CrowdStrike 警告：AI 已成为网络攻击的核心

CrowdStrike 为一场正在 Google News 中蔓延的对抗给出了数字：2025 年，由 AI 赋能的对手发起的攻击增长了 89%。该公司表示，人工智能如今一方面加速攻击，另一方面也催生了犯罪分子可瞄准的高价值新系统。

这项组合影响远不止又一次关于逼真钓鱼邮件的警告。AI 正更深入地进入侦察、恶意软件开发、漏洞利用、凭证窃取和入侵后的活动。攻击者也在瞄准企业如今所信任的模型、连接器、开发工具和云服务。

因此，核心对抗并非配备 AI 的攻击者与传统杀毒软件之间的较量，而是机器辅助的进攻对阵仍受人工审查、可见性碎片化和缓慢审批链条限制的安全运营。Google、Microsoft 和 Anthropic 的研究支持这一趋势，不过它们的证据也揭示了 CrowdStrike 表述中的重要局限。

CrowdStrike 报告让 AI 从实验走向运营层

CrowdStrike 最重要的主张是，AI 已从零散实验进入网络运营的日常运作机制。

该公司于 8 月 3 日发布了 2026 年威胁狩猎报告，依据的是 2025 年及 2026 年上半年调查的事件。报告显示，攻击者正将 AI 用作工具、目标和力量倍增器。

该报告发布前，CrowdStrike 曾在 2 月发布全球威胁报告，记录到由 AI 赋能的对手开展的行动同比增长 89%。早先的报告还指出，平均 eCrime 横向突破时间为 29 分钟。

横向突破时间衡量的是攻击者获得初始访问权限后，向另一系统进行横向移动前的间隔。CrowdStrike 表示，2025 年的平均值意味着速度较上一年提升了 65%。其观察到的最快横向突破仅用了 27 秒。

更新后的威胁狩猎发现补充了若干具体案例。CrowdStrike 称，与中国有关联的对手在公开概念验证代码出现后 24 小时内利用了关键漏洞。该公司还将 131 个 AI 框架软件包遭投毒归因于与朝鲜有关联的行为者。

在另一场行动中，攻击者在两分钟内生成了近 20 万次未经授权的大语言模型 API 请求。这种通常被称为 LLMjacking 的做法，是指窃取模型服务访问权限，并将由此产生的成本转嫁给其合法客户。

CrowdStrike 还记录到，与 2025 年下半年相比，2026 年上半年的语音钓鱼入侵数量翻了一倍。语音钓鱼，即 vishing，是指通过电话和冒充身份操纵员工授予访问权限或泄露凭证。

这些数据并不意味着 AI 独立策划了每起事件。它们表明，攻击者可以将模型嵌入熟悉的工作流，并以更高的速度或更大的规模运行这些工作流。

底层攻击目标依然容易辨认。犯罪团伙仍在追逐凭证、加密货币、敏感数据或勒索赎金。国家支持的行动者仍在寻求间谍活动、持久化能力和战略性访问权限。

AI 改变了围绕这些目标的经济成本。它降低了研究目标、制作定制材料、修改代码、处理窃取信息，以及在更多受害者身上重复攻击所需的投入。

报告也改变了对暴露基础设施的定义。企业模型不再只是生产力应用。其 API 凭证、数据连接器、编排软件和开发依赖项，都可能成为攻击路径。

这种双重角色构成了本文的核心张力。企业正在引入 AI 以减少运营摩擦，而攻击者也在同一环境中寻找特权访问权限和治理薄弱的自动化环节。

为什么 Google News 标题对安全团队很重要

Google News 的表述之所以重要，是因为 CrowdStrike 描述的是一个运营时效问题，而不只是另一类恶意软件。

安全团队长期以来围绕一个流程构建防御：工具检测异常活动，分析师审查信号，再由某人决定是否隔离用户或系统。每一次交接都会消耗时间。

29 分钟的平均横向突破时间压缩了这一流程。27 秒这一极端案例，实际上让攻击者在抵达另一项资产前几乎不给人工审查留下机会。

这一压力最沉重地落在那些安全数据仍分散于终端、身份平台、云账户、软件服务和开发者系统的组织身上。来自一个领域的警报，如果没有其他领域的背景，可能看起来无害。

攻击者从这些边界中获益。一个有效账户登录云服务可能看似正常工作。一项开发工具下载软件包可能显得例行。一名 AI 助手调用获批准的连接器，也可能穿过传统控制措施。

CrowdStrike 报告称，其在 2025 年的检测中有 82% 涉及无恶意软件活动。无恶意软件攻击依赖合法凭证、可信工具或内置系统功能，而不是投放可识别的恶意文件。

AI 与这种方式相辅相成，因为模型可以帮助攻击者理解环境并调整命令。由此产生的行为可能与普通管理工作无异，直到多个信号被结合起来。

Microsoft 在其对AI 威胁活动的分析中描述了类似转变。该公司表示，威胁行为者正将 AI 嵌入规划、侦察、恶意软件开发、钓鱼和入侵后操作的各个环节。

不过，Microsoft 补充了一项有价值的限定：即使 AI 在攻击生命周期中降低了摩擦，人类仍主导着大多数已观察到的行动。

这一差别会影响防御重点。组织不应只为一个无需监督就能行动的虚构自主黑客做准备。它们必须应对由人类操控、但成本更低、速度更快、也更易规模化的攻击行动。

所需的应对是运营层面的，而非表面性的。安全团队需要能够关联身份、终端、云工作负载、软件服务和 AI 应用活动的控制措施。

它们还需要获得迅速遏制高置信度威胁的授权。如果隔离仍要在漫长的审批队列中等待，自动检测的价值就会受到限制。

压力也延伸至安全部门之外。开发者选择模型框架和软件包。采购团队批准 AI 供应商。员工将助手连接到文档、日历、源代码和客户系统。

每一项连接都可能承载有价值的业务背景，也可能扩大被攻陷账户、遭投毒依赖项或被操纵提示所带来的后果。

因此，近期挑战是在运营速度下进行治理。企业必须了解哪些模型正在运行、它们能够访问哪些数据、可以执行哪些操作，以及如何撤销访问权限。

从更长远看，组织需要围绕机器速度的调查重新设计事件响应机制。人工分析师仍应承担责任，但在遏制行动开始前，该人员无法手动重建每一个跨领域事件。

AI 赋能的攻击者面对 AI 辅助的防御者

这场核心较量关乎速度与协同：攻击者在整个行动中自动化多个步骤，而防御者则尝试自动化证据收集和遏制。

CrowdStrike 将 AI 视为对手的力量倍增器。这一描述可信，因为攻击者不需要让模型创造一类全新的漏洞利用方式。改善几项普通任务，就可能产生显著的累积优势。

模型可以总结目标的公开信息、翻译消息、生成诱饵的不同版本、解释陌生代码并整理窃取的数据。它还可以帮助经验较少的操作员完成过去需要专家才能完成的任务。

Anthropic 研究了 2025 年 3 月至 2026 年 3 月期间因恶意网络活动而被封禁的 832 个账户。其账户分析将观察到的行为映射至 MITRE ATT&CK 框架，这是一套广泛使用的攻击者战术与技术目录。

在这些账户中，560 个将 AI 用于与恶意软件准备有关的活动，占研究群体的 67.3%。另有 54 个账户，即 6.5%，使用 AI 协助在受攻陷环境内进行横向移动。

Anthropic 还发现，AI 的使用正进一步深入攻击流程。受攻陷系统内的账户发现活动增加，而与 AI 辅助钓鱼有关的占比下降。

该公司的样本并非对全部网络攻击的统计。它只涵盖 Anthropic 已识别、封禁且能够获得足够细节进行分析的账户。尽管如此，向入侵后工作转移的趋势支持了 CrowdStrike 更广泛的判断。

当模型能够将任务串联起来时，攻击者会获得额外杠杆。操作员不再只是索要单个脚本，而是可以构建一个能够选择工具、评估结果并决定下一步的系统。

这种编排比任何单独的提示都更重要。它让 AI 模型成为可重复攻击流程中的一个组成部分。

防御者拥有类似优势。他们可以使用 AI 调查警报、汇总相关事件、确定漏洞优先级、生成查询，并提出遏制措施。他们还控制着这些防御措施运行所在的企业环境。

防御者可以看到历史身份行为、获批准设备、云权限以及预期的应用关系。外部攻击者很少一开始就拥有如此完整的背景。

Google 的 Mandiant 团队曾描述，结构化 AI 审查如何帮助防御者分析代码并定位漏洞利用路径。其源代码研究报告称，通过代理式审查流程发现了 12 个已分配编号的漏洞。

不过，防御部署伴随着严肃的权衡。安全代理需要广泛访问权限，才能调查事件并采取行动。这些特权也使代理、其指令和连接器成为有吸引力的目标。

组织不能只是将模型接入每一个安全系统，就认为时效问题已经解决。它们必须限制权限、记录操作、验证输出，并保留可靠的自动化停止机制。

协同能力更强的一方将占据优势。攻击者协调侦察、访问、利用和数据窃取。防御者则必须协调遥测、身份控制、漏洞管理和响应。

这场对抗并不保证进攻方会获胜。但它意味着，随着对手工作流变得更易于自动化，碎片化的防御工作流将变得更加昂贵。

AI 也正在成为攻击面

CrowdStrike 警告中最尖锐的反转是：原本被引入以加速工作的技术，可能暴露出通向企业的新路径。

企业常通过模型输出讨论 AI 风险。它们会考虑助手是否可能提供错误答案、泄露机密信息，或生成被禁止的内容。

CrowdStrike 的研究指向了一个更广泛的技术攻击面。模型嵌入在包含 API 密钥、向量数据库、插件、浏览器会话、开发工具和第三方连接器的系统中。

这些组件为助手提供了有用的上下文和执行操作的能力。但它们也为凭据窃取、供应链入侵、提示注入和付费计算资源滥用创造了机会。

提示注入是指将恶意指令植入 AI 系统处理的内容中。如果系统遵循这些指令，就可能泄露信息或触发超出用户意图的操作。

CrowdStrike 表示，攻击者在 90 多家组织使用的合法生成式 AI 工具中注入了恶意提示。据称，这些提示生成了用于窃取凭据和加密货币的命令。

该公司还观察到，攻击者利用 AI 开发平台建立持久化机制并部署勒索软件。在其他案例中，恶意服务器冒充受信任的 AI 服务，以拦截敏感信息。

Google Threat Intelligence Group 在其 AI 威胁追踪器中得出了类似结论。Google 表示，攻击者越来越多地瞄准编排层、封装库、API 连接器和技能配置文件。

其研究人员并未报告攻击者经常攻破领先模型的核心安全逻辑。相反，威胁行为者将熟悉的供应链和凭据攻击手法用于模型周边的软件。

这一发现避免了分析滑向科幻叙事。眼前的危险通常不是神秘的模型接管，而是出现在一个新型、高度互联技术栈中的常规安全失效。

开发者可能会安装遭入侵的软件包。暴露的令牌可能允许未经授权的模型调用。连接器可能会授予比员工意识到的范围更广的文档访问权限。

攻击者也可以利用组件之间的信任关系。如果 AI 工作流将检索到的网页内容视为指令，遭操纵的内容便可能影响后续操作。

CrowdStrike 识别出的 131 个投毒软件包说明了规模问题。开发者依赖公共框架，因为在内部重建每一项能力并不现实。攻击者可以通过仿冒有用的软件包或入侵维护者来利用这种依赖关系。

AI 系统也带来了集中的访问权限。一个助手可能会搜索内部文件、总结会议、查询客户记录，并与开发环境交互。

这种集中化提高了生产力，但也可能让一个遭入侵的身份或工作流跨越原本需要多个独立账户才能跨越的边界。

因此，安全架构必须将模型视为不受信任的解释器，而非不容置疑的决策者。模型可以建议一项操作，却不应因此获得永久执行所有操作的权限。

最小权限原则仍然至关重要。每个工具都应仅获得完成当前任务所需的数据和权限。高影响操作应要求独立验证。

组织还需要建立模型、连接器、代理和凭据清单。安全团队无法监控那些由业务部门在未登记或未明确归属的情况下部署的 AI 基础设施。

CrowdStrike 的警告在这一层面最具价值。它将注意力从有关智能恶意软件的耸动说法，转向企业 AI 与高价值系统相接触的真实接口。

CrowdStrike 的数据未能证明什么

CrowdStrike 提供了有力证据表明 AI 已嵌入攻击活动，但其统计数据并不能证明 AI 导致了速度或规模的每一次增长。

89% 的增长数字衡量的是 CrowdStrike 归类为涉及 AI 赋能对手的活动。它并不代表所有攻击中使用 AI 的比例，也不衡量仅由模型造成的损害。

检测方式的变化也可能影响年度对比。研究人员会改进方法，组织会部署更多遥测能力，威胁行为者也会留下新的信号。任何一种变化都可能增加被观测到的活动。

29 分钟的突破平均时间同样需要谨慎解读。更快的移动可能反映了被盗凭据、更完善的远程工具、薄弱的身份控制或经验丰富的操作人员。AI 可以加速这些活动，但未必是唯一原因。

CrowdStrike 销售旨在检测和阻止机器速度攻击的安全产品。其遥测数据提供了宝贵的可见性，但其解读也支持该公司的商业定位。

这种利益冲突并不意味着数据无效，但它使独立佐证变得至关重要。

Google 表示，它观察到对抗性工作流正向工业规模的生成式 AI 使用转变。它还报告了其认为首个被观察到的、在 AI 辅助下开发的零日漏洞利用。

Microsoft 认为 AI 已嵌入各类威胁活动，但强调人类仍持续主导。Anthropic 发现模型被用于攻击链的后期阶段，同时指出其 832 个账户的样本具有选择性。

综合来看，这些来源支持一个更狭窄、更具可辩护性的结论。AI 正在降低既有攻击技术中的摩擦，一些行为者正开始编排更复杂的行动。

它们并不能证明自主系统如今主导了网络犯罪，也不能表明每个攻击者都能获得同等收益。

模型仍会产生错误。生成的代码可能无法运行，虚构的技术细节可能浪费时间，安全防护也可能阻止请求。熟练的操作人员仍更有能力识别并纠正这些失败。

即使是自主性也需要基础设施。攻击者必须提供工具、访问权限、记忆、目标和决策规则。每增加一个组件，就会增加被检测和干扰的机会。

防御性 AI 也让关于攻击者优势的预测变得更复杂。帮助对手进行漏洞分析的同一种能力，也能帮助供应商在漏洞被利用前修补软件。

Mandiant 的 2026 年事件数据提供了另一项警示。其一线发现显示，全球中位驻留时间为 14 天，高于 2024 年的 11 天。

驻留时间衡量攻击者在环境中从进入到被发现或清除前停留的时长。它不同于突破时间，因此这两个指标并不矛盾。

相反，它们表明攻击速度具有多个维度。一些入侵者几乎立即进行横向移动，而复杂的组织则可能潜伏数月。

仅针对快速勒索软件优化的安全计划，可能会错过耐心的间谍活动；仅针对长期调查优化的计划，则可能无法应对快速、由身份驱动的勒索。

实际的应对方式不是恐慌式采购，而是测试控制措施能否在组织实际使用的系统中，同时检测突发移动和隐蔽持久化。

企业还应要求供应商提供透明的测量方法。有价值的报告应界定观测人群、解释分类方法，并区分 AI 的参与和 AI 的因果作用。

CrowdStrike 的标题之所以有价值，是因为它指出了一种方向性变化。其数字应引导调查，而不应成为替代各组织自身证据的工具。

三个信号将表明 AI 是否已永久改变网络攻击

下一项检验在于，已观察到的 AI 使用是否会在攻击阶段、供应链和真实企业事件中变得可重复。

第一个信号是持续的入侵后自动化证据。研究人员应关注攻击者是否反复使用模型进行权限提升、账户发现、横向移动和数据收集。

仅仅是钓鱼攻击量增加，只会强化 CrowdStrike 论点中最弱的一种表述。获得访问权限后的、已有记录的编排活动，才能支持 AI 已成为运营层的主张。

Anthropic 的研究已朝这一方向提供了线索。更有力的证据将来自多个供应商在无关活动中观察到同样的演进。

如果入侵后的使用仍然罕见，CrowdStrike 关于核心地位的主张就会显得为时过早。AI 仍然重要，但主要会是熟悉攻击手法的生产力工具。

第二个信号是 AI 供应链入侵的频率和影响。CrowdStrike 识别出的 131 个投毒软件包提供了一个基线，而不是既定趋势。

安全团队应关注公共软件包注册表、模型中心、连接器市场和代理配置仓库。他们还应追踪遭入侵的 AI 组件多频繁地为更广泛的业务系统创造访问权限。

更多涉及受信任软件包的事件，将强化 AI 既是攻击工具也是高价值目标的论点。有限的下游影响则会削弱最令人担忧的解读。

第三个信号是防御者能否在不制造新故障的情况下缩短响应时间。供应商将继续增加 AI 调查和遏制功能，但仅有采用并不能说明太多。

组织需要证据表明，这些系统能够关联跨领域活动、缩短经验证的遏制时间，并避免有害的自动化操作。它们还必须证明攻击者无法通过投毒输入操纵同一批代理。

这种衡量应包括从第一个信号到遏制的时间，而不仅是从告警到分析师审查的时间。它还应区分完全自动化的操作与经人工批准的响应。

遏制时间下降将表明防御者正在吸收与攻击者相同的速度优势。持续的延迟则会显示，组织流程仍是限制因素。

对于通过 Google News 看到本文的读者而言，持久的信息很直接。CrowdStrike 已记录到与 AI 相关的对手活动显著增加，但这项技术尚未取代网络安全的基本原则。

凭据仍需要保护。软件依赖仍需要验证。身份、云服务、终端和 AI 连接器仍需要协同监控。

不同之处在于时间。攻击者现在可以更快地研究、适应和重复其工作的部分环节。企业也正在将 AI 连接到拥有异常广泛访问权限的系统中。

安全负责人应立即提出一个问题：他们的组织能否在一次看似可信的入侵跨入另一个领域之前识别并遏制它？答案比任何关于 AI 军备竞赛的标题都更能说明问题。