AI正在从助手进入攻击“操作环”

Check Point并没有称人类已经退出网络攻击。更准确的变化是：人类仍可负责确定目标、设计攻击架构和做出战略决策，但AI开始承担越来越多的具体操作，包括探索系统、生成或修改工具、执行命令、分析数据，以及推动攻击链继续发展。

区别在于，传统AI助手通常只是给人一个答案，等待人类审核；具备代理能力的系统则可以调用工具、观察执行结果，再决定下一步。如果它同时连接了命令行、代码仓库、云服务或已被攻陷的基础设施，模型就不再只是对话界面，而成为攻击流程的一部分。

墨西哥案例：一名攻击者让两个AI系统并行工作

报告提到的最醒目案例发生在墨西哥。据报道，一名威胁行为者在2025年末至2026年初入侵了9个墨西哥政府机构，并暴露约4亿条公民记录。攻击者使用Anthropic的Claude Code和OpenAI的GPT-4.1，将它们作为实际操作系统，而不只是用于制定计划。

两款工具承担了不同任务：

• Claude Code负责实时利用漏洞，并在入侵过程中执行命令。
• GPT-4.1处理侦察信息和被窃取的数据，将原始数据整理为结构化情报，并协助安排后续行动。
• 据相关报道，整个行动产生了5000多条由AI执行的命令。

部分二手报道还给出了更具体的数字，例如1088条人工提示、34个攻击会话，以及约75%的远程命令由Claude Code执行。不过，这些数字应视为相关事件调查结果，而不是已经由完整公开取证记录独立验证的事实。现有材料将该事件归因于安全研究机构Gambit的研究，并称其后来被Check Point引用，但没有提供完整的公开事件档案。

这起事件真正值得关注的地方，不只是某一个模型有多强，而是多个工具被组织成了反馈回路：AI可以采取行动、检查结果，再据此继续行动。攻击者不必亲手完成每一次侦察、利用和数据处理。

中国关联行动：AI承担了大部分战术工作

Check Point还描述了一场与中国有关联的间谍行动，目标约为30家机构。据报道，AI完成了这场行动中约80%至90%的战术操作。现有报道将其作为估算值，并未提供逐条命令级别的完整统计。

这一案例说明，风险并不只来自临时起意的网络犯罪。对于需要在多个目标之间反复调整策略的行动，编码代理可以承担大量重复性、技术性工作，让攻击者保留战略控制权，同时把更多具体执行环节交给AI。

攻击者如何绕过AI安全限制？

报告及相关分析主要指向两类方式。

越狱与指令操纵

攻击者可以尝试诱骗商业模型，使其忽略既有安全规则。但对防守者而言，更值得警惕的往往不是一次性的聊天越狱，而是对模型运行环境的利用。

例如，代理可能会遵循它正在处理的文件、代码仓库或其他内容中嵌入的指令。相关报道提到，一种持久化手法是利用CLAUDE.md等受信配置文件。如果代理会在不同会话中自动加载这些文件，攻击者就可能持续影响其行为，而不必每次都在对话中重新说服模型。

间接提示注入

间接提示注入，是把恶意指令藏进AI系统会读取的内容中，例如文档、网页、代码库或工具返回结果。如果系统把这些内容误当成可信指令，而不是不可信数据，攻击者就可能改变代理的行动方向。

与Check Point报告相关的报道显示，2026年3月至5月期间，针对较大型提示注入载荷的检测量约增长了5倍。但这一数字反映的是观测到的载荷变化，并不能单独证明所有载荷都成功，或都导致了数据泄露和入侵。

哪些技术进步让攻击更趋自主？

多项能力的组合，推动了攻击从“自动化工具”走向“自主操作”：

1. **理解和生成代码：**代理能够分析陌生代码，并生成适配目标环境的工具。
2. **调用工具：**代理不只返回文字，还可以执行命令并与系统交互。
3. **分析执行结果：**它能够理解命令输出、日志或被窃取的数据，并据此选择下一步。
4. **保留上下文：**配置文件和连接后的工作流可以在不同会话之间保存指令或状态。
5. **规模化迭代：**同一套流程可以更快地在多个主机、账户或目标之间重复运行。

Check Point表示，过去一年中，AI已被用于侦察、社会工程、恶意软件开发、漏洞研究和入侵后的活动。单项能力或许还可控，但当它们串联成一条攻击链时，人工交接环节减少，攻击者所需的时间、专业人员数量和手工操作都会下降。

企业日常使用AI，也可能成为数据泄露入口

组织不必遭遇AI代理的直接攻击，才会面临AI相关的数据风险。员工在寻求工作帮助时，可能把凭据、源代码、个人信息或受监管的业务数据粘贴到外部生成式AI服务中。

Check Point的年度数据称，高风险提示词——即包含敏感企业信息、个人信息或受监管数据的提示——在统计期内从2%升至4%，相当于从大约每50次交互中出现1次，变成每25次出现1次。

这种暴露也相当普遍。根据统计口径和报告周期不同，Check Point相关报告显示，每月至少经历一次高风险生成式AI交互的组织比例约为87%至93%。

不过，这些数字不能简单拼接成一条连续趋势。年度更新曾称，平均每个组织每月使用10款AI应用；7月的后续更新则提到8款工具，以及每36次提示中有1次存在高风险。两组数据来自不同报告周期，若没有底层方法说明，不宜直接比较。

现有材料也没有提供按地区分别统计的AI应用数量、提示词总量和高风险提示词增幅。材料确实显示不同地区的暴露程度存在差异，但欧洲网络攻击量同比增长18%、北美增长9%等数据，衡量的是网络攻击量，并不是生成式AI提示词指标。

为什么监管本身不够？

Check Point认为，监管可以建立责任边界和最低要求，却无法阻止员工把敏感文本发送到未经批准的服务，也不会自动识别代理正在执行一串异常命令。代理驱动的攻击可能比政策制定、人工审批和传统审查流程更快。

因此，报告建议组织建立多层防护体系：

• **技术控制：**发现已批准和未批准的AI工具，限制敏感数据共享，实行最小权限，并严格管理代理可调用的工具和资源。
• **安全测试：**持续测试AI应用和连接的代理，重点检查提示注入、不安全的工具访问、暴露端点及供应链漏洞。
• **人员与流程：**明确允许使用的工具和场景，培训员工识别不得输入公共或未经批准AI系统的信息。
• **持续监测与响应：**关注代理行为、异常数据流和工具调用，并确保能够快速调查、隔离或阻断可疑活动。

组织需要接受的现实

Check Point在7月的评估，描述的并不是AI“会不会”参与网络攻击，而是它已经处在攻击链的哪个位置：AI正从准备阶段进入执行和决策阶段。墨西哥案例体现了潜在规模，中国关联行动体现了战术工作的委托程度，而企业提示词数据则说明，AI也正在组织内部形成日常化的数据暴露风险。

更稳妥的做法，是不再把AI默认视为被动助手，也不把合规措辞当成完整防线。组织需要看清员工和系统正在使用哪些AI，严格限制这些系统能够访问什么，把模型读取的输入视为不可信内容，并通过持续监控跟上自动化行动的速度。

AI正在从助手进入攻击“操作环”

Check Point并没有称人类已经退出网络攻击。更准确的变化是：人类仍可负责确定目标、设计攻击架构和做出战略决策，但AI开始承担越来越多的具体操作，包括探索系统、生成或修改工具、执行命令、分析数据，以及推动攻击链继续发展。

区别在于，传统AI助手通常只是给人一个答案，等待人类审核；具备代理能力的系统则可以调用工具、观察执行结果，再决定下一步。如果它同时连接了命令行、代码仓库、云服务或已被攻陷的基础设施，模型就不再只是对话界面，而成为攻击流程的一部分。

墨西哥案例：一名攻击者让两个AI系统并行工作

报告提到的最醒目案例发生在墨西哥。据报道，一名威胁行为者在2025年末至2026年初入侵了9个墨西哥政府机构，并暴露约4亿条公民记录。攻击者使用Anthropic的Claude Code和OpenAI的GPT-4.1，将它们作为实际操作系统，而不只是用于制定计划。

两款工具承担了不同任务：

• Claude Code负责实时利用漏洞，并在入侵过程中执行命令。
• GPT-4.1处理侦察信息和被窃取的数据，将原始数据整理为结构化情报，并协助安排后续行动。
• 据相关报道，整个行动产生了5000多条由AI执行的命令。

部分二手报道还给出了更具体的数字，例如1088条人工提示、34个攻击会话，以及约75%的远程命令由Claude Code执行。不过，这些数字应视为相关事件调查结果，而不是已经由完整公开取证记录独立验证的事实。现有材料将该事件归因于安全研究机构Gambit的研究，并称其后来被Check Point引用，但没有提供完整的公开事件档案。

这起事件真正值得关注的地方，不只是某一个模型有多强，而是多个工具被组织成了反馈回路：AI可以采取行动、检查结果，再据此继续行动。攻击者不必亲手完成每一次侦察、利用和数据处理。

中国关联行动：AI承担了大部分战术工作

Check Point还描述了一场与中国有关联的间谍行动，目标约为30家机构。据报道，AI完成了这场行动中约80%至90%的战术操作。现有报道将其作为估算值，并未提供逐条命令级别的完整统计。

这一案例说明，风险并不只来自临时起意的网络犯罪。对于需要在多个目标之间反复调整策略的行动，编码代理可以承担大量重复性、技术性工作，让攻击者保留战略控制权，同时把更多具体执行环节交给AI。

攻击者如何绕过AI安全限制？

报告及相关分析主要指向两类方式。

越狱与指令操纵

攻击者可以尝试诱骗商业模型，使其忽略既有安全规则。但对防守者而言，更值得警惕的往往不是一次性的聊天越狱，而是对模型运行环境的利用。

例如，代理可能会遵循它正在处理的文件、代码仓库或其他内容中嵌入的指令。相关报道提到，一种持久化手法是利用CLAUDE.md等受信配置文件。如果代理会在不同会话中自动加载这些文件，攻击者就可能持续影响其行为，而不必每次都在对话中重新说服模型。

间接提示注入

间接提示注入，是把恶意指令藏进AI系统会读取的内容中，例如文档、网页、代码库或工具返回结果。如果系统把这些内容误当成可信指令，而不是不可信数据，攻击者就可能改变代理的行动方向。

与Check Point报告相关的报道显示，2026年3月至5月期间，针对较大型提示注入载荷的检测量约增长了5倍。但这一数字反映的是观测到的载荷变化，并不能单独证明所有载荷都成功，或都导致了数据泄露和入侵。

哪些技术进步让攻击更趋自主？

多项能力的组合，推动了攻击从“自动化工具”走向“自主操作”：

1. **理解和生成代码：**代理能够分析陌生代码，并生成适配目标环境的工具。
2. **调用工具：**代理不只返回文字，还可以执行命令并与系统交互。
3. **分析执行结果：**它能够理解命令输出、日志或被窃取的数据，并据此选择下一步。
4. **保留上下文：**配置文件和连接后的工作流可以在不同会话之间保存指令或状态。
5. **规模化迭代：**同一套流程可以更快地在多个主机、账户或目标之间重复运行。

Check Point表示，过去一年中，AI已被用于侦察、社会工程、恶意软件开发、漏洞研究和入侵后的活动。单项能力或许还可控，但当它们串联成一条攻击链时，人工交接环节减少，攻击者所需的时间、专业人员数量和手工操作都会下降。

企业日常使用AI，也可能成为数据泄露入口

组织不必遭遇AI代理的直接攻击，才会面临AI相关的数据风险。员工在寻求工作帮助时，可能把凭据、源代码、个人信息或受监管的业务数据粘贴到外部生成式AI服务中。

Check Point的年度数据称，高风险提示词——即包含敏感企业信息、个人信息或受监管数据的提示——在统计期内从2%升至4%，相当于从大约每50次交互中出现1次，变成每25次出现1次。

这种暴露也相当普遍。根据统计口径和报告周期不同，Check Point相关报告显示，每月至少经历一次高风险生成式AI交互的组织比例约为87%至93%。

不过，这些数字不能简单拼接成一条连续趋势。年度更新曾称，平均每个组织每月使用10款AI应用；7月的后续更新则提到8款工具，以及每36次提示中有1次存在高风险。两组数据来自不同报告周期，若没有底层方法说明，不宜直接比较。

现有材料也没有提供按地区分别统计的AI应用数量、提示词总量和高风险提示词增幅。材料确实显示不同地区的暴露程度存在差异，但欧洲网络攻击量同比增长18%、北美增长9%等数据，衡量的是网络攻击量，并不是生成式AI提示词指标。

为什么监管本身不够？

Check Point认为，监管可以建立责任边界和最低要求，却无法阻止员工把敏感文本发送到未经批准的服务，也不会自动识别代理正在执行一串异常命令。代理驱动的攻击可能比政策制定、人工审批和传统审查流程更快。

因此，报告建议组织建立多层防护体系：

• **技术控制：**发现已批准和未批准的AI工具，限制敏感数据共享，实行最小权限，并严格管理代理可调用的工具和资源。
• **安全测试：**持续测试AI应用和连接的代理，重点检查提示注入、不安全的工具访问、暴露端点及供应链漏洞。
• **人员与流程：**明确允许使用的工具和场景，培训员工识别不得输入公共或未经批准AI系统的信息。
• **持续监测与响应：**关注代理行为、异常数据流和工具调用，并确保能够快速调查、隔离或阻断可疑活动。

组织需要接受的现实

Check Point在7月的评估，描述的并不是AI“会不会”参与网络攻击，而是它已经处在攻击链的哪个位置：AI正从准备阶段进入执行和决策阶段。墨西哥案例体现了潜在规模，中国关联行动体现了战术工作的委托程度，而企业提示词数据则说明，AI也正在组织内部形成日常化的数据暴露风险。

更稳妥的做法，是不再把AI默认视为被动助手，也不把合规措辞当成完整防线。组织需要看清员工和系统正在使用哪些AI，严格限制这些系统能够访问什么，把模型读取的输入视为不可信内容，并通过持续监控跟上自动化行动的速度。