防御 AI 辅助网络攻击：钓鱼、漏洞利用与智能体劫持

应对 AI 辅助攻击，需要减少账户失陷和已披露漏洞被利用的风险，并防止 AI 智能体在读取外部内容后执行未授权操作。 比起判断攻击消息是否由 AI 编写，检查身份验证、补丁、权限和对外传输控制是否实际生效，更能直接帮助防御。

本文面向运营服务或将 AI 智能体引入开发工作流的团队，讨论按攻击路径采取的应对措施和本地日志关联。以下运维流程是建议，并非某个组织的事故记录，也不代表实测防御效果。

利用 AI 攻击与攻击 AI

攻击者可以用 AI 整理目标信息，生成冒充身份的消息或代码。我们自己的 AI 智能体也可能成为攻击目标。例如，间接提示词注入会在外部文档中隐藏指令，诱导数据传输或部署配置变更。

英国 NCSC 对截至 2027 年的威胁评估预测，AI 将提升侦察、社会工程和漏洞研究等现有活动的效率。报告还评估，已知漏洞从披露到被利用之间的响应窗口可能进一步缩短。这些预测不应被解读为所有攻击都已完全自动化的观测事实。

攻击路径	攻击者目标	首先保护的边界
定向钓鱼和高管冒充	登录、账户恢复或付款审批	身份验证、恢复和独立核验渠道
辅助漏洞发现与利用	入侵暴露服务并窃取秘密信息	暴露资产、补丁和隔离
智能体提示词注入	未授权工具执行或对外传输	数据与指令分离；工具和网络权限

一次事故可能串联多条路径。如果账户失陷使恶意指令得以放入内部文档，就应同时调查身份与智能体防御。

通过身份验证和审批路径防御钓鱼

Microsoft 对高管冒充和发票欺诈的分析描述了一场结合伪造高管邮件、发票及伪装成转发对话内容的攻击活动。研究人员观察到了与 AI 辅助模板开发相符的迹象，但指出这些迹象无法确定 AI 生成了多少内容。特定标点或注释格式，不足以作为攻击分类规则的依据。

先检查以下运维边界：

• 登录： 对支持的账户部署 FIDO2 或通行密钥等抗钓鱼身份验证，并确认实际登录策略要求使用它。Microsoft 抗钓鱼 MFA 指南讨论了影响 SMS、OTP 和推送验证的拦截及疲劳风险，以及如何迁移到更强的方式。
• 恢复和注册： 帮助台注册新验证方式或恢复账户时，应使用可信的现有记录和独立流程核验身份。建立不能仅凭一封邮件或一次视频通话就批准恢复的运维规则。
• 业务审批： 对银行账户变更和共享秘密信息请求，应通过事先登记的联系方式或内部审批系统核验，而不是使用消息中的联系方式。付款欺诈可能在账户未失陷时得逞，因此单靠强化登录无法完成防御。

邮件防御应结合 SPF、DKIM、DMARC 和冒充检测。通过邮件身份验证，并不能证明相似域名或失陷合法账户发来的请求在业务上合法。抗钓鱼身份验证也无法解决所有会话被窃或终端失陷的情况。

漏洞响应优先考虑暴露程度和利用风险

当防守方等待攻击者使用 AI 的证据时，暴露服务仍处于脆弱状态。首先将每项面向互联网的服务与其产品、运行版本、负责人及补丁状态关联，再检查厂商公告和已观察到的漏洞利用信息。比起源代码或镜像标签已更改的记录，当前承载流量的实例是否运行修复版本更重要。

应综合外部暴露程度、已观察到的利用、可访问数据和权限，以及服务影响来确定响应优先级。如果难以立即打补丁，应采用厂商支持的缓解措施或限制暴露，并为例外记录负责人和重新评估时间。增加 WAF 规则并不会消除底层漏洞。

如果可能已经发生利用，应在打补丁的同时调查事故。保留进程、身份验证和对外通信记录；根据失陷范围，确定凭证轮换及使用可信镜像重建的措施。补丁成功并不能证明入侵痕迹或持久化已被清除。

不要将智能体读取的内容变成执行权限

AI 智能体读取 issue、仓库文件或网页时，内容可能由攻击者控制。若把“阅读本文后执行以下命令”之类的文本视为与用户已批准任务具有同等权限，信息检索就可能变成对外传输。

OWASP 提示词注入防护指南建议根据用户权限和会话上下文验证工具调用，验证工具特定参数，并落实最小权限。向输入添加警告，或要求模型忽略恶意指令，本身并不会强制约束执行权限。

应在模型之外的工具执行边界，强制限制每个用户和任务获准访问的资源与操作。使用只读账户和短期凭证，并按目的地、协议和数据范围限制网络传输。如果获准域名仍允许向攻击者账户或任意路径传输，仅有目的地白名单并不充分。为重要修改或传输获取审批时，应展示具体目标和变更。

记录任务 ID、执行身份、工具名称、策略判定和结果。将判定理由表示为可观测的策略代码，无需收集模型的隐藏推理。记录完整源文档、令牌或密码，可能形成另一个泄露点。运维授权边界参见 AI 智能体权限边界。

关联外部内容读取后的传输拒绝事件

下面的 Python 示例关联归属于可信执行器的合成事件。同一操作主体和运行 ID 在读取外部内容后的 300 秒内发生外部传输被拒绝时，它会标记一个调查候选。它既不识别提示词注入，也不阻止请求，而是假设独立的工具或网络策略已经产生拒绝事件。

图中概括处理单个事件的分支。右侧终止符号表示跳过当前事件，并非安全判定。代码对每个事件重复处理，并保存最近的读取时间戳。不满足条件的事件会被跳过。该图不代表完整的攻击检测或事故响应流程。

示例使用 Python 3.13.0 执行，不使用外部软件包、网络或生产日志。将其保存为 correlate.py。这里的 at 表示相对示例起点的秒数；实际采集需要同步的事件时间戳和稳定的运行 ID。不要信任文档文本或任意模型生成值来填充 kind 或标识符。

from dataclasses import dataclass


@dataclass(frozen=True)
class Event:
    at: int
    actor: str
    run: str
    kind: str


def correlate(events: list[Event], window: int = 300) -> list[tuple[str, str, int]]:
    if window < 0:
        raise ValueError("window")
    last_read: dict[tuple[str, str], int] = {}
    candidates = []
    for event in sorted(events, key=lambda item: item.at):
        key = (event.actor, event.run)
        if event.kind == "untrusted_read":
            last_read[key] = event.at
        elif event.kind == "egress_denied":
            read_at = last_read.get(key)
            if read_at is not None and 0 <= event.at - read_at <= window:
                candidates.append((event.actor, event.run, event.at))
    return candidates


if __name__ == "__main__":
    events = [
        Event(20, "agent-a", "run-1", "egress_denied"),
        Event(0, "agent-a", "run-1", "untrusted_read"),
        Event(30, "agent-a", "run-2", "egress_denied"),
        Event(40, "agent-b", "run-1", "egress_denied"),
        Event(301, "agent-a", "run-1", "egress_denied"),
    ]
    print(correlate(events))

python3 correlate.py

实际执行输出如下：

[('agent-a', 'run-1', 20)]

只选中同一运行在 20 秒时的事件。其他运行、其他操作主体和时间窗口之外的拒绝事件被排除。300 秒窗口是演示性选择，并非经过验证的安全阈值。时间接近不能证明注入导致了传输尝试。合法自动化也可能产生相同模式。

十三项独立本地检查覆盖了包含 300 秒的边界、301 秒排除、输入乱序、时间戳为零、操作主体及运行间隔离、没有读取的拒绝、成功传输和负窗口。还检测到了 三项回归变异：排除 300 秒边界、忽略操作主体，以及错误处理零时间戳。没有告警并不代表安全：该规则可能漏掉未被阻止的传输，以及日志缺失的情况。生产采用需要处理流延迟和乱序、状态过期、去重、重启恢复及误报评估。此批处理示例并未实现这些功能。

告警后验证执行结果并封堵损害路径

应检查执行器策略结果、网络和目的服务记录，而不是依赖智能体声称它阻止了操作。一个 egress_denied 事件说明特定尝试被拒绝，不能证明没有其他路径泄露数据。停止可疑运行，并使用其任务 ID 关联源数据访问、工具调用和对外通信。

情况	建议的初始响应	恢复前检查
钓鱼后疑似发生登录或账户变更	使相关会话和令牌失效，恢复账户，检查已注册验证方式和同意授权	移除攻击者添加的访问路径，验证合法登录
暴露服务疑似被利用	隔离受影响资产、保留证据、应用修复版本，并按需重建	验证运行版本和暴露情况；调查持久化与横向移动
智能体未授权调用	停止运行，撤销或轮换相关凭证，限制工具和传输路径	通过回归测试确认未授权请求被拒绝，已批准工作仍能成功

自动阻断可能中断服务，因此应按检测可信度和影响范围应用。如果遏制损害与保全证据冲突，应根据持续损害和采集成本决定顺序。向调查 AI 提供攻击者材料时，也必须分离工具和对外传输权限。国家安全机构联合发布的智能体 AI 采用指南将组件、集成和运维纳入风险评估范围。

先从一个对外暴露资产、一个重要账户和一个读取外部文档的智能体任务开始。分别关联实际强制控制、可调查日志及负责人能够执行的恢复流程。在重复测试中包含成功的合法请求，并检查改变拒绝边界是否会导致验证失败，如 AI 辅助 TDD 所示。