AI正在重塑网络攻击：从生成恶意软件到由大模型驱动的入侵

人工智能正在成为网络攻击中的一层“作战基础设施”。犯罪团伙和与国家相关的攻击者可以利用大语言模型（LLM）编写恶意软件组件、生成钓鱼邮件、排查脚本错误，并以传统流程难以匹敌的速度制作新变体。

但截至目前，最有把握的结论并不是“AI已经让黑客攻击完全自动化”，而是：AI正在加速并改造原本就存在的攻击方法。

最大变化：AI压缩了攻击周期

多数入侵仍然依赖人们熟悉的技术，例如钓鱼邮件、恶意脚本、远程访问木马（RAT）和数据窃取。AI改变的是这些技术的成本结构：攻击者不再需要投入同样多的时间和专业知识，就能完成初步开发和反复测试。

攻击者可以让LLM生成一段初始脚本，根据测试结果修改代码，把诱饵翻译成不同语言，或者为不同目标快速生成多个版本。这会降低试错成本，缩短从策划到部署的时间，也意味着防守方可能面对更多看似可信的攻击，并拥有更短的响应窗口。

因此，不能把所有带有“AI”字样的诱饵都称为“AI攻击”。目前的证据显示，AI参与攻击的程度存在明显差异：有时只是辅助编程，有时则已经进入攻击执行环节。

FunkSec：AI辅助构建勒索软件

卡巴斯基对FunkSec的研究提供了AI辅助恶意软件开发的案例。该勒索软件采用Rust编写，将加密、本地数据窃取和自我清理功能整合进同一个可执行文件。卡巴斯基还发现，与其相关的密码生成器和基础DDoS工具存在大语言模型合成代码的迹象。2839

这并不意味着LLM独立设计、部署并操控了整个攻击行动。更准确的说法是，生成式AI参与了具备实际功能的恶意软件组件开发，帮助攻击者以更少的人工开发工作，拼装出更加集成化的工具链。

RevengeHotels：AI强化传统钓鱼链条

2025年的RevengeHotels行动说明，AI更常见的作用是强化既有入侵方式，而不是完全取代它。卡巴斯基观察到，针对巴西及西班牙语市场酒店的攻击，会将钓鱼邮件伪装成预订请求、发票或求职申请。受害者随后被引导至仿冒文档存储服务的网站，脚本最终投递VenomRAT等远程访问木马。303136

卡巴斯基表示，攻击链最初的感染器和下载器代码中，有相当一部分似乎由大语言模型代理生成。28但整个行动仍然依赖传统的社会工程、脚本执行和RAT投递。AI的作用，是帮助攻击者更快地生成和改变感染链中的部分组件，从而更高效地针对不同地区和目标反复迭代。

这也解释了为什么“AI驱动攻击”如果缺少具体说明，容易造成误导。在RevengeHotels案例中，AI辅助代码生成被嵌入了一个传统的钓鱼行动之中。

LameHug：大模型进入攻击执行环节

现有证据中更值得关注的技术变化，是LameHug——部分报道也将其称为PROMPTSTEAL。与仅仅借助AI编写的恶意软件不同，LameHug在运行过程中直接调用了大语言模型。

根据基于乌克兰计算机应急响应小组（CERT-UA）报告的分析，该恶意软件会联系Hugging Face API，并调用阿里云的Qwen2.5-Coder-32B-Instruct模型，动态生成Windows命令。这些命令可用于收集系统信息，并搜索Office文档以便窃取。237

这种运行时调用会带来三个重要变化：

1. 命令序列不必在攻击开始前全部写死。 恶意软件可以根据预设指令和受感染系统的具体环境请求新的命令。
2. 攻击可以借助系统自带工具完成。 防御人员不能只寻找一个固定、醒目的恶意载荷，还需要分析命令的行为及其组合顺序。4
3. 恶意软件会产生外部依赖。 受感染设备向语言模型API发起异常出站请求，反而可能成为重要的检测线索。

LameHug并不能证明恶意软件已经实现自主作战。它证明的是，攻击者可以把LLM放进实际操作闭环，让模型在攻击过程中协助生成侦察和数据收集动作。

伪装成AI产品的诱饵正在增加

AI不仅被用于制造攻击，也正在被用作诱饵。2026年1月至4月，卡巴斯基安全产品检测到超过33,300起针对中小企业的攻击，其中恶意或不受欢迎的PC软件伪装成热门AI服务。卡巴斯基称，这一数字约为2025年同期的五倍。5051

需要注意的是，这些数据统计的是“伪装成AI服务的软件”，并不能证明每个载荷都由AI生成，也不能证明每次攻击都由AI系统执行。更稳妥的结论是：攻击者正在利用人们对热门AI品牌的信任，以及企业快速采用AI工具的趋势。

对员工来说，风险非常具体：一个假的图片生成器、聊天机器人客户端或生产力助手，都可能成为恶意软件的投递渠道。因此，即使诱饵看起来像AI产品，企业仍应坚持软件安装审批、官方来源下载和终端安全控制。

规模数据说明了暴露面，但不能证明AI因果

卡巴斯基的区域遥测数据显示，基于网页的威胁仍然广泛存在，但这些数字不应被当作“AI驱动攻击”的数量。2026年上半年，卡巴斯基称其系统在南非拦截了570万起来自在线资源的攻击，在肯尼亚拦截了450万起，在尼日利亚拦截了160万起。在其公布的中东、土耳其和非洲（META）地区数据集中，土耳其受到网页威胁影响的用户比例最高，为22.8%。14

这些统计覆盖通过网站、电子邮件和网络服务传播的威胁，说明的是网络攻击的广泛暴露面，而不是AI造成了这些攻击。区分两者，才能避免把一般性的网络威胁数据误读为自主攻击或AI生成攻击的证据。

为什么“适应性”比“完全自主化”更值得警惕

眼下最现实的安全风险，未必是突然出现一支能够完全自行作战的网络攻击军队，而是攻击链上许多“小幅提效”叠加后的结果：

• 更快起草和修改代码；
• 针对不同语言、行业和借口定制钓鱼邮件；
• 更快调试和重新打包脚本；
• 针对不同系统环境改变恶意软件行为；
• 在运行时调整侦察和数据收集步骤。

这些效率提升会降低入侵成本，让攻击者更容易开展更多试验，也可能帮助技术水平较低的操作者模仿过去需要专业人员才能完成的攻击手法。

对于安全团队规模有限、持有大量敏感数据，或依赖复杂第三方环境的组织而言，这种趋势尤其危险。不过，涉及关键基础设施的说法需要更高的证据门槛：必须有具体的入侵、影响和AI参与证据。攻击者单方面的声明，不足以证明这些事实。

企业应优先关注哪些防御信号

上述案例表明，企业需要采取分层、以行为为中心的防御策略。签名检测和已知指标拦截仍然重要，但安全团队也应监测能够暴露AI辅助或动态适应型攻击的行为。

值得关注的信号包括：

• Python或PyInstaller进程意外向语言模型服务发起出站连接；
• 通常不使用开发者或AI服务的终端出现Base64编码提示词或异常API调用；
• systeminfo、tasklist、dsquery或递归文件搜索等工具被串联执行；
• JavaScript、PowerShell及其他解释器出现可疑脚本活动；
• 异常的凭据访问、文档暂存或外传行为；
• 员工安装未经批准的AI应用或浏览器工具。

Splunk针对LameHug的检测建议，特别强调关注Python或PyInstaller进程连接Hugging Face API并调用Qwen模型的行为。4这说明防守方不必等到发现一个固定的恶意软件特征，也可以从围绕LLM攻击产生的异常行为入手。

结论：AI是攻击者的效率层，而不是传统黑客的替代品

AI正在深入网络攻击流程，因为它让既有攻击更容易生成、定制和修改。FunkSec和RevengeHotels展示了AI辅助的恶意软件开发；LameHug展示了攻击过程中实时查询LLM的做法；卡巴斯基针对中小企业的检测则表明，AI本身的流行度也正在成为攻击诱饵。283151

因此，最准确的描述不是“AI已经取代传统黑客技术”，而是：AI正在成为钓鱼、恶意软件开发、侦察和数据窃取中的效率与适应层。

企业需要为更高的攻击变化速度和更快的迭代做好准备，同时继续区分两类情况：一类是有证据证明AI实际参与其中的攻击，另一类只是借用AI品牌包装的普通网络犯罪。