机器速度的 AI 攻击正在压缩网络防御窗口

Google News 在 8 月 30 日转载了一则严峻的 Forbes 警示：尽管安全团队仍按人类审批周期运作，AI 攻击者却能在几分钟内采取行动。这场对抗已不再只是人与恶意软件之间的较量。攻击者正越来越多地利用 AI 加速既有技术，而防御者则必须决定应向防御自动化授予多大权限。

标题提出的问题是：当 AI 以机器速度运行时，人类还能否守住网络？现有证据支持一个有条件的答案。人类无法足够快地人工检查每一个信号，或批准每一项常规遏制行动。然而，人类仍不可或缺，因为自动化系统仍会犯错，也难以应对复杂、长期延续的攻击行动。

这一区别界定了真正的竞争。它并非自主攻击者对抗独自工作的人工分析师，而是 AI 加速的进攻对抗由人类治理的自动化防御。能够兼具速度、可靠遥测数据与可问责决策的一方，将占据优势。

Google News 的标题反映了攻击速度的真实转变

眼下最直接的变化是决策时间被压缩，而不是诞生了一种全新的网络攻击形式。

Forbes 的机器速度警示描述了一种运营层面的失配。一个组织或许有 72 小时报告事件，但自动化攻击者可能在几分钟内利用漏洞并建立持久化访问。

持久化访问是指在首次入侵后继续维持访问权限。一旦建立，攻击者便可返回系统、窃取信息，或向更有价值的系统横向推进。

这种对比有意强调戏剧性，但其核心观点成立。报告期限、委员会审查和事件响应手册，与自动化侦察和利用漏洞遵循着不同的时间尺度。当分析师尚未打开第一条告警时，恶意活动可能已跨越多个系统，合规时钟对此几乎无能为力。

Palo Alto Networks 在 2025 年处理了超过 750 起重大事件后，也得出了类似结论。其 2026 年的事件响应数据称，攻击者会在 CVE 公告发布后 15 分钟内开始扫描某些新披露的漏洞。

CVE 是对公开披露安全漏洞的标准化记录。扫描并不意味着每个漏洞都会在 15 分钟内变得可被利用，而是指攻击者会在许多组织刚读完公告之前，就开始搜寻暴露的目标。

AI 降低了这一过程各环节的阻力。它可以总结技术披露内容、比较代码变更、生成扫描逻辑、排查失败命令，并为另一个目标调整脚本。这些行动都不需要假想中的超级智能。

经济层面的变化与技术变化同样重要。攻击者可以并行侦察数百个目标，再将人工注意力集中到最有希望的结果上。这使小型团伙也能在更大的攻击面上行动。

初始访问后的阶段也出现了同样的加速。入侵者若掌握被盗凭据，就可以让内部 AI 助手检索网络拓扑图、集成说明或管理员运行手册。原本帮助员工查找信息的工具，也可能帮助攻击者理解环境。

这正是碎片化安全运营带来特殊风险的原因。身份、终端、云、电子邮件、应用和网络团队往往使用彼此独立的工具和队列。自动化攻击者却会把这些边界视为通往同一目标的相连路径。

设想一个合理的攻击序列：遭入侵的身份账户登录员工账号。攻击者利用终端检查可用服务，发现过度的云权限，并进而触及存有敏感数据的应用。

每一种安全产品都可能只记录一个片段。身份系统看到异常登录；终端平台观察到可疑命令；云服务记录了一次权限查询。没有任何单一告警必然能解释整个序列。

人工分析师能够重建这一过程，但调查需要时间。AI 辅助的攻击者则可在防御方收集证据时继续探索。危险的缺口存在于第一个微弱信号出现，与组织识别出协同入侵之间。

Google News 并未产出底层分析，其出现在该平台上也不代表每一项预测都得到验证。这个聚合平台放大了一位 Forbes 撰稿人的论点，而与此同时，多份独立报告也指出响应窗口正在缩短。

因此，这一事件的意义超越了一则标题。安全领导者如今已有足够的运营证据，将 AI 辅助带来的速度视为当前的规划问题。他们无需假定完全自主的攻击者已经主导真实网络。

这种审慎表述很重要。夸大威胁会促使人们仓促自动化，而轻视威胁则会让纯人工流程暴露在风险之中。接下来的问题是，哪些组织最承受改变的压力。

安全运营中心首先面临考验

安全运营中心必须在保留人类对重大决策权威的同时，自动化常规调查与遏制工作。

安全运营中心，即 SOC，负责监控系统、调查可疑活动并协调事件响应。许多 SOC 仍依赖分析师在不同仪表盘之间切换、将证据复制到工单中，并手动决定是否隔离设备。

当告警到达速度超过人们关联它们的速度时，这种运营模式便难以应对。问题不只是告警数量，而是在攻击者推进之前，跨系统连接微弱信号所需的时间。

大型企业面临最明显的压力，因为它们运营着庞杂的网络、云账户、应用和第三方连接。其规模会产生大量遥测数据，但也会在团队与工具之间形成缺口。

较小的组织则面临另一种形式的问题。它们可能缺乏全天候 SOC、经验丰富的威胁猎手，或足以安全构建自动化的工程能力。AI 可以降低分析成本，但不会自动提供良好的安全架构。

关键基础设施的后果更为严重。在办公网络中发生一次遏制错误，或许只是中断一名员工的工作；同样的行动若发生在医院、公用事业或工业系统中，则可能影响基本运行。

这种差异限制了组织能够多大范围地采用自主响应。防御智能体在检测到明显滥用行为后，或许可以安全地禁用一个新创建的云令牌；自动关闭工业终端则需要更强的证据和更严格的政策。

有边界的遏制提供了一条务实的中间路径。当满足特定证据阈值时，它赋予软件采取预先定义且可逆行动的权限。这些行动可能包括撤销会话、阻止已知恶意域名，或将工作站置于受限网络分段中。

随后，人类在决策链中上移。他们设定允许采取哪些行动、界定可接受的运营风险、审查例外情况，并批准具有严重业务后果的步骤。

这改变了分析师的角色，而不是淘汰他们。分析师花在汇集常规证据上的时间更少，花在质疑结论、处理陌生案例和完善响应政策上的时间更多。

这一转变也对安全厂商构成压力。客户需要能够关联身份、终端、云、应用和网络证据的工具。另一个只会总结单一仪表盘的孤立 AI 助手，并不能解决跨域问题。

仅有集成还不够。防御系统还需要可信的遥测数据、准确的资产清单和最新的身份信息。将自动化应用于不完整数据，可能更快地得出错误答案。

Unit 42 审查的入侵事件中，超过 90% 涉及实质性促成入侵的、原本可以预防的缺口。该报告指出的问题包括可见性有限、控制措施不一致、身份信任过度以及连接缺乏管理。

这一发现为机器速度叙事增添了限制条件。许多攻击者之所以仍能得手，是因为组织未能解决熟悉的弱点。更快的 AI 并未削弱多因素认证、最小权限、修补、分段和经过测试的恢复机制的价值。

但它确实让延迟的代价变得更高。被忽视的互联网暴露资产更容易被大规模发现；权限过高的账户会让自动化工作流探索更多系统；缺失的遥测数据会让可疑活动在缺乏连贯响应的情况下继续进行。

因此，安全团队不应将 AI 防御视为基础控制措施的替代品。更好的模式是将基础安全能力与快速关联和经过谨慎限制的自动化结合起来。

这迫使首席信息安全官作出回应。他们必须识别哪些决策仍应由人类作出、软件可以采取哪些行动，以及组织能够多快撤销一次自动化失误。

压力是即时的，因为攻击者可以在不替换既有方法的情况下采用通用模型。防御者在改变生产响应之前，往往需要经历采购审查、集成、测试和治理。

这种不对称在过渡期内有利于进攻方。犯罪团伙今天就可以为脚本加入 AI 辅助；受到监管的企业则可能需要数月才能批准自动暂停账户。

不过，防御者也拥有攻击者不具备的优势。他们控制环境、定义正常行为、维护身份记录，并且可以把执行机制直接部署在自己的系统内。他们面临的挑战，是将这些上下文转化为及时行动。

因此，最强的防御态势并非不受限制的自主性，而是一种让机器处理速度与规模、人类治理风险与例外情况的运营模式。

AI 攻击者与人类治理的防御才是真正的对手

决定胜负的较量是自动化进攻与人类引导的自动化之间的对抗，而非机器与人类之间的对抗。

研究已显示，AI 正出现在攻击链的各个环节。Anthropic 分析了 2025 年 3 月至 2026 年 3 月期间与恶意网络活动相关的 832 个账户。

其威胁映射识别出覆盖 MITRE ATT&CK 框架全部 14 项战术的活动。研究人员记录了 13,873 项观察结果，涵盖 482 项独特的子技术。

MITRE ATT&CK 是一套用于描述真实网络行动中行为的结构化目录。它帮助防御者分类侦察、凭据窃取、横向移动和数据外泄等行动。

Anthropic 表示，在研究期的前后两个阶段之间，被评估为中等风险或更高风险的研究对象占比从 33% 升至 56%。这反映的是一组选定的被封禁账户内部的变化，并非对所有网络犯罪活动的衡量。

这一细节仍然重要。AI 辅助并不局限于生成钓鱼信息或轻微修改恶意软件。Anthropic 观察到，它被用于凭据转储、Web Shell 和横向移动等环节。

横向移动是指攻击者利用一个已被攻破的系统进入网络的其他部分。它往往是一次孤立入侵演变为全组织范围事件的阶段。

该公司认为，编排能力正日益拉开高危险行为者与能力较弱者之间的差距。所谓编排，是指将模型与工具、记忆、代码及决策循环连接起来，使其能够完成多个相互关联的任务。

单独的语言模型或许会建议一条命令。具备代理能力的系统则可以运行该命令、检查结果、选择另一项工具，并持续朝目标推进。这样的外围结构可能与底层模型本身同等重要。

攻击者的优势来自于在多个目标上快速重复这一循环。系统并不会因此变得万无一失，但会变得更具持续性、复制成本更低，并且对操作人员持续关注的依赖更少。

防御同样需要具备相应的循环。防御型代理必须收集信号、形成假设、通过其他证据检验假设，并在入侵进一步推进前采取获批准的行动。

人类分析师仍不可或缺，因为安全证据往往存在歧义。管理员传输大型归档文件，可能是在完成一次合法迁移；同样的行为也可能意味着数据窃取。

决定差异的是上下文。管理员的角色、设备、位置、已批准的变更工单、近期认证记录以及目标地址都很重要。防御模型必须检索并权衡这些信息，而不能凭空补足缺失细节。

安全基准测试表明，协作目前优于简单替代策略。Hack The Box 最新的基准数据显示，其排名前 25 的团队中有 68% 使用了 AI 代理，尽管代理仅占注册账户的 2.7%。

在该研究中的活跃团队里，AI 增强型团队的解题率高出 3.2 倍，完成挑战的速度也快了三到四倍。

不过，表现最强的人类团队解出了全部 36 项挑战，而表现最强的 AI 团队解出了 32 项。上述发现反映的是相关性，而非 AI 导致更强结果的证明。

尽管如此，它们揭示了一种有价值的模式：经验丰富的操作人员利用代理压缩研究、编码、故障排除和初步分析所需时间。他们仍然决定调查路径，并判断输出是否有效。

这正是企业应带入生产环境的模式。AI 处理高容量证据处理和可预测响应；人类则审视不确定性，并为影响运营、客户或公共安全的决策承担责任。

这种区别也会改变招聘重点。当代理可以即时检索语法时，记住每一条命令的价值会降低。理解系统、质疑证据以及识别不安全建议则变得更加重要。

组织需要能够监督自动化、而不会沦为被动审阅者的分析师。告警摘要不应仅因模型快速生成就被信任。

它们还需要能够限制代理权限的工程师。防御型代理应只获得执行指定操作所需的访问权限。其凭据、工具调用、输出和策略例外都需要记录日志。

这与既有的零信任实践相似。零信任假定，任何用户或系统都不会仅因网络位置而获得广泛信任。每项请求都要通过身份、上下文和策略进行评估。

同一原则也应适用于 AI 代理。模型不应仅因其目标是防御就获得不受限制的管理员访问权限。被攻破的提示词、错误推理、受污染的遥测数据或工具错误，都可能使过度权限演变为运营风险。

人类治理提供了持久优势。防御者可以定义受保护资产、不可接受的操作以及必须审批的节点。攻击者试图移除约束；防御者则可以将约束纳入系统设计。

这种方法比在告警队列中加入一个聊天机器人更难构建，但也更有可能经受真实事件的考验。

机器速度论证并未证明什么

AI 正在加速网络行动，但现有证据并未显示其能够在完整的真实世界攻击中实现可靠且普遍的自主性。

最重要的质疑点在于“自主”一词。能够自动化多个攻击阶段的系统，并不必然能够在无人类纠正的情况下完成一场复杂行动。

2026 年发布的安全评估发现，AI 在漏洞发现和代码生成方面取得了显著进展，同时也指出当前网络能力并不均衡。

DARPA AI Cyber Challenge 中的一个系统自主识别出主办方刻意引入的 77% 漏洞。它还发现了非故意引入的缺陷，表明 AI 能够为进攻与防御发现提供有用贡献。

不过，受控基准测试存在局限。分析可用源代码的模型，与探测陌生生产环境的攻击者所处条件不同。许多评估衡量的是孤立技能，而非完整入侵过程。

该国际报告指出，代理在较长序列中常见的失败包括：执行无关命令、丢失对运行状态的追踪，以及无法在没有协助的情况下从简单错误中恢复。

这些弱点之所以重要，是因为真实网络十分复杂。工具会返回不完整结果，凭据会过期，系统使用未记录的配置，防御控制也会改变攻击者能够观察到的内容。

攻击者可以通过人工监督来弥补这些问题。操作人员可以纠正失败的命令或重新引导系统。即使行动并非完全自主，这仍能减少人力投入。

因此，最站得住脚的主张是加速。AI 缩短了研究、脚本编写、适应和故障排除的时间，也使更多行动能够同时运行。

更强的说法——机器能够在没有人类参与的情况下可靠攻破任何网络——仍缺乏支持。重复这一说法会将严肃的运营问题变成投机性的营销宣传。

供应商激励同样值得审视。网络安全公司会从组织采购新的检测平台、自主代理和托管服务中获益。它们的威胁报告可能包含有价值的事件证据，同时也可能支撑商业叙事。

公司数据集也存在样本选择限制。Anthropic 看到的是通过其服务实施的滥用行为。Palo Alto Networks 看到的是涉及其客户、并进入其响应团队调查范围的事件。Hack The Box 衡量的是竞争环境中的表现。

没有任何一家能够提供全球网络犯罪的完整视图。当独立数据集指向相同方向时，这些发现会更具说服力，但具体比率不应被泛化到研究样本之外的人群。

防御型 AI 也有自身风险。误报可能导致员工无法访问系统，或中断关键服务；漏报则可能让攻击者继续活动。编造的解释可能将分析师引向无关证据。

提示注入带来了另一项担忧。它是指恶意内容试图通过嵌入系统所读取数据中的指令来操纵 AI 系统。

防御型代理可能检查包含敌意文本的电子邮件、文档、代码仓库或网页。如果其架构没有将证据与可信命令分离，内容就可能影响其行为。

工具访问权限会提高风险。一款只起草摘要的模型最多浪费分析师的时间；一款被授权撤销凭据或隔离服务器的模型则可以改变生产系统。

NIST 于 2026 年 5 月发布的代理安全分析发现，各方普遍认同传统网络安全原则仍然适用。受访者也表示，这些实践需要针对 AI 代理进行调整。

这种结合提供了有用标准。组织不应为了追求机器速度而放弃既有控制措施，而应将身份管理、最小权限、日志记录、测试和事件响应扩展到自主系统。

自动化应从可观察、可逆的狭窄操作开始。团队可在扩大授权范围前衡量准确率、业务中断情况和分析师覆盖率。

遏制系统也应公开其证据。分析师需要知道哪些信号触发了行动、哪项策略允许该行动，以及如何恢复受影响资源。

当后果难以逆转时，人类审批仍然合适。删除数据、关闭关键基础设施或指控员工从事恶意活动，都需要超越快速模式识别的判断。

目标并不是让人参与每一毫秒的决策，而是让人类意图、策略和问责机制环绕自动化系统。

这一区别化解了 Forbes 问题中看似存在的矛盾。人类无法以机器速度亲自执行每一项防御行动，但可以设计、约束、监督并改进执行这些行动的系统。

三个信号将显示防御者是否跟得上

下一阶段取决于可衡量的遏制表现、跨领域采用情况，以及针对自主代理的可执行规则。

第一个信号是，组织是否能在真实事件中缩短检测和遏制时间。产品演示和基准分数不能替代运营结果。

有用的指标包括平均检测时间、平均遏制时间、分析师覆盖率，以及后来被撤销的自动化操作数量。这些指标同时揭示速度和准确性。

如果遏制时间下降且业务中断保持稳定，就支持人类治理自动化的理由。若响应更快却频繁发生错误停机，则会削弱这一论点。

安全负责人还应区分简单案例与困难案例。自动阻止一个已知恶意文件，并不等同于解读跨云服务的异常管理员活动。

第二个信号是，企业能否实现跨领域关联。如果身份、端点、云、应用和网络证据仍被困在彼此隔离的系统中，AI 防御的价值将十分有限。

组织需要拥有资产、身份、权限和活跃会话的统一视图。没有这一基础，代理就无法可靠判断多个微弱告警是否属于同一次攻击。

应关注安全平台和内部 SOC 是否能证明，它们可以跨这些领域追踪完整序列。决定性证据将是更少的遗漏关联和更短的调查时间，而不是发布的 AI 功能数量。

这也将检验安全供应商能否合作。企业很少在所有控制面都使用同一家供应商。因此，共享数据格式和可靠集成与模型质量同样重要。

第三个信号是可执行的代理安全标准是否出现。组织需要对权限、审计日志、评估、人类审批和紧急关闭机制有明确预期。

来自 NIST 和类似机构的政府指导可以建立共同基线。行业实践也会很重要，尤其是在保险公司、审计机构和受监管买家开始要求提供代理控制证据时。

强有力的标准应区分建议与执行。它还应要求组织记录代理能够访问什么、能够采取哪些行动，以及最终由谁负责。

这三个信号相互印证。若快速遏制依赖范围广泛且未经审计的权限，其意义十分有限。若分散的遥测数据让系统处于盲区，再强的治理也难以发挥作用。

Google News 的标题反映了一种真实焦虑，但务实的答案既不是放弃防御，也不是走向完全自治。纯人工响应无法在大规模环境中匹配自动化攻击循环的速度。对防御代理不加限制所带来的风险，也并非单凭速度就能合理化。

可持续的模式，是将自动化置于由人定义的边界之内。机器负责关联证据、调查可重复识别的模式，并执行可逆的遏制措施。人则负责制定策略、处理模糊情况，并批准会产生长期影响的行动。

组织可以先梳理目前哪些人工队列正在拖慢常规响应。随后，可确定一项范围狭窄的遏制操作，利用已记录的事件进行测试，并建立明确的回滚流程。

团队还应保留这些决策背后的知识。调查记录、架构文档和响应经验需要持续保持可检索状态，因为未来的代理和分析师都将依赖这些背景信息。维护良好的工程知识库可以帮助团队检索本地技术证据，而不将每一次模型输出都视为权威结论。

因此，读者需要回答的核心问题，比“人类是否仍能防御网络”更具体：你的组织是否清楚哪些决策可以由软件做出，哪些决策必须由人做出，以及任一方能够多快采取行动？

不妨以这一视角复盘一次近期事件或桌面演练。找出最长的人为延迟、缺失的上下文来源，以及最适合自动化的第一项可逆行动。这项练习将揭示：你的防御能力是否正在在人的控制下变得更快，还是仅仅把 AI 加入了同一条缓慢的队列。