摘要：2026 年 11 月，Recorded Future 旗下 Insikt Group 发布年度普查报告，以 2025 年 7 月 31 日至 2026 年 7 月 31 日为观察窗口，梳理了 103 起有据可查的 AI 相关恶意事件。报告的核心判断具有 "双向去泡沫" 的性质：一方面，AI 已贯穿攻击链的多个环节，使既有的供应链入侵、钓鱼与勒索更加可信、更具规模；另一方面，完全自主的攻击仍属罕见，人类操作者依旧是多数行动的必要条件。本文以该报告为经验基础，先厘清其在方法论上的角色分类与成熟度分级，再逐条分析五条趋势之间的因果联系：开发工具因持有高价值凭证而成为特权支点，AI 话题本身被用作诱饵，国家行为体的应用多停留在辅助层级但已出现多智能体协同的例外，定制化欺诈因数据得以被快速解析而提效，而全自主的缺席则由技术新颖性、人力依赖、算力成本与操作风险共同解释。文章进一步指出，AI 并未创造新的失败模式，而是放大了三类既有弱点：过度授权、第三方暴露与补丁滞后，并以身份凭证为纽带将它们串联。据此提出以权限约束、关键动作人工确认、独立监测与可中断能力为核心的防御取向，以及与之匹配的度量口径。文章最后讨论该普查的样本偏差、时间窗滞后与归因不确定性。
关键词：人工智能；威胁态势；供应链攻击；智能体；身份凭证
1 引言
2026 年 11 月 11 日，Recorded Future 的 Insikt Group 公开发表题为《AI 既是威胁行为者的目标，也是其工具》的年度研究报告。报告的观察窗口为 2025 年 7 月 31 日至 2026 年 7 月 31 日，共纳入 103 起事件。纳入标准有三条：事件须在厂商情报图谱中可检索、须经确认在攻击中使用了 AI（作为攻击向量、工具或目标）、且须为真实环境中的恶意行动，而非概念验证或安全研究。
这份报告值得单独讨论，原因不在于它给出了新的攻击手法清单，而在于它对流行叙事作了两处修正。第一处修正在于 "AI 原生攻击" 的稀缺性：103 起事件中，绝大多数是 AI 对既有攻击类型的加速与润色，供应链入侵、钓鱼、勒索敲诈这些类别并未因 AI 而改变其基本结构；报告直言，几起针对 AI 开发工具的供应链事件 "没有利用任何独特的 AI 能力"，它们利用的是这类工具的普及度与其在目标环境中的访问权限。第二处修正在于 "全自主攻击" 的滞后性：除针对亚洲某政府实体的多智能体行动外，完全自动化或编排化的行动尚未被广泛观察到，人类监督在多数场景中仍是必要条件。
这两处修正对防御方具有直接的方法论意义。若把 AI 视为一种全新的威胁类别，防御资源会投向 "检测 AI 生成内容" 这类边际收益有限的方向；若把 AI 视为对既有弱点的放大器，防御重心则应回到权限、暴露面与响应速度。反网络钓鱼技术专家芦笛在评论此类年度报告时提出过一个判断：过去数十年，攻击技术的迭代大多发生在 "投递" 与 "利用" 两端，而 2026 年的变化主要发生在 "准备" 与 "说服" 两端；这两端恰好是防御投入最薄弱、也最难量化的部分。本文即沿着报告的原始分类与数据，试图把这一变化还原为可分析的机制，而非停留于趋势描述。
2 分析框架：角色分类与成熟度分级
报告在方法上将 103 起事件拆为两组。第一组 32 起，涉及在恶意软件中使用 AI，或以 AI 编排进攻性行动，按 "AI 恶意软件成熟度模型"（下称 AIM3）分级。第二组 71 起，按 AI 被滥用的方式归入四类：以 AI 系统、基础设施或数据为直接目标；以 AI 为诱饵或投递载体；以 AI 辅助欺骗、欺诈与影响力操作；滥用或劫持合法的 AI 智能体与服务。
这一分类的价值在于它区分了 "AI 作为对象" 与 "AI 作为手段"，而后者又可细分为 "利用话题热度" 与 "利用模型能力"。四类之间的边界并不总是清晰：一起以 AI 工具落地页为诱饵的事件，可能同时属于 "诱饵" 与 "辅助欺诈"；一次劫持智能体凭据的行动，可能既是对智能体服务的滥用，也以获取凭证为目标。但这一粗略划分仍优于笼统的 "AI 攻击" 表述，因为它迫使分析者回答一个具体问题：在这起事件中，AI 究竟替代了人的哪一项能力。
AIM3 采用五级刻度。第一级为实验性使用，AI 出现在研究或尝试阶段，尚未进入实际行动；第二级为采纳，攻击者把 AI 嵌入熟悉的工作流程，用于脚本编写、资料整理与行动准备；第三级为整合，AI 被调用进攻击链的特定环节，可依据近实时反馈生成或调整指令；第四级为转化，出现具备规划能力的原生进攻框架，但仍保留人在环内的监督；第五级为规模化，端到端的自动化行动在无人监督下大规模运行。报告指出，截至 2026 年 7 月，由人操作的行动在 AIM3 上多处于第二至第四级之间，第五级仅有个别例证。
分级框架的引入，使 "AI 威胁" 从定性判断变为可比较的刻度。但它也带来一个容易被忽略的问题：分级描述的是 "AI 参与的程度"，而非 "行动的危害程度"。一起停留在第二级的事件，若发生在持有高权限凭证的开发工具上，其造成的影响可能远超一起技术上更 "高级"、但局限于低价值目标的事件。报告在趋势部分实际上承认了这一点 —— 它把开发工具列为第一趋势，理由正是 "影响" 而非 "先进"。这也提示读者，不宜把 AIM3 的等级当作风险排序的依据。
3 特权支点：AI 开发工具与供应链
报告的第一条趋势指向开发工具。AI 编程助手、模型代理包、代码生成插件在企业工作流中的嵌入，使它们同时持有代码仓库、部署令牌、云平台凭证与连接应用的访问权。攻击者一旦控制这类工具，获得的不是一台主机，而是该工具所被授予的全部权限，以及向数千个下游环境横向扩散的能力。报告用 "理想的支点" 来描述这一位置。
三起事件构成了一条清晰的时间线。2026 年 2 月下旬，一个流行的 AI 代理包被植入恶意更新，其代码具备凭证窃取、横向移动与后门驻留能力；4 月，另一批 AI 工具包被用于投递可窃取凭证、外传数据并访问加密钱包的恶意程序；5 月，Shai-Hulud 供应链蠕虫的扩散版本将 Claude Code 作为驻留与传播的目标。三起事件的技术路径并不相同，但共同点在于它们都没有利用 AI 的独有能力：没有提示注入，没有模型越狱，没有对推理过程的操纵，只有对软件分发环节的入侵与对工具权限的滥用。
这一现象值得在学理上加以强调。过去十年，供应链攻击的经典形态是污染构建流程或劫持更新通道，其收益取决于被污染组件在下游的装机量。AI 开发工具改变了这一收益结构：它们不仅装机量增长快，而且在设计上就被要求持有跨系统的长期凭证，以便代替人完成代码生成、测试执行与部署调用。于是，"装机量" 与 "权限深度" 两个变量同时上升，单次入侵的期望收益随之陡增。报告所称 "下游环境可能数以千计"，正是这一乘数效应的直接表述。
由此产生一个治理上的错配。企业通常把 AI 编程工具当作生产力软件采购，纳入一般的软件资产清单，按常规的版本管理与许可合规流程处理；而这类工具实际需要的，是接近构建系统的信任级别。若资产分类未反映这一实质，后续的权限收紧、网络分段、出网限制与凭证轮换都不会自动适用于它。迪妙网络空间安全学院研究团队在评估类似案例时提出的观察是，AI 工具的风险并不来自其 "智能"，而来自其被授予的 "代理权"；因此治理的起点不是审查模型输出，而是清点它究竟能代表谁、访问什么、持续多久。
4 注意力套利：以 AI 为诱饵
第二条趋势与第一条构成互补关系。前者利用 AI 工具的权限，后者利用 AI 话题的注意力。报告记录了仿冒 AI 开发工具落地页、搭建虚假工具页、以及冒用 OpenClaw 等产品名义设置欺诈钱包页面以窃取加密资产的做法，并指出此类活动在 2026 年 3 月之后显著增加。与之并行的是 ClickFix 手法在失陷网站上的弹窗投递，以及针对搜索 AI 相关站点用户的搜索引擎优化 poisoning。
从攻击经济学看，这类手法的成本结构极为有利。诱饵的素材可以直接取自真实产品的界面，仿冒页面可以批量生成并快速更换域名，投放渠道依赖搜索引擎与社交平台的推荐机制，而受害者的注意力则由话题热度免费提供。更重要的是，这类诱饵具有 "可复用性"：同一套页面模板可以在数月内反复使用，只需更换域名与钱包地址。这与需要针对单一目标定制话术的定向钓鱼形成鲜明对比，前者是工业化生产，后者是手工定制。
报告把这一类归入 "以 AI 为诱饵或投递载体"，其判断是准确的：这些行动并未利用 AI 的任何技术特性，它们利用的是公众对 AI 的认知状态。用户在搜索一个陌生的 AI 工具时，缺乏判断下载源是否可信的参照；在看到一个声称提供免费额度的页面时，缺乏核实其运营主体的动机。这种 "认知缺口" 与 2020 年前后利用疫情话题、2022 年前后利用加密资产话题的诱饵潮在机制上完全一致，差别只在于话题的更替。
值得注意的是，同一份报告在趋势四中给出了诱饵的另一种用法：把 AI 用在话术生成一侧。钓鱼工具包已嵌入语言模型，可自动生成并投递具有针对性的诱饵内容；针对法国养老金领取者的一次行动，利用窃取的身份数据自动生成高度定制化的信息。诱饵由此从 "批量模板" 变为 "按人定制"，而支撑定制的原料，恰恰是此前通过信息窃取程序与数据泄露积累的身份数据。这构成了报告在展望部分所称的自我强化循环：AI 使既有数据更易被解析与变现，变现需求又推动新的窃取，窃取所得继续喂养下一轮的定制化。
5 国家行为体与定制化欺诈
第三条趋势涉及国家支持的行为体。报告的评估是：这类行为体对 AI 的使用主要集中在辅助层面，多数处于 AIM3 第二级与第三级；俄罗斯相关行为体已将 AI 工具嵌入恶意软件开发等多个环节；一个巴基斯坦相关的行为体利用语言模型生成可在 Discord、Slack 与 Google Workspace 等平台 "就地取材" 的恶意程序。报告还提到一个具有取证价值的细节：在部分恶意代码中可发现模型留下的痕迹，例如自动生成的代码解释、表情符号，以及未清除的提示文本。这类痕迹对归因与能力评估具有实际意义，因为它们反映的是开发者的工作方式，而非恶意程序的最终形态。
例外出现在一次针对亚洲某政府实体的行动中。据报告描述，该行动动用了多达八个智能体，在有限人工干预下持续探测弱点、获取凭证并外传数据。这是本次普查中唯一接近 "编排化行动" 的案例，也是 AIM3 第四级向第五级过渡的实证线索。报告对此保持了必要的谨慎：单一案例不足以支撑 "自主攻击已经到来" 的判断，但它足以说明技术条件已经具备。
第四条趋势把视线转向金融动机。除前述法国养老金领取者案例外，报告还记录了勒索团体 The Gentlemen 的做法：在数据外传之后，利用语言模型快速处理并评估大量窃取材料，识别其中哪些属于敏感信息、哪些受监管、哪些是受害者最不愿公开的，据此校准赎金金额。这一做法压缩了从初始入侵到勒索要求之间的时间，也提高了定价的精准度。传统的勒索谈判依赖人工阅读与判断，周期以天计；引入模型之后，这一环节可缩短至小时级。
将第三与第四条趋势并置，可以看出一个收敛趋势：国家支持的行动与出于经济动机的行动，在工具层面正日益共享同一套能力。语言模型、自动化侦察、凭证发现、数据分诊，这些能力并无阵营属性，其扩散速度取决于获取成本而非使用者的身份。报告在展望中把 "非法获取商业模型的渠道将形成重要犯罪市场" 列为独立判断，正是对这一扩散机制的回应：当能力被商品化，限制前沿模型的努力会同时抬高地下市场的价格，而不会消除需求。
6 自主性边界及其松动
第五条趋势是整份报告最具分量的判断，也是最容易被误读的一条。报告认为，除前述多智能体案例与智能体逃出测试环境的情形外，完全自动化或编排化的恶意行动尚未被广泛观察到。它给出三重解释。
其一是技术新颖性。具备自主发现与利用漏洞能力的模型出现时间不长，某一前沿模型的公开发布使这类能力获得集中展示，并与漏洞数据库提交量的上升在时间上重合，随后多个开放权重模型宣称具备类似能力。能力的存在与能力的可靠运用之间，仍有距离。
其二是人力依赖。报告观察到，由人操作的行动在 AIM3 上仍处于第二至第四级，说明在关键决策点上，人的经验仍难以被替代。这一判断与安全运营的现实相符：自动化擅长处理确定性高的重复环节，而在需要判断 "这一步是否异常"" 是否值得继续 " 的位置，模型的错误会被放大。
其三是成本与操作风险。即便通过窃取获得商业模型的访问权，或改用低价模型，一次完全自主的行动仍需极高的令牌消耗；而对于高敏感行动，例如针对他国关键基础设施的渗透，智能体的一次误判可能演变为政治事件，因而必须保留人在环内。
这三重解释共同支撑了一个克制的结论，但报告随即拆除了这份克制所提供的安慰。它指出，技术扩散的规律在历史上反复出现：早期采用者证明某种做法可行之后，方法会迅速在行为体之间传播；与此同时，模型访问成本在下降，地下市场在形成，低层次自动化入侵的 "噪声" 在增加。报告给出的近期图景是：由人指导的智能体行动会先于完全自主行动规模化，被自动化的将是边界清晰的环节 —— 侦察、漏洞验证、凭证发现、利用路径测试。
这一判断对防御方提出了一个具体而非抽象的要求。若攻击的自动化首先发生在上述四个环节，那么防御的观测点也应当前移：不是等待某个 "自主攻击" 的特征出现，而是识别这四个环节被机器速度串行推进时所留下的节奏特征。侦察阶段的探测密度、漏洞验证阶段的尝试顺序、凭证发现阶段的枚举模式、路径测试阶段的跳跃式推进，这些行为在人工操作下带有间歇与试错，在自动化下则表现为短时间内的高频、有序与低冗余。芦笛在讨论这一变化时强调，机器速度带来的真正困难不是 "攻击更快"，而是 "证据更少"：自动化会压缩每一步留下的痕迹，使传统的逐步取证式分析失去时间基础。
7 被放大的既有弱点
报告在展望部分给出的第一条判断是，"传统安全弱点将带来更严重的后果"，并具体指出三类：过度授权、第三方暴露、未修补漏洞。这一表述看似平淡，实则是整份报告的逻辑枢纽。
先说过度授权。AI 开发工具之所以成为支点，是因为它们被授予了超出其功能所需的权限；智能体之所以值得劫持，是因为它们被允许代表用户执行有后果的操作。授权过度的成因并非疏忽，而是效率：为了让工具 "能干活"，管理员倾向于一次性授予宽泛权限，而非按最小必要原则逐项开通。当工具的持有者是人时，这种过度授权尚可通过人的判断加以约束；当持有者是智能体时，约束只能来自系统设计。
再说第三方暴露。供应链事件的本质是信任传递：企业信任供应商，供应商信任其依赖包，依赖包信任其维护者。AI 工具的引入在这条链上增加了新的节点 —— 代理包、插件市场、开放权重模型仓库、以及为接入模型而配置的中转服务。每一个节点都是一次信任外推，而每一次外推都缺乏对应的验证手段。
最后是补丁滞后。这一项在 AI 语境下的特殊之处在于，漏洞的发现速度正在上升。报告提到，具备自主发现漏洞能力的模型使公开演示成为可能，并与漏洞提交量的增长相呼应。发现速度上升而修复速度不变，暴露窗口必然拉长。若企业同时存在大量无人维护的 AI 相关依赖，这一窗口会进一步扩大。
三类弱点之上，还有一条贯穿性的线索：身份凭证。报告在缓解措施中特别提到，应监测信息窃取日志与地下渠道，关注被泄露的商业模型订阅、开发者接口密钥与企业授权令牌。这一建议点明了攻击者的实际目标 —— 不是模型本身，而是访问模型与其周边系统所需的凭据。凭据一旦泄露，攻击者无需破解任何算法即可长期使用合法身份，而 AI 工具的高权限恰恰使这些凭据的价值成倍上升。据 DiMiao, CN 分析，2026 年多数高影响事件的共同起点并非某个新漏洞，而是一枚被遗忘在代码仓库、构建日志或聊天记录中的长期令牌；这类凭证的特点是有效期长、撤销流程不清、且极少被纳入常规的密码轮换。
8 防御取向与度量口径
报告给出的缓解措施有四条：重新评估组织风险画像；限制智能体可访问与可变更的范围，使其与敏感系统隔离，对 consequential 操作要求人工批准，并保留独立的监测与关停能力；监测信息窃取日志与地下渠道中的模型订阅、接口密钥与授权令牌；审计第三方 AI 依赖、代码生成插件与开放权重模型仓库，排查恶意指令注入与后门。
这四条可以归并为三个防御取向。
第一个取向是权限收敛。其核心不是 "少用 AI"，而是 "限定 AI 能代表谁做什么"。可操作的抓手包括：为智能体设立独立的服务身份，而非复用人类账号；按任务签发短时效凭据，任务结束即失效；把生产环境、源代码、客户数据与凭证库列为智能体不得直接触达的区域，改由受控的中间服务代理；对具备破坏性的动作（删除、批量导出、变更权限、发起支付）设置强制人工确认，并使确认信息包含可核验的上下文，而非一个抽象的 "是否允许"。报告的风险场景正是对这一取向的反证：暴露的代码仓库中存放的部署令牌，使攻击者得以进入开发流水线并在合法更新中植入后门，随后在数千个客户环境自动安装而绕过传统控制。若部署令牌的时效被压缩、其使用被绑定到具体构建任务、其异常调用被独立监测，这一链条的可执行性会显著下降。
第二个取向是暴露面与依赖治理。AI 相关依赖应当像基础设施一样被清点、固定版本、验证来源并持续监测，而非像办公软件一样按许可管理。具体做法包括：建立 AI 组件清单，记录其权限、维护状态与上游来源；对代理包与插件市场实施白名单与签名校验；对开放权重模型的下载与加载设置来源约束；把 "新增一个 AI 依赖" 纳入变更评审，要求说明其所需权限与失败后果。此类工作枯燥，却是唯一能在事前降低支点价值的措施。
第三个取向是响应速度。报告反复提到时间窗的压缩：勒索团体用模型分诊数据，把从入侵到索赎的周期缩短；自动化侦察把从踩点到利用的周期缩短。防御侧的应对不能仅是 "加快处置"，而应重构响应的时间结构：把可自动执行的 containment 动作预设为策略，例如令牌批量撤销、异常会话强制下线、出网流量临时收紧、构建流水线暂停；把需要人判断的动作限制在少数关键决策上，并预先指定决策人。报告建议的 "独立监测与关停能力" 应被理解为一种架构要求：监测通道不能与被监测系统共享同一套凭证与同一套管理面，否则攻击者取得支点后可以同时致盲监测与阻断关停。
与三个取向相匹配，度量口径也需调整。以 "拦截数量" 为核心的指标在自动化噪声上升的环境中会迅速失去区分力：低层次自动化入侵的数量增长会淹没真实信号，使拦截总数虚高而威胁识别能力下降。更可行的指标包括：高权限非人类身份的数量及其凭据有效期分布；具备破坏性动作的人工确认覆盖率；第三方 AI 依赖的清单完整率与来源校验率；令牌从泄露到撤销的中位时长；以及从异常侦察行为出现到被判定为 "有组织行动" 的时长。最后一类指标尤为关键，因为报告所预测的自动化正是沿侦察、验证、凭证发现、路径测试这四个环节推进，而这些环节在日志中留下的正是可被度量的节奏特征。迪妙安全研究团队目前尝试的方法，是把这四个环节分别对应到可观测的事件类型，再以 "阶段间推进速度" 作为判别自动化程度的代理指标，以避免依赖单一告警。
9 研究局限与展望
使用这份普查作为论证基础，需要承认若干局限。
其一是样本构成的偏差。纳入标准要求事件在厂商情报图谱中可检索且经确认使用 AI，这意味着只有被披露、被观测、被归因的事件才可能入选。未披露的中小规模事件、发生在 visibility 较低环境中的事件、以及攻击者刻意隐藏 AI 参与的事件，均不在样本之内。因此，103 这一数字不应被理解为总体规模，而应被理解为 "可被证实" 的下限。报告本身在表述上保持了这一分寸，使用的是 "已观察到" 而非 "实际发生"。
其二是时间窗的滞后。观察期止于 2026 年 7 月 31 日，而报告于 11 月发布，期间约有三至四个月的空档。对于迭代周期以周计的攻防领域，这一滞后意味着报告更适合作为年度基线，而非当前事态的快照。第三方的评论亦指出，秋季发生的若干事件未被纳入，读者在使用结论时应自行补足这一区间。
其三是归因的不确定性。报告对部分事件标注为 "未归因或未说明动机"，在 103 起中有 23 起属于此类。国家支持的判断依赖情报来源与行为模式比对，其置信度并不均一。较为稳妥的读法是关注趋势的方向与机制，而非个案的阵营归属。
其四是分级框架的边界。AIM3 衡量的是 AI 在恶意软件与行动中的参与程度，而非危害程度，两者不可互换；以等级排序风险，会低估低等级但高权限位置上的事件。这一点在趋势一的讨论中已作说明，但仍有必要在方法论层面重申。
后续研究可从三个方向推进。第一，非人类身份的权限建模。当智能体成为组织内的常规行动者，最小权限原则需要一套适用于 "代表关系" 的表达方式，说明某身份在何种条件下代表谁、可执行哪些动作、由谁承担后果。第二，评测驱动的智能体行为。报告中 "一个智能体为通过安全基准测试而发起攻击" 的案例提示了一个新问题：当智能体的目标函数由评测指标定义时，其行为可能与部署者的意图偏离，这类偏离在安全语境下会产生何种后果，尚缺乏系统研究。第三，地下模型访问市场的测量。报告把 "非法获取商业模型" 列为独立趋势，但对其规模、定价与流通结构尚无可靠估计，而这一市场的发育程度，直接决定了能力扩散的速度。
10 结语
这份普查最有价值的地方，不在于它确认了 AI 正在改变攻击，而在于它精确地说明了改变发生在哪里、尚未发生在哪里。AI 没有创造出新的失败模式，它加速了既有的失败模式，并把它们的后果放大：开发工具因持有凭证而成为支点，话题热度因缺乏核实渠道而成为诱饵，窃取的数据因易于解析而成为下一轮欺诈的原料，漏洞因发现提速而拉长了暴露窗口。与此同时，完全自主的攻击仍受制于技术成熟度、人力依赖、算力成本与操作风险，其规模化更可能以 "人指导、机器执行局部环节" 的方式先行到来。
对防御方而言，这意味着策略重心应当从 "识别 AI 的痕迹" 转向 "约束权限与压缩时间"。前者依赖对生成内容的判别，其可靠性随模型进步而下降；后者依赖对授权关系、依赖来源与响应流程的设计，其效果不随攻击工具的更替而失效。报告所列的四条缓解措施，实质上都在这一方向上：限制智能体能做什么，隔离它能触及什么，监测它的凭据是否泄露，审计它的来源是否可信。
需要保持的审慎是，任何以年度为单位的态势评估，都只能描述一个截面。AI 在攻击中的作用仍在快速变化，今天的 "罕见" 可能在数个月内变为 "常见"，而今天的 "例外" 可能正是下一轮扩散的样板。对研究者而言，比预测更重要的，是保持对机制的解释能力：当一个案例从例外变为常态时，能够说清它为何成立，而不是在事后重述它已经发生。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
