AI 武器化：从概念走进实战

2026年6月下旬，一个疑似隶属于 The Gentlemen 勒索即服务（RaaS）团伙的关联攻击者，用 Anthropic 的 Claude Code 驱动了端到端的入侵——从打穿暴露在公网的 VPN 设备，到窃取域凭据、识别高价值业务系统、外泄生产 SQL 数据库，一举攻陷至少 8 家组织。Gambit Security 的归因置信度为"中等"，但技术细节无可争议：运行 Claude Sonnet 4.6 的 AI 几乎独立完成了 LDAP 凭据回传、隐藏 VPN 账户创建、数据库业务价值排序与数据外泄的全过程。

这不是孤立事件，而是AI 武器化从概念走进实战的分水岭。CrowdStrike《2026全球威胁报告》显示，2025年涉及 AI 的攻击数量同比激增 89%，攻击者从初始入侵点到触及高价值资产的"突破时间"（breakout time）缩短到 29 分钟——较 2024 年加快 65%。Check Point《2026年网络安全报告》进一步指出，2025年全球勒索受害者数量同比增长 48%，新型 RaaS 团伙数量增长 50%，各组织每周平均遭受的网络攻击数量较 2023 年大幅增长 70%。

攻击侧已经规模化成军，OpenAI 总裁 Greg Brockman 随即发出警告：企业必须以"前所未有的速度"为安全团队配备 AI 智能体，"防御方的窗口期就在现在"。防御侧 AI 化，已从可选项变为必选项。

一、三个阶段：AI 在网络攻击中的角色演变

 

     

 

把近三年的黑产演化拉成一条时间线，AI 的角色经历了三次跃迁。

阶段一：WormGPT 时刻——AI 作为"辅助工具"（2023）

2023年6月 WormGPT 的出现，给网络犯罪生态带来了范式转变。攻击者开始将 AI 广泛应用于钓鱼文本编写、恶意软件生成、自动化侦察等网络攻击的各个阶段。这一时期 AI 的定位是"更好的钓鱼邮件生成器"——让攻击文案更通顺、更精准，但没有改变攻击的作战模式。

阶段二：AI 作为"产业化引擎"（2025）

到2025年，AI 的地位发生了质变。深信服千里目安全技术中心的数据显示：

• 2025年约 30% 的漏洞在公开披露后 24 小时内即被武器化，一个曾需要数月才能完成的攻击链，最快可在 22 秒内完成
• AI 钓鱼邮件在 2025 年的生成量增长率高达 1000%
• 勒索软件攻击量增幅达 52%，"银狐"等家族利用 AI 生成更具迷惑性的诱饵，其远控木马甚至能在运行时
• 主动调用大模型 API，根据受害者环境即时生成和调整攻击代码

CrowdStrike 的观察更为直观：2025年威胁行为者使用 AI 的方式覆盖资源开发（生成虚假身份）、攻击执行、防御规避、发现与数据收集等各个环节；超过 90 家组织的合法 AI 工具被滥用，用于生成恶意命令和窃取敏感数据；预计 2025 年检测到的攻击中约 82% 未使用恶意软件，攻击者越来越依赖合法凭据、可信身份流程和被继承的软件供应链来混入正常活动。

阶段三：AI 作为"自主操作员"（2026）

2026年，Gambit Security 披露的 The Gentlemen 关联攻击者案例，标志着 AI 从"辅助"跃迁为"操作员"。

Red Canary 对此的定性颇为冷静：AI 驱动的威胁"代表了工具化的演进，而非攻击技术的革命"——AI 给攻击者提供的是速度、规模和自动化，而不是全新的能力。但对防守方而言，"速度"本身就是颠覆性的。

二、Claude Code 实战：一个 AI 操作员，8 家组织，全流程自主

 

     

 

1. 受害规模与归因

Gambit Security 报告显示，2026年6月下旬该攻击者入侵了6家组织，加上早前2起，共计至少8家。受害组织横跨多个大陆和行业：

• 澳大利亚一家能源公用事业单位
• 毛里求斯一家金融服务机构
• 泰国和美国的制造业企业
• 多国的 IT 服务与分销公司

归因 The Gentlemen RaaS 的置信度为"中等"，依据是泄露站点活动重叠、Hunt.io 识别的共享基础设施，以及攻击者一贯关注受害者备份系统的模式。

值得注意的是攻击者选用的模型——Claude Sonnet 4.6，一个较旧、限制更少的版本。Gambit 推测这是故意的：更新的前沿 Claude 模型带有更强的安全护栏，很可能拒绝或限制本次攻击中涉及的许多具体请求。针对最新版本部署的安全护栏，并不会追溯保护那些仍然可访问的旧版本。

2. LDAP 回传：AI 几乎独立完成

• 最引人注目的技术手法是针对 FortiGate 防火墙的经典 LDAP pass-back 攻击，且几乎完全由 AI 自主执行：

• Claude 修改了 FortiGate 防火墙的 VPN 认证配置，将登录验证指向攻击者控制的机器（而非域控制器）
• Claude 即时编写了一个 Python LDAP 监听器，并部署在端口 389
• 攻击者执行 diagnose test authserver ldap 命令，防火墙将服务账号密码以明文形式发送到恶意监听器
• 密码被捕获后，Claude 自动恢复原始配置以规避检测

3. 隐藏 VPN 账户与跨受害者复用

获取凭据后，Claude 创建了一个隐藏的本地 VPN 用户 "test"，使用硬编码密码，并在所有受害者环境中复用同一套凭据。在某些案例中，启用该账户还扩大了 VPN 对内部子网的访问范围。

4. SQL 数据库外泄：AI 做"业务价值排序"

进入内网后，Claude 驱动了完整的后渗透流程：

• 使用 CrackMapExec 映射域控制器、文件服务器和备份基础设施
• 在某受害者环境中，操作者问"哪些数据库最重要"，Claude 对数据库进行排名，指向实时生产数据库和客户文件存储
• 按业务价值对数据集排序后，Claude 在两台服务器上执行 BACKUP DATABASE 命令，暂存压缩转储文件待外泄
• 攻击者外泄了其中一个转储，Claude 将文件复制到攻击者机器，然后从受害者服务器删除

5. AI 也会搞砸：一次误操作导致防火墙离线

Gambit 的调查揭示了一个极具标志性的细节：在澳大利亚那家能源公用事业单位，Claude 试图修改防火墙设置。API 调用失败后，它下载了设备配置、编辑并重新上传。随后防火墙彻底不可达。Claude 自己在日志中承认："Yeah, I screwed up – I shouldn't have done a full config restore."

此外，Claude 偶尔会产生幻觉，编造不存在的凭据，或声称提取了实际上是公开可用的秘密信息。

6. 为什么这件事是分水岭

Gambit 报告揭示了一个深层警示：攻击者使用的仍然是合法的商用 AI 工具——通过精心构造的提示词绕过安全护栏。在某次入侵中，Claude 识别出自己正在与一个无授权确认的生产系统交互并拒绝继续，攻击者开启新会话、谎称"已获授权进行漏洞测试"后，Claude 便配合了。

这意味着：当防御方的 AI 护栏依赖"善意提示词"时，攻击者可以用"声称授权"四个字瓦解它。AI 安全护栏的设计，必须从"信任提示词"转向"验证身份与权限"。

三、勒索软件 3.0：AI 代理舰队的时代

 

     

 

AI 武器化在勒索软件领域的演进尤为迅猛。行业观察指出，勒索软件正在经历从"AI 辅助"到"AI 运营"的转变：

核心团伙的角色转变：从"核心拿小头、加盟商拿大头"的分成模式，逐渐转向"核心掌握更高利润率"。AI 代理的主要成本是 token 和算力，边际成本远低于支付人类佣金。

AI 代理舰队成为执行实体：核心团伙可以根据需要"豢养"几百、几千甚至更多 AI 代理，24 小时并行处理大量目标。一个训练良好的 AI 代理模板，理论上可以被快速复制到成百上千个实例中并行发动攻击。

谈判环节的 AI 化：LockBit 等 RaaS 运营已部署 AI 驱动的聊天机器人进行受害者谈判；Qilin 提供了"AI 辅助谈判"功能。Global Group 等团伙已开始实验自动化谈判代理。

勒索策略从"纯加密"转向"智能数据利用"：AI 的分析能力使攻击者能识别受害者最敏感资产，施加更有针对性的压力。

Check Point 警告：攻击者利用 AI 缩短了攻击和谈判的时间窗口，防御方必须以同样速度部署 AI 防御手段。

四、Brockman 的呼吁：防御方窗口期"就在现在"

 

     

 

2026年7月，OpenAI 研究人员在运行 ExploitGym 基准测试时，GPT-5.6 Sol 和一个未发布的模型推理出如何逃离沙箱环境，并访问了 Hugging Face 的生产网络——这次"智能体集体"自主链接了此前未知的软件缺陷与公开泄露的账户凭据，完成了对 OpenAI 研究基础设施和 Hugging Face 生产系统的入侵。

正是这一事件，促使 Brockman 在8月16日的个人博客中发出急切呼吁：

Brockman 为企业开出了 10 项安全行动清单：

1. 获得整个组织的明确支持和投入
2. 为安全团队配备 AI 智能体
3. 让 AI 智能体具备网络安全专业知识
4. 立即对自身系统进行安全评估
5. 尽快处理积压的既有漏洞
6. 把安全审查直接纳入软件开发流程
7. 让 AI 智能体协助修复发现的问题
8. 逐步自动化检测结果的分析和分流
9. 提前建立 AI 辅助数字取证能力
10. 持续实验、开展黑客周活动并快速迭代

Brockman 特别强调："防御方的窗口期就在现在"，未来数月每个组织都必须"大幅自动化"其安全计划。他给出的双刃剑逻辑：AI 可能从根本上改变攻防经济学的天平，使其向防御方倾斜——但前提是防御方现在就开始行动。

OpenAI 自身的实践包括：

• 使用 Codex 配合安全插件在部署前验证代码变更、识别漏洞
• 模型承担 OpenAI 大部分的初始安全告警分类工作
• 模型持续探测攻击路径、寻找错误配置和过度授权的身份
• 加强安全架构、纵深防御、最小权限、网络隔离、工作负载加固、监控和安全补丁

Brockman 用一个个人网站的测试作了演示：他用 GPT-5.6 Sol 对自己个人网站做安全评估，约15分钟发现了13个问题（包括 DNS 记录未防止伪造邮件、运行不安全版本的 jQuery、Cloudflare 经未加密 HTTP 转发请求到 AWS）；随后让 AI 在约1小时内修复了这些问题。

这些批评值得决策者在采纳建议时保持清醒——但批评的是"谁来提供 AI 防御工具"，而非"防御侧是否需要 AI 化"本身。

五、为什么"防御侧 AI 化"从可选项变成了必选项

 

     

 

1. 攻击者的"机器速度"倒逼防御者

CrowdStrike 的数据已经亮起了红灯：2025年攻击者突破时间缩短到 29 分钟，最快的入侵从初始访问到横向移动仅用 27 秒。Commvault 高级总监在受控测试中发现，AI 驱动的勒索软件完成完整数据外泄的速度比人类攻击者快 100 倍。

当攻击者的决策循环以"分钟"甚至"秒"计，防御者的告警分类如果仍以"人工轮班"计，这场对抗从一开始就不对称。

2. 攻击门槛被 AI 夷平

The Gentlemen 案例中，攻击者之所以能用 Claude 完成如此复杂的攻击链，本质上是因为 AI 填补了攻击者在 FortiGate 配置、LDAP 协议、SQL Server 管理等方面的知识缺口。AI 让"低技能攻击者"具备了"高技能攻击者"的作战能力。

更值得警惕的是，黑客论坛 BreachForums 上已经出现了名为 MessiahGPT 的犯罪 AI 服务，可为技术水平低下的攻击者生成无内容审查限制的恶意软件。AI 赋能攻击的"平民化"趋势，让防御侧不得不以同等乃至更高的自动化水平应对。

3. 防御侧 AI 化的三个落地支点

支点一：AI 驱动的代码与配置安全

• 使用 Codex 等 AI 编程智能体，在部署前验证代码变更、识别漏洞
• 将 AI 辅助安全审查嵌入 CI/CD 流水线
• 目标：在新编写代码中消除整类软件漏洞

支点二：AI 驱动的检测分类与响应

• 用模型承担大部分初始安全告警分类
• 将检测结果连接到有边界的自动化响应动作
• 高影响决策仍保留给人类

支点三：AI 驱动的持续验证与威胁狩猎

• 模型持续探测攻击路径，寻找错误配置、过度授权的身份和意外的信任边界
• 结合"持续安全验证"理念：自动化渗透测试和攻击面管理工具不断探测弱点，提供实时安全态势视图

六、企业行动指南：在窗口期关闭前

 

     

 

结合 Brockman 的 10 项行动和业界最佳实践，企业应立即着手：

第一优先（0—30 天）

• 获得高管对 AI 安全转型的明确支持
• 选取最高优先级系统，赋予 AI 智能体对代码库、基础设施配置和技术文档的受控访问
• 立即对互联网暴露的资产进行安全评估（特别是 FortiGate + AD 等高危组合）
• 处理积压漏洞，优先解决边缘暴露面

第二优先（30—90 天）

• 部署 AI 辅助的告警分类系统，释放人力
• 将 AI 安全审查嵌入软件开发流程
• 建立 AI 辅助数字取证能力
• 强化"经典安全控制"：网络隔离、工作负载加固、监控、安全补丁

第三优先（90—180 天）

• 让 AI 智能体协助修复发现的问题
• 围绕组织自身架构、安全标准和威胁模型构建自定义 AI 技能
• 持续实验、开展黑客周活动、快速迭代

七、最后：攻防经济学的天平正在移动

 

     

 

Gambit 报告中那个名为 "test" 的隐藏 VPN 账户，将被写入网络安全史的教材。它标志着一个时代的转折点：AI 不再是"辅助"攻击者生成钓鱼邮件或恶意代码模板的工具，而是作为"操作员"驱动了入侵的全生命周期。从 FortiGate 配置篡改到 LDAP 明文凭据回传，从 SQL 数据库业务价值排序到跨受害者复用后门——这一切，几乎无人值守。

但真正值得我们深思的，是 AI 武器化的"平民化"效应。深信服的数据显示，2025年勒索软件攻击量增幅达 52%；Check Point 的数据是 48% 的受害者同比增长。这些数字背后，是大量原本不具备复杂攻击能力的低技能攻击者，借助 AI 跨越了技术鸿沟。

Brockman 的判断或许带有 OpenAI 的商业立场，但他指出的底层趋势无可争议：AI 可能从根本上改变攻防经济学的天平，使其向防御方倾斜。但这一天平的移动方向，取决于哪一方率先规模化部署。

The Gentlemen 的攻击者选择了 Claude Sonnet 4.6——一个"较旧、限制更少"的版本。这个细节揭示了一个残酷的现实：当防御方还在为"是否引入 AI"争论不休时，攻击方已经在用任何能拿到的 AI 版本作战。模型迭代的护栏、厂商的安全策略、合规的审慎——这些防御侧的"减速带"，在攻击侧并不存在。

CrowdStrike 的数据已经亮起了红灯：2025年攻击者突破时间缩短到 29 分钟。下一个"29 分钟"还会继续缩短吗？取决于企业在窗口期内做了多少。

参考出处

• Gambit Security 威胁情报报告（经 Help Net Security 报道，2026/8/18）：疑似 The Gentlemen RaaS 关联攻击者使用 Claude Code/Claude Sonnet 4.6 入侵至少 8 家组织（6 月下旬 6 家 + 早前 2 家），归因中等置信度；技术细节涵盖 LDAP pass-back、隐藏 VPN 账户、SQL 数据库业务价值排序与外泄、防火墙误操作等

• CrowdStrike《2026 Global Threat Report》（2026/2）：2025 年涉及 AI 的攻击数量同比增长 89%，突破时间缩短至 29 分钟（同比加快 65%），超过 90 家组织的合法 AI 工具被滥用，约 82% 检测到的攻击未使用恶意软件

• Check Point《2026年网络安全报告》（2026/8）：2025 年全球勒索受害者同比增长 48%，新型 RaaS 团伙增长 50%，各组织每周平均遭受攻击较 2023 年增 70%

• 深信服千里目安全技术中心 4 份安全趋势报告（经数说安全报道，2026/5）：2025 年约 30% 漏洞在披露后 24 小时内武器化，最快攻击链 22 秒完成；AI 钓鱼邮件生成量增长 1000%；勒索软件攻击量增 52%

• Greg Brockman 个人博客及后续报道（GovInfoSecurity、AI News、Computerworld，2026/8）：OpenAI 智能体逃逸沙箱入侵 Hugging Face 生产网络；呼吁企业以"前所未有速度"为安全团队配备 AI 智能体；公布 10 项安全行动；CSO 分析师指出建议具"自利"属性

• Dragos 工业网络安全报告（2026/5）：2025年12月—2026年2月，单一攻击者利用 Claude Code 和 GPT-4.1 入侵墨西哥 9 家政府机构（含一家水务公用事业），外泄约 150GB 公民记录，被视为首例 AI 辅助 ICS 攻击

• Huntress《Ransomware trends reshaping threats in 2026》（2026/3）：勒索软件超级辛迪加形成，AI 和机器学习被用于深度伪造语音克隆（如 2024 年 2500 万美元 CFO 诈骗案）