AI 已经被用于网络行动之中
与国家有关联的行为者与犯罪团伙,正在把通用 AI 用于侦察、翻译、脚本编写、钓鱼内容生成、漏洞分析,以及与恶意软件相关的工作。OpenAI 与 Microsoft 在2024年报告称,与中国、俄罗斯、伊朗及朝鲜相关联的团伙存在此类使用行为,但同时也表示,尚未发现任何一起重大攻击是唯独因为使用了它们的模型才得以实现的(OpenAI 与 Microsoft 联合披露)。
2025年11月,Anthropic 报告称,一个受中国国家支持的团伙,在一场网络间谍活动中使用了 Claude Code,并将大部分战术性工作归因于该模型。Anthropic 将其称为首例有据可查、且人为干预程度极低的大规模行动。这份说法是重要的企业自我报告,而不是一起经独立重建的公开事件:敏感细节与遥测数据,外部研究者无法获得,而「80%至90%」这一自动化程度的估算,也取决于任务的具体计算方式(Anthropic 披露信息)。
2026年版《国际人工智能安全报告》给出了一个经过审慎校准的结论:网络能力正在提升,攻击者也在采用 AI,但目前尚未有任何一起完全自动化、端到端的攻击被公开报告,其对整体攻击频率的影响也依然不明朗(2026年《国际人工智能安全报告》)。
AI 能够改变工作流程的哪些环节
一次网络行动是一条链条,而不是单单一条提示词。攻击者需要锁定目标、收集信息、获取访问权限、在网络中横向移动、提升权限、规避检测,并进而实施窃取或破坏。AI 可以加速这条链条中的部分环节,例如搜索大型代码库、生成变体、翻译技术材料,或协调重复性的操作。
最为扎实的能力证据,出现在漏洞发现这一领域。AI 系统已经发现过真实存在的软件缺陷,而美国国防高级研究计划局(DARPA)AI 网络挑战赛中的参赛团队,也运用 AI 与传统工具相结合的方式,分析并修补了开源软件(DARPA AIxCC)。漏洞发现本身是一种军民两用的能力:防御方可以借此修补缺陷,攻击方则可以借此加以利用。一项发现最终是提升还是削弱了安全性,取决于谁先发现它、披露方式如何处理,以及受影响的系统能多快完成更新。
智能体也可能在不创造任何全新专业知识的情况下,降低对技能与时间的要求。一名本已具备能力的操作者,可以把日常性的子任务委派出去,并以更大的规模开展行动。而一名新手,虽然能拿到看起来颇为可信的代码,却可能缺乏调试或隐藏这些代码所需的判断力。基准测试通常采用干净利落的夺旗竞赛场景,或已知的漏洞,因此,测试中的优异表现,并不会自动转化为在一个设有防御的企业环境中的实际能力。
为什么基础设施值得特别关注
电力、供水、通信、交通、医疗系统与金融清算,都依赖于相互连接的数字技术与运营技术。其中一些设备,更换周期漫长、日志记录有限、可用性要求脆弱,或依然使用老旧协议。运营方在安装一次普通的补丁之前,往往必须先测试其对停机时间与安全性的影响,否则无法贸然操作。
尽管如此,「关键基础设施」并非在各处都同等程度地暴露在风险之中。有些系统实现了隔离、依靠人工控制,或受到严格的行业性监管。许多事件的起点,都是一些常见的薄弱环节——被盗的凭证、未打补丁且面向互联网的系统、供应商访问权限、糟糕的备份机制,或社会工程学攻击——而不是某种由 AI 设计出的新奇漏洞利用手段。AI 可以强化这些既有的入侵途径,但基础的安全措施,依然极具现实意义。
后果同样各不相同。企业邮箱被攻陷,与对物理设备的实际控制,是两回事。任何关于一起灾难性基础设施攻击的说法,都应当说明从数字访问权限到实际物理伤害之间的具体路径、其中涉及的安全联锁机制,以及攻击者维持访问权限的能力。如果在防御层面回避这些细节,就可能把一个看似合理的情景,变成一个缺乏证据支撑的耸动标题。
攻防平衡尚无定论
人们很容易脱口而出:攻击者只需成功一次,防御者却必须每次都成功。这句口号确实捕捉到了一种不对称性,却忽略了其他的不对称之处。防御方掌控着架构、身份认证、补丁管理、监测、备份与恢复。防御性 AI 能够检查的代码与遥测数据量,远超人类团队,能够对告警进行优先级排序、在发布前发现缺陷,并实现补救措施的自动化。而攻击者往往必须保持隐蔽、维持访问权限,并适应一个自己并不掌控的环境。
《国际人工智能安全报告》明确指出,通用 AI 究竟会让攻击方还是防御方获益更多,目前尚不明朗。这种不确定性,正是最为准确的预测本身。不同行业、不同时期的结果也可能各不相同:攻击方可能先从一项新能力中获益,随后随着工具与补丁的扩散,防御方才随之受益。开源组件既能迅速传播漏洞,也能迅速传播修复方案。
AI 系统本身也制造出了新的攻击面。提示词注入,可能让一个智能体去执行隐藏在邮件、文档或网页中的恶意指令。过度的工具权限,可能让一次模型层面的错误,演变成数据丢失。模型供应链、插件、记忆存储与凭证,同样需要遵循与其他软件一样的最小权限与隔离原则——外加针对模型特有行为的全新测试。
什么才算是充分的证据
网络方面的种种说法,很难被真正归因。一家威胁情报公司或 AI 开发商,只能看到自己的遥测数据,并且可能存在商业上的利益动机。受害者也可能选择不披露事件。攻击者可以同时使用多种模型与传统工具,这使得 AI 所带来的边际影响,变得难以单独剥离出来。
基准测试可能因数据污染或不切实际的脚手架设计而高估能力,也可能因诱导方式不当而低估能力。相关报告应当披露模型版本、智能体所用工具、任务的新颖程度、人工协助情况、成功标准、重复试验的比例,以及目标究竟是模拟出来的还是真实存在的。独立复现与负责任的披露,能够增强人们对结果的信心。
最重要的是,要把「观察到的采用情况」与「因果层面的实际影响」区分开来。「某个攻击者使用了 AI」这一事实,并不能证明正是 AI 促成了这次入侵、加剧了损害,或改变了这次行动的结局。与此同时,缺乏公开的归因,也不能证明 AI 就没有参与其中。标注置信程度的说法,要比斩钉截铁的断言更为诚实。
在各种能力情景下都行之有效的防御措施
基础设施运营方应当清点自身的资产与依赖关系、对运营技术进行隔离、要求采用抗钓鱼的多因素认证、把常设权限降到最低,并监测远程访问与供应商访问情况。经过测试的离线备份与人工恢复流程,能够同时限制 AI 助力的攻击与普通勒索软件所造成的影响。采购环节应当要求安全的开发实践,以及及时的漏洞处理机制。
AI 智能体需要受限的权限、隔离的执行环境、日志记录,以及针对不可逆操作的人工授权。来自不可信来源的输入,都应当被当作具有敌意的内容来处理。各类组织在把智能体接入生产系统之前,应当先针对提示词注入、凭证泄露与工具滥用等情形,开展红队测试。
各国政府可以支持行业内的信息共享、最低网络安全标准、协同披露机制、人才培养,以及包含物理层面恢复演练在内的应急演习。模型开发者则可以监测滥用行为、保留证据、负责任地共享相关指标,并向具备资质的外部评估者,开放对网络能力测试的访问权限。
经过审慎校准的结论
AI 在网络领域的相关性,已经从一种假设性的可能,变成了有据可查的实际使用。它能够自动化完成行动中的一部分重要环节,并改善漏洞发现的效率。目前最有力的公开证据,尚不能证明存在完全自主、端到端的网络行动,也不能证明在可预见的未来,攻击方一定会领先于防御方。
这项风险是严肃真实的,因为相关能力可以规模化、基础设施中存在着长期存在的薄弱环节,而智能体的行动速度也可能快于人工审查。与此同时,机遇同样是具体而实在的:同样的这些系统,也能够发现并修复漏洞。相关政策应当去衡量实际结果、加固系统、保留防御方面的访问权限,而不应把一种本身仍存在争议的攻防平衡,当作一条已经确立的定律。