「非人类行为模式」：智能体人工智能正在如何改变网络攻击

【新加坡】Reuben Koh 知道自己何时在观察人工智能 (AI) 攻击网络——因为其攻击模式看起来完全不对劲。

“我们知道 AI 智能体正被以这种方式利用，因为没有人类会这样做，”他告诉《亚洲科技》。

几十年来，协同网络攻击一直是一个缓慢而有条不紊的过程，通常会持续数天或数周。攻击者会先获得初始访问权限，然后在网络中小心翼翼地移动，以避免被发现。

但如今，网络安全公司 Akamai Technologies 的亚太及日本地区安全与技术战略总监 Koh 表示，AI 智能体正越来越多地处理网络攻击的几乎所有环节，而人类仅在战略决策时介入。

2025年11月，总部位于美国的 Anthropic 公司发布了一份报告，详细介绍了其所谓的首例有记录的、由 AI 策划的网络间谍活动。

报告指出，一个由中国政府支持的组织使用 Claude Code 对大约30个组织发动了攻击，其中约80%至90%的工作由 AI 智能体执行。

Anthropic 将这些攻击描述为以“物理上不可能的请求速率”发生。

该报告引发了争议，批评者称其内容模糊且缺乏证据。但对于像 Koh 这样的网络安全专业人士来说，报告的发现只是证实了他们早已观察到的情况。

速度问题

智能体攻击以 Koh 所说的“机器速度”运行。AI 机器人并不谨慎或有条不紊，它们的行动是全面且同步的。它们可以一次性探测数十个系统，尝试数百个用户名和密码，并并行利用多个漏洞。

甚至连网络攻击中的社会工程学部分——过去这需要进行大量研究、精心选择目标和运用高超的写作技巧来窃取用户名和密码——现在也已经自动化了。

“大多数时候，在你喝完咖啡之前，它们就已经得手了，”Koh 说道。因此，这也改变了公司防御其系统的方式。

NTT Data 的全球网络安全服务主管 Sheetal Mehta 表示，问题的一部分在于，智能体攻击能够无缝融入企业环境，这使得检测变得异常困难。

借助人工智能，网络犯罪分子不再部署会触发警报的明显恶意软件。相反，他们能够使用与合法企业相同的标准工具。

然而，Mehta 表示，人工智能为网络攻击者带来的速度优势同样也适用于防御方。他的团队已利用人工智能将攻击响应时间从40分钟缩短至10分钟。

他补充说，人工智能使安全分析师的生产力提高了7到10倍。例如，一名过去每天处理20个警报的分析师，现在可以处理100到120个。

Mehta 表示，NTT 的研究发现，55%至60%的企业仍面临着基本的安全挑战。大多数组织运行的都是遗留系统，这些系统并非为应对 AI 威胁而设计。

他还指出了技术无法解决的问题：导致凭证泄露的人为错误、未及时应用的补丁，或未被解决的漏洞。

错误的生产力

软件质量和测试平台 Tricentis 的高级副总裁 Damien Wong 表示，尽管人工智能提升生产力的能力帮助了安全公司，但它也对一个日益严重的问题负有部分责任。

“感觉式编程”（vibe coding）的日益流行，加上大多数软件公司所处的高压工作环境，共同导致了市场上未经测试的软件数量不断增加。

“人们甚至没有测试过代码，这可能是我们如今系统存在如此多漏洞的关键原因之一，”Wong 指出。他将这些未经测试的软件数量形容为“一场洪水”。

他承认，使用 GitHub Copilot 的开发人员生产力飙升了55%，但同时他也指出，漏洞和软件缺陷也相应增加了40%。

去年，Tricentis 为其《质量转型报告》在全球范围内调查了超过2700名技术领导者。近一半的受访者承认，他们经常将未经测试的代码发布到生产环境中。

Wong 说，这其中包括通常由 AI 生成的、用于安装 API（应用程序编程接口）的代码。API 是允许不同系统协同工作的软件，由于 API 通常允许访问系统的其他部分，它们正成为最主要的攻击途径之一。

一旦 AI 智能体获得系统访问权限，它们会迅速重置安全设置或损坏恢复文件。

“如果你仔细想想，”数据安全公司 Proofpoint 的首席战略官 Ryan Kalember 说道，“一个在企业内部运行的智能体，其行为可能就像一个内部人员。”

除了 API，另一个引发问题的系统是 Anthropic 的模型上下文协议 (MCP)，这是一种旨在让 AI 智能体更容易协同工作的软件标准。

Anthropic 于2024年11月发布了 MCP，此后其采用速度迅速加快。

Akamai 的 Koh 表示，问题在于 MCP 的目的是将系统连接在一起，而不是确保它们的安全性。

“其重点在于互操作性，这也意味着它在设计时并未考虑安全性，”他补充道。

Kalember 亲眼目睹了这种利用行为。2025年8月，他的团队发现了一个针对名为 Postmark 工具的恶意 MCP 服务器。该服务器允许 AI 智能体发送电子邮件，但一名攻击者对其进行了配置，将自己的电子邮件地址密送（BCC）到每一封发出的邮件中。

攻击目标是客户服务代理，这是人工智能自动化最常见的企业应用场景。

2025年9月，微软宣布 MCP 服务器和代理将成为 Windows 11 的基本组件。

企业必须做什么

唯一可行的防御之道是“以毒攻毒”。组织需要由人工智能驱动的安全系统，这些系统能够以与攻击发生相同的速度捕捉异常、关联威胁并自动做出响应。

人类分析师已经无法足够快地处理信息了。

但在组织能够防御复杂的人工智能攻击之前，他们需要了解自身的处境。NTT 的 Mehta 指出，大多数组织并不了解这一点，许多企业甚至缺乏对其风险水平的基线评估。

他说，组织需要规划出其当前的安全状况。他们需要了解自己当前的网络风险水平，明确其业务可接受的风险等级，并建立对安全控制措施的整合视图。此外，他们还应该了解如何在攻击后进行恢复。只有这样，他们才能开始考虑转型计划和由人工智能驱动的防御措施。

然而，掌握人工智能的全部技术细节可能并非必要。

Akamai 的 Koh 强调，虽然安全团队需要具备人工智能素养，但他们无需了解大语言模型工作的技术细节。

“他们需要知道生成式 AI 和 AI 智能体之间的区别，”他说。“但更重要的是，他们需要知道如何利用人工智能驱动的工具来帮助他们完成工作。” 亚洲科技