件、数据存储、云服务和身份系统。这条链上的任何一个缺陷，都可能暴露周边环境。

这种系统层面的视角至关重要。仅测试模型无法发现泄露的令牌、暴露的开发接口或权限过高的服务账户。保护 AI 需要审查完整的应用及其运营依赖项。

提示词注入提供了另一条攻击路径。当敌对内容导致模型遵循非预期指令时，就会发生提示词注入。这类内容可能出现在网页、文档、电子邮件、工具响应或 Agent 处理的其他材料中。

直接提示词注入来自用户。间接注入则将指令隐藏在模型之后检索的外部内容中。第二种形式尤其棘手，因为实用的 Agent 本就需要读取不可信材料。

OWASP Agent 指南将提示词注入、过度自主权、敏感信息泄露和不安全工具使用视为相互关联的风险。当受影响的 Agent 拥有广泛权限时，被注入的指令会变得更加危险。

过滤器可以减少明显的攻击，但无法保证模型能将每一条指令与每一份数据完全区分开。自然语言本身并不能提供可靠的安全边界。

更安全的架构假定模型输出可能出错或受到操纵。它会在模型外部验证每一项高影响操作，限制可访问工具，并在后果超过既定阈值时要求审批。

电子邮件助手可以自动起草邮件，但在向外部发送前要求审批。编程 Agent 可以提出变更建议，但不直接拥有生产环境凭证。客服 Agent 可以读取一名客户的记录，却不能导出更广泛的数据库。

这些控制会降低自主性，也暴露出核心权衡。企业需要 Agent，是因为它们能够在无需持续监督的情况下采取行动。当重要操作面临可预测的限制和验证时，安全性会提高。

答案不是设置一个通用审批对话框。过多的提示会让用户习惯于全部批准。控制措施应反映操作的可逆性、数据敏感性、目的地和潜在影响范围。

读取公开网页的风险低于删除云资源。起草内部摘要不同于将客户数据发送至外部地址。安全策略应在 Agent 行动之前编码这些差异。

美国国家标准与技术研究院建议在设计、部署和监控的整个过程中管理 AI 风险。其AI 风险框架强调治理、衡量和持续管理，而非一次性的认证事件。

这种生命周期方法适用于 Agentic 系统。当团队更换模型、添加工具、修改提示词或连接新的数据源时，Agent 的行为都可能改变。上线当天的安全审查会很快过时。

资产清单是必要的起点。组织应了解存在哪些 Agent、谁负责它们、它们使用哪些模型，以及哪些身份可授权其操作。还应记录每个 Agent 能够访问的信息和工具。

该清单必须包括非正式部署。员工常常在中央团队批准平台之前，就将消费级 AI 服务连接到公司数据。封锁所有试验可能会让这些活动更加脱离视野。

更安全的项目会提供边界清晰的获批路径。团队可在隔离环境中测试 Agent、使用合成数据并申请有限凭证。这样，安全就成为交付的一部分，而不是最后的障碍。

运行时监控必须超越模型输入。分析人员需要获得关于检索信息、工具选择、API 调用、访问变更和外部通信的记录。他们还需要能够立即暂停 Agent。

Agent 负责人应以可衡量的方式定义预期行为。例如，财务 Agent 可能从一个代码仓库读取发票，并在一个系统中创建草稿。即使认证成功，超出该模式的访问也值得调查。

人工监督依然重要，但人类无法审查每一个底层操作。务实的模式是结合机器强制执行的限制、自动异常检测，以及针对不确定或高影响情形的人工审查。

CrowdStrike 在扩大 AI 安全投入方面具有商业利益。其报告为治理身份、端点、云活动和自主 Agent 的产品提供支持。在评估该公司的论述时，这一利益关系值得承认。

与此同时，其核心警告与既有安全原则一致。具有敏感数据、广泛权限和外部输入的系统需要强隔离和监控。AI Agent 异常频繁地同时具备这三项特征。

尚未解决的问题是衡量方式。公开报告提供了案例和部分遥测数据，但行业缺乏衡量 Agent 被攻破情况的一致分母。组织仍无法轻易比较不同部署或安全架构之间的事件发生率。

这一缺口既会带来麻痹大意，也会助长夸大其词。一些领导者可能将 Agent 攻击视为孤立演示。另一些人则可能在尚未识别哪些工作流真正造成实质暴露时，就购买广泛的控制措施。

可靠的应对始于访问权限和后果。如果 Agent 无法接触敏感信息或执行重要操作，提示词操纵的价值就有限。如果它控制生产系统，则每一项不可信输入都值得关注。

安全团队接下来应关注什么

下一阶段将由三项信号定义：经验证的 Agent 入侵、具备身份感知能力的控制措施，以及对防御性能的可信衡量。

第一项信号，是将真实入侵与 Agent 的决策和权限关联起来的证据。研究人员已经记录了脆弱的 AI 基础设施和提示词操纵。接下来关键在于，事件报告是否显示 Agent 正在大规模促成横向移动、数据窃取或破坏性操作。

详细披露将加强 CrowdStrike 的论点。有效的报告应说明初始输入、受影响身份、可用工具、产生的操作和控制失效点。对 AI 相关事件的模糊提及无法确立因果关系。

如果公开调查持续仅在 AI 系统附近发现常规凭证窃取，那么最强的自主性主张将会削弱。基础设施仍需要保护，但风险将更接近既有的云和应用安全问题。

第二项信号，是安全平台采用具备身份感知能力的 Agent 控制措施的速度。CrowdStrike 于 2026 年 3 月宣布扩大对端点、浏览器、软件服务和云环境的保护。其他供应商也在推进相关的发现、治理和运行时监控功能。

重要的问题不在于有多少产品贴上 AI 标签。买方应询问某项控制措施能否识别 Agent 背后的人类负责人、限制工具使用、轮换凭证，并在系统间保留证据。

开放标准将提升可移植性。组织不应为每个 Agent 框架都需要一套独立的身份模型。针对授权、工具调用和委托操作的通用记录，将使调查和策略执行更加一致。

CrowdStrike 于 2026 年 7 月加入了一项围绕开放 AI 安全研究的行业倡议。其安全联盟公告强调共享模型、测试工具和社区评估。具体基准和可互操作的控制措施将比成员资格公告更重要。

如果供应商提供一致的 Agent 遥测和执行点，双重威胁论将更易于应对。如果控制措施仍然专有且碎片化，攻击者就能利用身份、模型和应用监控之间的缺口。

第三项信号是可衡量的防御性能。安全 Agent 承诺实现更快的分诊、威胁狩猎和响应。买方需要看到有关检测质量、遏制时间、误报率以及自动化错误后果的证据。

突破时间提供了一项有用的压力指标。CrowdStrike 报告的平均 29 分钟几乎不给缓慢的人工流程留下余地。然而，速度本身无法判断自动化响应是否准确或安全。

一个过于频繁隔离合法用户的系统会造成运营损害。一个能够生成流畅摘要却没有可靠证据的系统会浪费分析人员的时间。因此，应根据具体任务及其失败成本来评估防御性 AI。

独立测试将变得愈发重要。供应商演示通常在使用精选数据的受控环境中进行。真实的安全运营则要面对不完整的遥测数据、相互矛盾的告警、遗留系统以及业务约束。

董事会和高管应要求获得一组精炼的运营层面答案。他们需要知道现有多少个智能体、哪些智能体拥有关键权限，以及公司能够多快撤销它们的访问权限。

工程团队需要不同层面的细节。他们应了解哪些输入不受信任、哪些操作会接受外部验证，以及日志是否能将智能体的推理上下文与最终产生的工具调用关联起来。

安全团队必须将这些视角连接起来。没有运行时证据的资产清单，很快就会变成一份过时的电子表格。缺乏责任归属的监控，会让分析师无法判断异常行为是否合理。

Google News 的叙事框架让这个故事听起来像是进攻型 AI 与防御型 AI 之间的较量。更具影响力的竞争，其实是不断扩张的机器权限与围绕它建立的控制机制之间的竞争。

AI 将继续在语言处理、研究和重复性技术工作方面帮助攻击者。它也将帮助防御者处理遥测数据并加快响应速度。这两种结果都无法消除对身份控制、受限权限和可验证操作记录的需求。

组织应从一项直接的演练开始。选择访问权限最广的智能体，然后追踪它能够使用的每一个身份、数据源、工具和外部目的地。测试当某一个输入变为恶意内容时会发生什么。

该智能体能否在未经批准的情况下泄露机密数据、修改生产资源或联系外部人员？安全团队能否重建每一步操作，并立即禁用其凭证？这些答案比关于自主网络战的宏大预测更重要。

CrowdStrike 的警告值得关注，因为它描述了一种已经在日常业务工作流中逐渐形成的暴露风险。实际应对方式既不是恐慌，也不是毫无限制地采用，而是实行严格的权限治理：盘点每一个智能体，最小化每一项权限，验证关键操作，并保留调查人员能够信赖的证据。