所谓“基于人工智能的网络攻击”，是指在攻击过程中，人工智能工具协助完成一个或多个阶段（例如侦察、漏洞扫描、钓鱼内容制作或代码生成）的入侵行为，而非由人工智能模型在无需人类指导的情况下自行策划和执行的攻击。OpenAI 和 Anthropic 发出的警告所描述的正是这种“辅助型”模型，而非自主的人工智能攻击者。 |
|---|
主要收获
- OpenAI 和 Anthropic 与另外 100 多家公司一道发出警告称， 人工智能正在降低网络攻击的技术门槛
- CrowdStrike记录了一起 针对韩国银行的AI辅助攻击活动 ，该攻击利用了基于DeepSeek后端的ARTEX工具集，并存在Claude Code的会话记录
- 预防性控制措施（包括文件清理和执行前分析）可降低遭遇人工智能生成恶意软件的风险，但在此基础上，检测和响应措施依然必不可少。
- 安全负责人可立即采取行动：优先处理已暴露的高风险漏洞，加强访问控制，检查并清理不可信文件，测试现有防御措施，并确认事件响应准备就绪
- 据报道，OpenAI和Anthropic正在演练 “事后”应对方案 ，以应对重大AI辅助攻击后可能引发的公众反弹，不过这并非OpenAI已确认的时间表
OpenAI 和 Anthropic 实际上在筹划什么
OpenAI 和 Anthropic 将一场由人工智能协助的大规模网络攻击视为一项防备工作。2026 年 8 月，这两家公司与另外 100 多家组织共同签署了 一封公开信 ，警告称人工智能正在削弱曾经能延缓攻击者的成本和技能壁垒，并呼吁防御方在这种转变加速之前，解决其已积累的漏洞和配置错误。该公开信将此视为任何运行暴露基础设施的组织的共同风险，而不仅仅是针对高知名度目标。
这种准备工作还体现在这些公司对公众反应的预期上。据 Axios的报道，OpenAI和Anthropic正在私下演练“事后”计划、沟通策略及应对方案，以应对重大AI辅助攻击发生后可能引发的公众愤怒，消息人士称这一时间窗口为6至12个月。该时间线源自Axios的消息来源，并非OpenAI自身发布的预测，且OpenAI已表示其自身的应急预案并非必然结果。
对于安全负责人而言，这种区分的重要性远不如发展方向重要。无论时间窗口是六个月还是两年，开发这些人工智能系统的企业已经将“辅助攻击”视为近期运营中的现实，这足以成为优先部署下文所述防御措施的理由。
人工智能辅助攻击已现身何处
除了关于未来可能发生情况的警告之外，关于人工智能辅助攻击的证据已经存在。最明显的公开案例是针对韩国金融机构的攻击活动，CrowdStrike公司在对一套名为ARTEX的工具集的研究中对此进行了记录。
CrowdStrike 的报告 发现该威胁行为者使用了ARTEX（一个主要基于DeepSeek后端构建的框架），同时还在同一攻击者基础设施中发现了Claude Code的会话历史记录。该报告还指出，受影响的组织数量目前尚未得到确认。
该研究并未指名道姓地指出是哪款杀毒软件未能检测到该活动，也没有提供任何依据来预测未来事件的规模。记录显示，在一次已记录的攻击活动中，背后使用了一套多种工具的组合，但这并不意味着任何单一的人工智能模型执行了所有攻击阶段。
然而，OpenAI、Anthropic以及其他100多家组织于2026年8月发布的行业公开信，关注的重点并非已观察到的攻击，而是对人工智能驱动的攻击未来可能的发展方向所表达的担忧。
人工智能如何改变网络攻击
人工智能改变了攻击的经济性：它缩短了每个阶段以往所需的时间，并降低了对专业技能的要求。漏洞研究便是最明显的例子。人工智能工具能够比单独工作的分析师更快地扫描代码和配置以查找漏洞，并在发现漏洞后立即编写利用代码。这将一个原本需要专业团队花费数天才能完成的流程大幅压缩。
各阶段之间的协调是第二项变化。上文提到的ARTEX行动表明，人工智能工具可在单一行动中协助侦察、工具准备和执行工作，将此前需要由具备多样化且各自独立培养的技能的团队来完成的各个步骤联系起来。
综合来看，这些能力表明攻击者将进行更多尝试并加快迭代速度。这一解读基于CrowdStrike的研究以及行业公开信中提出的担忧，而非对新攻击事件的经确认统计数据。
该 由OpenAI牵头的行业公开信 指出，相同的基础人工智能能力能够帮助防御方解决已积累的漏洞和配置错误问题——通过自动化分诊、补丁验证和日志分析，实现安全团队仅靠人力难以企及的大规模处理能力。攻击工具和防御工具正基于相同的技术不断发展。
为何预防必须与筛查相辅相成
威胁检测与消除危害的可能性是两种不同的安全功能。人工智能辅助的攻击使得这一区别至关重要：仅依赖检测的组织，无异于押注于每次攻击都会与它以往见过的攻击如出一辙。
检测与预防：二者各自的作用是什么
- 检测通过将文件或操作与已知的特征码、启发式规则或行为模型进行比对，来识别恶意行为，通常是在该文件或操作已出现在环境中之后进行的。
- 预防措施会在文件执行之前就消除或限制其功能，无论检测引擎是否将其识别为威胁
检测只能捕捉到它所观察到的或经过训练识别的内容。预防则无需识别威胁即可将其消除。
Deep CDR™ 技术的应用场景
Deep CDR™ 技术 是我们的内容无害化与重建技术。该技术并非通过扫描文件来查找已知的恶意模式，而是剥离其中的活动内容，并将文件重建为干净且可用的版本，这意味着它能够处理那些检测引擎尚未建立特征码的文件。
这还包括直接针对人工智能系统的攻击。在“EvilFont”攻击中，一种自定义字体会重新映射文档在人类读者眼中的显示内容与人工智能模型从同一文件中提取的内容，且不存在任何可供检测的结构异常或特征签名。Deep CDR™ 技术会在重建过程中移除嵌入的字体，从而彻底阻止此类攻击，无论该字体是否被识别为恶意。
Deep CDR™ 技术是更广泛的一套互补控制措施中的一个组成部分：
- 文件检查会在信任任何内容之前，先检查文件的类型和结构
- 执行前分析是在文件到达用户之前，在受控环境中对其行为进行评估
- Deep CDR™ 技术可移除或重建文件中任何活跃的内容，无论其是否被标记为恶意。
- 对于那些根本不会以文件形式出现的风险，检测和响应仍然必不可少
“预防优先”安全理念背后的论据
这一层层递进的案例正是 《颠覆网络安全》一书的核心论点，该书由OPSWAT 创始人兼首席执行官本尼·查尔尼（Benny Czarny）所著。书中指出，基于可检测性假设的安全策略正日益显露不足，原因很简单：无论是员工打开的文件，还是通过电子邮件收到的文件，仅靠检测手段都无法彻底解决安全问题——无论这些文件是否由人工智能生成。
这种视角比任何具体的运行速度说法都更为重要。无论攻击者是利用人工智能生成恶意软件，还是手动编写，所面临的风险都是一样的：在任何人评估其安全性之前，文件就已经进入系统。预防性控制措施可以消除这一风险，无论该文件是如何产生的。
MetaDefender Aether™ 的适用场景
Deep CDR™ 技术旨在提供文件的安全重建副本，但在以下三种情况下则需要采取不同的处理方式。
- 出于法律、合规或取证等原因，某些组织必须保留未经修改的原始文件，而重建的副本，从设计上讲，并非该原始文件
- 可执行文件、安装程序和脚本在设计上就是具有交互性的，因此删除其中的交互内容会导致用户所需的功能无法使用，因此需要对此作出裁决，而非重新构建。
- 此外，经过清理的文件本身也无法让安全团队了解威胁的具体性质、来源，以及它是否属于更广泛的攻击活动
MetaDefender Aether™通过在不修改文件的情况下对其进行分析，解决了上述三个问题。这是我们的五层零日漏洞检测解决方案，专为规避传统检测的全新隐蔽型恶意软件而设计。其静态分析层利用 Predictive Alin AI，在执行前预测恶意意图，无需依赖签名或触发测试。 高可信度的安全文件将在几毫秒内通过验证，高可信度的恶意文件将被拦截，而状态不确定的文件则会转入基于模拟技术的沙箱中进行动态分析。在沙箱中确认的零日漏洞会反馈至 Predictive Alin AI，从而使每次检测都能增强未来的检测能力。
MetaDefender Aether 还允许团队在“速度”与“深度”之间进行选择。侧重速度的分析能在最短时间内得出结论，适合处理大量文件流；而深度分析则优先提取尽可能多的入侵指标，而非追求扫描速度，因此更适合调查和响应工作。
LLM Scanning将这一方法扩展到了 AI 本身；MetaDefender Aether 无需执行代码即可检测模型文件中嵌入的威胁，并针对运行中的大型语言模型（LLM）进行检测，以发现提示词注入和敏感数据泄露问题，因此，将开源和第三方模型引入其环境的团队可将其视为不可信文件。两者结合使用时，Deep CDR™ 技术可消除那些可以安全重建的内容，而MetaDefender Aether 则分析必须保持完整的内容。
安全负责人现在可以采取哪些措施
安全负责人无需等到确认发生人工智能驱动的攻击才采取行动。那些签署了2026年8月行业联名信的组织指出，有五个领域大多数安全团队已经能够掌握相关情况，即使这些领域近期并未被列为优先事项。
- 优先修复已公开的高风险漏洞：面向互联网的系统以及已知被利用的漏洞能为攻击者带来最高回报。应验证修复措施是否真正有效，而非仅仅将工单标记为已解决。
- 减少不必要的权限：加强访问控制，确保即使有一个账户遭到入侵或发生AI辅助的钓鱼攻击，也无法触及关键系统。
- 在使用前检查并清理不可信文件：默认将基于文件的攻击途径（如电子邮件附件、下载文件、可移动存储介质）视为可疑对象。
- 定期测试现有防御措施：过时的测试周期会导致已知的漏洞暴露的时间比大多数团队意识到的要长。
- 确认事件响应和恢复的准备情况：确保响应计划能够应对更快、由人工智能辅助的攻击时间线，而不仅仅是大多数计划所针对的较慢的攻击活动。
美国国会尚未通过具有约束力的人工智能安全要求，而自2026年以来一直争论不休的“紧急关闭开关”提案仍陷于停滞。这正是我们应当直接采取这五项措施，而不是等待可能需要数年才能出台的政策指令的又一个理由。
安全团队仍然需要保护那些被人工智能辅助攻击所针对的对象：文件、访问点以及流经其系统的数据。我们在不可信内容进入组织的各个入口处（包括电子邮件、文件传输、可移动存储介质和网络下载）集成了检查、清理和访问控制功能。
如果您想了解这些控制措施在贵组织实际处理的文件类型和入口点上具体如何应用，我们的团队可以带您完成一次工作流评估。
