摘要随着智能体 AI 技术从内容生成转向自主执行操作网络攻击的技术门槛显著下降攻击者可依托 AI 智能体完成侦察、社会工程、漏洞利用等多阶段攻击链路传统静态安全防护体系已经难以适配非人类身份、自动化多步攻击带来的安全风险。国外安全媒体报道指出企业组织若不主动使用人工智能技术对自有业务系统开展攻击性安全测试外部攻击者就会利用同类 AI 能力完成对目标系统的入侵这一现实倒逼网络安全防御范式发生转变。本文围绕 AI 智能体驱动的网络威胁特征展开梳理剖析传统渗透测试模式在应对 AI 攻击场景下的能力短板阐释主动开展 AI 红队测试的内在逻辑分析落地实施过程中面临的治理、技术、人员层面现实阻碍并结合社会工程类攻击场景引入反网络钓鱼技术专家的研判视角提出适配国内企业环境的落地路径。研究表明AI 红队测试不是简单将 AI 工具叠加到原有安全流程而是一套覆盖范围界定、风险管控、漏洞验证、闭环修复的完整安全活动企业需要建立人机协同的安全测试机制将 AI 主动攻击测试纳入常态化安全运营以此提前暴露系统潜在缺陷降低外部对手利用 AI 实施攻击带来的业务损失。 关键词AI 智能体网络攻击红队测试主动防御社会工程网络安全1 引言生成式人工智能与智能体技术的规模化落地正在重塑网络攻防两端的力量对比。过去网络攻击的实施高度依赖攻击者的技术积累漏洞挖掘、情报侦察、钓鱼内容制作、多阶段渗透等环节均需要攻击者投入大量人力与时间成本攻击的规模化复制受到人力约束。而智能体 AI 具备自主规划、工具调用、多轮迭代执行任务的能力能够把复杂攻击链路拆解为分步执行的自动化流程显著降低高级网络攻击的实施门槛使得小规模攻击团伙甚至个体攻击者就可以发起过去只有高级威胁组织才能够实现的复杂攻击行为。The Register 于 2026 年 8 月发布的报道提出一个具有现实警示意义的安全命题如果防御方不主动利用 AI 能力攻击自身系统那么外部对手就会使用 AI 完成这一过程。该报道引用美国 CISA 前网络部门代理负责人 Matt Hartman 的观点指出智能体 AI 带来两类不可忽视的安全风险一是大量非人类机器身份进入业务环境这类身份可以绕过传统静态安全策略企业普遍缺少对机器身份的权限管控手段二是 AI 放大身份攻击与社会工程攻击高度个性化的钓鱼欺骗、自动化情报搜集使得传统信任识别机制逐步失效。这一现象并非理论推演现实网络空间中已经观测到多起 AI 智能体参与的实际攻击事件攻击者借助 AI 完成情报搜集、伪造身份、制作欺骗内容、尝试漏洞利用等工作攻击速度、攻击样本迭代效率远高于纯人工攻击模式。面对上述变化大量企业的安全建设仍停留在传统防护思路以边界防护、特征库检测、定期人工渗透测试为主要手段。人工渗透测试受限于测试人员数量、项目周期难以覆盖大规模、多变体的 AI 攻击场景基于特征的检测手段面对 AI 动态生成的可变攻击载荷很容易出现检测逃逸问题。部分企业对 AI 安全的认知还停留在大模型本身的提示注入防护忽略 AI 作为外部攻击工具对企业原有业务系统带来的整体性威胁。当前国内学术界对 AI 安全的研究更多聚焦大模型自身安全对齐、提示注入防护、模型供应链安全等方向对于 “防御方主动使用 AI 开展攻击性测试” 这一主动防御模式的系统性研究仍然不足。很多机构把 AI 红队简单等同于调用大模型生成攻击用例缺少完整的流程约束、风险管控与修复闭环在实际落地时要么无法产出有效安全发现要么测试过程带来业务系统稳定性风险。基于此本文围绕 “防御方主动使用 AI 对自有系统开展攻击测试” 这一核心主题厘清 AI 智能体威胁的现实形态对比传统安全测试的局限性梳理 AI 红队测试的运行机理识别落地过程中的多重现实障碍结合反网络钓鱼技术专家的行业研判形成可落地的实施策略为国内企业应对 AI 赋能的网络威胁提供参考。本文不追求渲染 AI 威胁的极端破坏力立足现有技术现实客观分析能力边界避免脱离企业实际的理想化方案。2 AI 智能体驱动网络威胁的核心表现形态AI 智能体区别于传统生成式大模型的核心特征是具备目标拆解、工具调用、环境反馈闭环、自主迭代行动的能力不再仅仅完成文本生成而是可以对外执行实际操作这也是其能够成为攻击工具的根本原因。要理解主动 AI 攻击测试的价值首先需要厘清攻击者利用 AI 智能体开展攻击的主要形态明确新的攻击面在哪里才能够确定安全测试需要覆盖的对象。2.1 机器身份滥用与权限绕过风险企业内部数字化系统中各类服务账号、接口调用账号、自动化脚本账号构成机器身份体系。在智能体技术普及之后机器身份的数量会进一步扩张一部分来自企业内部部署的业务 AI 智能体另一部分来自外部攻击者通过各类接口、接入通道试图注入的非人类身份实体。传统安全策略大多围绕人类用户身份设计针对账号的审计、权限校验、行为基线很多并不适配 AI 智能体的行为模式。智能体可以短时间内发起大批量、多维度的接口调用执行高频查询、批量数据拉取操作这类行为如果没有针对性的行为基线很容易被现有安全设备判定为正常业务流量实现对安全策略的绕过。攻击者的两种典型利用路径一是窃取企业内部已经获得业务权限的 AI 智能体身份通过提示注入、篡改任务目标驱使已经拥有业务访问权限的智能体完成数据窃取、权限探测、业务操作二是攻击者在外部构建自主 AI 智能体通过接口、公开入口持续探测企业系统尝试获取访问凭证模拟合法机器身份开展横向移动。这类威胁的隐蔽性很强安全日志中只会记录机器身份的正常访问行为很难直接区分是业务预期内操作还是被攻击者篡改之后的恶意行为。Matt Hartman 在报道中着重强调当下很多企业存在认知误区没有把每一个 AI 智能体当作特权身份进行管理这是非常普遍的安全短板。2.2 AI 放大社会工程与网络钓鱼攻击链条社会工程攻击长期是网络安全防护的难点攻击者依靠欺骗、伪造身份获取人员信任进而完成凭证窃取、恶意载荷投递。传统人工实施的钓鱼攻击受限于攻击者的语言能力、情报获取成本批量制作高度定制化欺骗内容的成本很高大规模个性化钓鱼难以实现。AI 智能体彻底改变这一现状攻击者可以通过公开渠道搜集目标人员社交信息、工作业务信息交由 AI 智能体自动完成情报整理生成高度贴合目标个人习惯、业务场景的钓鱼邮件、社交消息、语音仿冒内容实现高定制化的规模化钓鱼攻击。反网络钓鱼技术专家芦笛指出AI 对钓鱼攻击的改变不只是文本内容生成质量提升而是实现了社会工程攻击全链路自动化。过去钓鱼攻击分为情报搜集、样本制作、投递、后续诱骗多步每一步都需要攻击者人工介入调整策略现在 AI 智能体可以根据受害者的回复动态调整欺骗话术持续推进欺骗流程极大提升钓鱼攻击的成功率同时降低攻击者的技术门槛。传统防护手段依赖邮件网关关键词过滤、固定恶意样本特征面对 AI 动态生成、每一份样本都存在差异的钓鱼内容防御难度显著上升。同时 AI 可以完成语音仿冒、伪造视频材料进一步拓展社会工程的欺骗载体不再局限于文本类钓鱼邮件。2.3 自动化多阶段渗透与漏洞挖掘能力传统渗透攻击流程包含资产测绘、漏洞探测、漏洞利用、权限提升、横向移动、数据持久化等多个环节完整执行一套多阶段攻击需要攻击者持续投入时间根据目标环境反馈不断调整攻击策略。AI 智能体可以把上述链路进行自动化编排自主完成资产探测对返回结果进行分析选择适配的探测手段迭代调整攻击策略不需要攻击者每一步手动下达指令。需要明确的是当前 AI 智能体并不具备无限的零日漏洞挖掘能力多数场景下是更快发现已有公开漏洞、配置错误、逻辑缺陷把已知风险更快转化为攻击动作放大已有漏洞的危害而不是源源不断生成全新的零日漏洞。即便如此该能力带来的现实威胁依然不可低估。在同等漏洞条件下AI 驱动的攻击可以在更短时间内遍历目标资产完成多路径尝试。过去安全团队拥有相对充足的时间在漏洞被少数攻击者发现之后完成修补当攻击者使用 AI 智能体之后漏洞被扫描、利用的时间窗口被大幅压缩留给防御方响应修复的时间被持续缩短。企业系统中普遍存在大量历史遗留漏洞、配置疏漏很多漏洞因为没有观测到实际攻击事件得不到优先修复AI 攻击工具普及之后这类存量缺陷会被批量扫描利用成为主要的入侵入口。2.4 新增数据集成通道带来的攻击面扩张企业为了落地 AI 业务会建设大量数据对接接口实现业务系统与大模型、智能体之间的数据流转实现业务数据输入 AI、AI 输出结果回写到业务系统。这些新增的数据集成通道是过去传统业务环境不存在的攻击面。攻击者可以针对接口输入输出环节开展攻击通过污染输入数据、构造恶意请求诱导 AI 输出恶意指令借由 AI 的工具调用能力向后端业务系统发起请求。该场景下漏洞并不一定出现在大模型本身而是出现在 AI 与原有业务系统交互的接口层。很多企业上线 AI 业务时重点关注大模型的安全对齐却忽略接口调用的权限校验、输入输出过滤把 AI 输出直接当作可信数据交给后端业务执行由此产生新的安全风险。攻击者不需要攻破大模型只需要利用业务集成链路的缺陷就可以借助 AI 作为跳板向后端业务发起攻击。3 传统安全测试模式应对 AI 威胁的固有局限面对上述 AI 驱动的新型威胁企业原有的安全测试手段包括人工渗透测试、自动化漏洞扫描在能力模型、执行效率、覆盖场景上都存在明显短板无法完整复现 AI 对手的攻击行为这也是需要发展 AI 主动红队测试的现实动因。3.1 人工渗透测试的时间与规模约束传统人工红队、渗透测试依靠安全工程师手工完成攻击链路测试的深度取决于工程师个人能力测试广度受限于项目周期与人力投入。在项目预算约束之下人工渗透只能选取核心业务重点路径开展测试无法对全量资产进行大规模、多变体的持续攻击尝试。面对 AI 攻击者可以 7×24 小时不间断开展大规模探测的现实人工测试项目属于阶段性、短周期活动项目结束之后新的配置缺陷、业务变更引入的漏洞无法被持续发现。同时人工测试人员的思维模式具备一定固定性容易形成思维惯性会优先选择过往遇到过的攻击路径对于大量低概率、碎片化的组合攻击场景很难全部覆盖。而 AI 智能体可以并行生成大量差异化攻击思路遍历大量人类工程师容易忽略的组合条件。当然这里并不否定人工安全专家的价值复杂业务逻辑漏洞、高度业务定制化场景的深度分析仍然高度依赖人的经验AI 更多是弥补广度、并行度、持续迭代能力层面的缺口二者属于互补而非替代关系。3.2 传统自动化扫描工具能力边界常规自动化漏洞扫描工具主要基于已知漏洞特征、payload 库进行匹配检测工作模式是预设好的固定探测载荷集合。当面对 AI 攻击者的动态可变攻击行为时传统扫描工具存在明显短板。第一传统扫描工具缺少自主推理能力不会根据目标返回的反馈动态调整攻击策略只能执行预设的探测序列难以完成多步骤链式攻击第二针对社会工程、钓鱼欺骗这类面向人员的攻击场景传统扫描工具几乎无法完成仿真测试而这恰恰是 AI 攻击者重点发力的方向第三对于机器身份滥用、AI 业务集成接口这类新型攻击面传统工具缺少对应的检测规则库识别能力不足。传统自动化扫描更多完成单点漏洞发现很难完整复现攻击者从探测到入侵、横向移动的完整攻击链路很难评估漏洞串联之后产生的综合业务风险。很多单点漏洞危害有限但多个低风险漏洞串联就可以形成完整入侵链路传统工具很难对链式风险开展有效评估。3.3 测试场景与真实 AI 攻击场景存在脱节很多企业当前开展的安全测试依然沿用十年前的攻防思维测试用例库没有纳入 AI 对手的攻击行为模式。安全测试更多聚焦传统 Web 漏洞、系统组件漏洞缺少针对 AI 放大社会工程攻击、机器身份绕过、AI 业务集成链路的专项测试。即便是部分企业开展 AI 安全测试也大多局限于大模型本身的越狱、提示注入测试没有站在外部攻击者视角模拟对手使用 AI 作为武器对企业全部业务系统开展攻击的完整场景。这就形成一种现实矛盾防御方的安全测试没有模拟 AI 对手的攻击方式但真实世界的攻击者已经在使用 AI 工具这就造成安全测试输出的风险评估结果会高估企业实际防护水平。系统经过传统测试判定为风险可控但是面对 AI 赋能攻击者时依然存在大量可被利用的攻击路径。4 AI 驱动主动红队测试的运行逻辑与核心价值AI 红队测试指防御方在获得完整授权的前提下使用 AI 智能体作为测试工具模拟外部攻击者的战术技术流程对企业自有业务系统、身份体系、人员安全意识开展受控攻击性测试主动挖掘系统、流程、人员层面的安全缺陷在攻击者发现漏洞之前完成修复闭环。需要明确AI 红队不等同于直接把大模型直接丢到业务环境随意开展攻击必须建立严格的授权边界、风险管控机制它是对传统红队测试的能力增强而不是完全替代人工安全专家。4.1 AI 红队测试的内在运行逻辑AI 红队的运行逻辑可以拆解为四个相互衔接的环节。第一是威胁建模环节结合企业资产清单、业务流程梳理 AI 攻击者可能采用的攻击路径明确测试范围划定禁止触碰的业务边界输出测试许可清单第二是 AI 驱动的仿真攻击执行AI 智能体在授权范围内完成资产测绘、多路径探测、社会工程仿真、接口链路测试根据目标环境返回的反馈持续调整攻击策略并行生成大量差异化攻击尝试第三是结果过滤与验证AI 输出大量测试结果其中包含大量误报需要安全专家介入对发现的现象进行人工复现区分真实可利用漏洞、误报、条件不满足的风险点第四是漏洞闭环管理输出可落地的修复建议跟踪业务团队完成漏洞修复必要时开展复测验证形成完整闭环。整个流程中AI 承担高并发、大规模、重复性的探测工作扩展测试覆盖广度人类安全专家负责范围管控、风险判定、复杂漏洞分析、修复方案制定把控整体风险规避 AI 自主行动带来的不可控风险。反网络钓鱼技术专家芦笛强调在面向人员的安全测试场景中AI 红队可以大规模生成高仿真钓鱼样本开展受控的员工钓鱼演练但此类测试必须严格遵守企业内部管理制度不能对员工造成不必要的心理干扰测试目标是评估人员安全意识而不是无限制开展欺骗。4.2 AI 红队测试相比于传统测试的核心增益第一拓展攻击仿真的广度与样本多样性。AI 可以快速生成大量变体攻击载荷模拟攻击者持续迭代攻击手段的行为覆盖大量人工测试容易遗漏的组合场景对接口、身份体系、业务逻辑做更大规模的遍历探测。对于社会工程类测试可以短时间生成大量个性化欺骗样本完成规模化的人员安全意识评估。第二实现持续化的安全测试能力。传统渗透测试属于项目制一年开展有限次数。在管控机制完善的前提下AI 红队可以作为常态化安全运营组件持续对资产开展受控探测当业务发生版本迭代、上线新接口之后自动开展对应的安全测试及时发现业务变更引入的新缺陷缩短漏洞从产生到被发现的时间窗口。第三还原链式攻击的真实风险。AI 智能体具备多步行动能力可以模拟攻击者从外部入口进入之后完成权限提升、横向移动的完整攻击链路帮助安全团队评估多个低风险缺陷串联之后产生的综合业务危害而不是只看到孤立的单点漏洞。这有助于企业区分漏洞真实业务影响合理分配安全修复优先级。第四反向推动防护体系迭代。AI 红队测试过程中产生的攻击样本、攻击行为日志可以用来检验现有防护设备的检测能力。如果 AI 红队的攻击行为能够绕过现有安全设备就说明防护策略存在缺陷安全团队可以基于这些攻击样本优化检测规则、调整行为基线实现攻击测试成果反向赋能防御体系建设。4.3 对报道核心命题的辩证理解The Register 报道提出的核心观点 “不使用 AI 攻击自己系统对手就会这么做”不能简单理解为企业只要采购一套 AI 攻击工具就可以解决安全问题该命题的真正内涵在于威胁时序问题。漏洞、配置缺陷客观存在于企业系统之中要么由防御方在受控环境下发现要么由外部攻击者在真实网络环境下发现。当攻击者普遍掌握 AI 工具之后漏洞被外部发现的速度大幅提升防御方不能继续被动等待漏洞爆发之后再应急处置必须主动跟进攻击者的技术能力使用同类技术手段提前发现自身的安全短板。但同时也需要保持客观理性AI 红队测试存在能力边界它不能发现所有漏洞不能直接消除安全风险它只是一套风险发现手段。漏洞能否产生防护价值最终取决于企业是否能够完成后续修复闭环。如果只开展 AI 红队测试输出大量报告但没有配套漏洞管理流程那么测试本身不会带来安全能力提升。同时AI 本身会产生误报完全依赖 AI 输出结果会造成安全团队被大量无效告警淹没因此人机协同是不可缺失的关键环节。5 AI 红队测试落地实施面临的现实阻碍从行业实践现状来看很多企业尝试落地 AI 红队测试但落地效果参差不齐面临治理管控、技术能力、人员认知三个层面的现实阻碍这些现实约束如果得不到妥善处理AI 红队不仅无法产出安全价值甚至可能带来业务故障、合规风险。5.1 治理与风险管控层面的挑战AI 智能体具备自主行动能力和传统固定载荷扫描工具存在本质区别。传统扫描工具每一个动作都是预设行为可预期AI 智能体会根据环境反馈自主生成新动作行为存在一定不可预测性。如果没有严格的范围约束AI 红队在测试过程中有可能误操作业务数据触发业务接口异常造成生产业务抖动。第一个治理难题是测试边界的清晰界定。需要明确哪些资产、接口、业务流程允许开展攻击性测试哪些属于绝对禁止触碰的范围技术层面需要实现隔离限制不能只依靠口头约定。部分企业开展 AI 红队的时候仅仅做书面授权缺少技术侧的访问隔离一旦 AI 生成超出预期的操作就会直接影响生产业务。第二个是合规与内部管理约束。面向人员的社会工程仿真测试比如 AI 生成钓鱼邮件、仿冒社交沟通消息会涉及员工个人信息、内部沟通场景需要企业内部法务、人力资源、安全多方共同确认测试方案避免引发内部管理纠纷。部分行业受到监管规范约束攻击性测试的开展流程、数据留存、报告分发都有明确要求AI 红队测试需要满足对应合规条件。第三个是责任与闭环机制缺失。部分企业把 AI 红队当作技术工具采购只关注工具本身没有配套漏洞分级、修复跟踪、复测的管理流程。工具输出大量风险报告之后业务部门缺少资源完成修复大量风险报告沉淀无法转化为实际安全能力提升。5.2 技术层面的现实瓶颈第一AI 输出结果的高误报问题。AI 智能体探测得到大量疑似风险其中很大一部分属于条件不满足、环境误判带来的虚假告警。如果缺少有效的结果过滤机制安全团队会被海量告警消耗大量精力很难定位真正高危可利用漏洞。目前不存在可以直接输出 100% 准确漏洞报告的 AI 红队工具人工核验环节不可省略。第二针对复杂业务逻辑场景能力不足。对于高度定制化的业务逻辑漏洞需要深度理解业务业务规则、业务上下文当前 AI 智能体很难独立完成深度业务逻辑推理仍然高度依赖安全专家介入。AI 红队的优势在大规模遍历探测而不是直接挖掘高度复杂的业务逻辑漏洞。第三测试环境的仿真度问题。如果 AI 红队只在测试环境运行测试环境和真实生产环境配置、数据、权限存在差异测试发现的风险不一定对应生产真实情况直接在生产环境开展测试又会带来业务稳定性风险如何平衡仿真度与业务风险是技术落地的难点。5.3 组织与人员认知偏差第一种认知偏差过度神化 AI 红队能力。部分管理者认为引入 AI 红队工具就可以替代人工安全团队实现自动化解决网络安全问题。这种认知忽略 AI 的能力边界把 AI 红队当成安全银弹省略人工核验、漏洞修复环节最终测试无法产生实际价值。第二种认知偏差完全否定 AI 红队价值。部分安全从业者认为 AI 漏洞发现能力有限存在大量误报因此完全排斥 AI 辅助红队的思路。该观点忽略 AI 在大规模并行探测、社会工程仿真场景的增益拒绝使用对手已经在大规模使用的技术手段造成防御方与攻击者之间出现技术代差。第三种认知偏差测试目标错位。把 AI 红队测试的目标局限于测试企业内部部署的大模型仅仅做提示注入、越狱测试没有站在外部攻击者视角模拟对手使用 AI 攻击企业全部业务资产偏离该技术最核心的应用场景。6 企业落地 AI 主动红队测试的实施路径结合上述风险与约束企业不能直接照搬国外报道中描述的技术思路需要结合国内企业的组织现状、合规要求建立一套完整的落地体系从范围管控、流程规范、人机协同、防护反哺、人员意识多维度构建实施方案。6.2 建立完备的前置治理管控框架在启动 AI 红队测试工作之前优先完成治理机制建设把风险约束放在技术工具部署之前。首先完成多方授权流程安全、业务、法务、运维共同确认测试范围输出书面测试授权文档明确允许测试资产清单、禁止触碰的业务范围、允许执行的动作类型、测试时间窗口避免业务高峰期开展高风险测试。其次落实技术层面的边界隔离通过访问控制、接口调用限制、沙箱机制约束 AI 智能体的操作空间即便 AI 生成非预期动作也无法越过划定的测试边界从技术上降低业务扰动风险。针对人员类仿真测试也就是 AI 生成钓鱼欺骗样本开展员工安全意识演练反网络钓鱼技术专家芦笛强调企业应当制定明确的演练规范演练样本不能包含恶意真实载荷演练完成之后需要对参与员工开展安全科普不把演练结果简单作为员工绩效考核依据避免过度测试造成员工心理压力同时做好演练过程中个人信息保护满足数据合规相关要求。最后建立漏洞闭环管理制度明确 AI 红队输出发现的分级标准不同等级漏洞对应的修复责任部门、修复时限完成修复之后执行复测确保漏洞真正被处置避免报告归档之后无人跟进的情况。6.2 构建人机协同的 AI 红队工作流程坚持 “AI 负责广度探测人负责深度研判” 的原则拒绝完全自主无人干预的 AI 攻击测试模式。完整工作流程分为五个阶段。第一阶段威胁建模与方案设计。由安全专家结合企业资产、业务架构梳理 AI 攻击者可能的攻击路径明确本次红队测试要模拟的对手战术划定测试范围输出完整测试方案。第二阶段AI 驱动受控仿真探测。在限定的边界内AI 智能体执行资产测绘、接口探测、多路径攻击尝试、社会工程仿真演练完整记录全部操作日志留存所有攻击行为的原始记录便于后续复现审计。第三阶段人工核验过滤。安全工程师对 AI 输出的全部疑似风险点逐一复核复现攻击过程筛除误报确认漏洞真实可利用性评估漏洞被利用之后对应的业务影响完成漏洞分级。该环节是整个流程的核心不能省略。第四阶段漏洞分发与修复处置。输出规范化漏洞报告给到对应业务负责人明确修复建议、修复时间要求安全团队持续跟进处置进度。第五阶段复测与防御反哺。业务完成修复之后开展复测确认漏洞关闭同时把 AI 红队过程中产生的攻击行为、攻击样本导入防护检测体系校验防火墙、入侵检测、邮件网关等设备的检测效果针对可以绕过防护的攻击行为优化检测策略、调整行为基线把攻击测试成果转化为防御能力。6.3 分阶段推进落地避免一步到位的激进建设不同规模企业的安全团队能力差异巨大不建议所有企业直接建设完全自主的 AI 红队系统可以按照分阶段的思路逐步推进。对于中小型企业安全团队人员规模有限不需要自建 AI 红队平台。可以选择具备合规资质的第三方安全服务商在合同约束下由服务商把 AI 辅助红队作为渗透测试的增强手段企业重点把控测试范围、授权、漏洞闭环借助外部能力完成 AI 攻击场景的仿真测试。对于中大型企业拥有专职安全团队可以优先把 AI 红队用于补充原有安全测试优先覆盖接口安全、机器身份行为检测、规模化钓鱼演练场景先实现局部场景落地沉淀流程经验之后再逐步扩大测试覆盖范围。不建议直接将 AI 红队直接开放到全量生产环境优先在仿真度较高的测试验证环境开展试点验证管控机制、结果处理流程可行之后再谨慎小范围向生产环境延伸。6.4 配套开展人员安全意识与身份体系加固AI 驱动的攻击大量依托社会工程、机器身份两个核心突破口AI 红队测试只能发现问题完整风险处置需要配套的基础安全建设作为支撑。在身份管理层面企业需要重新审视机器身份权限管控落实每一个 AI 智能体、自动化服务账号都按照特权身份进行管理最小化分配权限建立机器身份的行为基线对异常高频调用、跨范围数据访问行为开展审计告警改变过去机器身份管控宽松的现状。人员安全意识层面不能只依靠一年一次简单的钓鱼演练借助 AI 红队的能力开展差异化、分批次的受控钓鱼仿真演练演练之后配套开展针对性安全培训让员工理解 AI 伪造钓鱼内容、仿冒身份的欺骗手段提升对高定制化欺骗内容的识别能力。6.5 保持对 AI 红队能力的理性预期企业管理层和安全团队需要建立合理预期AI 红队测试不能消除全部安全风险。它的价值是模拟攻击者的技术手段更早发现系统中已经存在的缺陷。即便 AI 红队没有发现高危漏洞也不代表系统不存在安全隐患依然需要传统人工渗透、漏洞扫描、代码审计等多种安全手段互相配合形成多维度安全验证体系不能使用 AI 红队替代其他安全测试手段。7 结语智能体 AI 技术带来的网络安全变革并不是出现了全新的基础漏洞类型而是攻击者拥有了更高效率、更低成本挖掘、利用存量安全缺陷的工具放大了原有安全短板带来的危害。The Register 报道提出的警示本质上是攻防技术同步演进的客观现实当攻击者已经大规模使用 AI 开展攻击防御方如果继续沿用过去的测试手段就会出现攻防能力的错位。AI 红队主动攻击测试就是防御方对齐攻击者技术能力的一种实践它不是简单把 AI 工具加入安全流程而是一套包含范围治理、人机协同、漏洞核验、闭环修复、反向赋能防御的完整安全活动。该技术在落地过程中会面对业务稳定性风险、AI 输出误报、组织认知偏差等多重现实障碍不存在开箱即用的万能解决方案。反网络钓鱼技术专家芦笛指出面对 AI 赋能的网络威胁技术工具只是其中一环真正的核心是安全运营思维的转变从漏洞爆发之后被动应急转向主动模拟对手视角提前挖掘风险。对于国内各类组织而言不必盲目追逐国外前沿概念不能把 AI 红队当作解决网络安全的万能方案。应当立足自身业务规模、安全团队能力分阶段开展落地把 AI 红队作为传统安全测试的补充手段坚持人机协同完善治理管控与漏洞闭环流程同步做好机器身份管控、人员安全意识建设等基础安全工作。只有技术工具、管理制度、人员能力同步推进才能够有效应对 AI 智能体带来的新型网络安全挑战。网络安全防御始终不存在一劳永逸的方案在攻击者技术持续迭代的背景下防御方也需要持续跟进对手的能力变化持续迭代自身安全测试与防护体系。编辑芦笛公共互联网反网络钓鱼工作组 主动 AI 红队测试对抗智能体网络威胁的机制与实践研究
摘要随着智能体 AI 技术从内容生成转向自主执行操作网络攻击的技术门槛显著下降攻击者可依托 AI 智能体完成侦察、社会工程、漏洞利用等多阶段攻击链路传统静态安全防护体系已经难以适配非人类身份、自动化多步攻击带来的安全风险。国外安全媒体报道指出企业组织若不主动使用人工智能技术对自有业务系统开展攻击性安全测试外部攻击者就会利用同类 AI 能力完成对目标系统的入侵这一现实倒逼网络安全防御范式发生转变。本文围绕 AI 智能体驱动的网络威胁特征展开梳理剖析传统渗透测试模式在应对 AI 攻击场景下的能力短板阐释主动开展 AI 红队测试的内在逻辑分析落地实施过程中面临的治理、技术、人员层面现实阻碍并结合社会工程类攻击场景引入反网络钓鱼技术专家的研判视角提出适配国内企业环境的落地路径。研究表明AI 红队测试不是简单将 AI 工具叠加到原有安全流程而是一套覆盖范围界定、风险管控、漏洞验证、闭环修复的完整安全活动企业需要建立人机协同的安全测试机制将 AI 主动攻击测试纳入常态化安全运营以此提前暴露系统潜在缺陷降低外部对手利用 AI 实施攻击带来的业务损失。 关键词AI 智能体网络攻击红队测试主动防御社会工程网络安全1 引言生成式人工智能与智能体技术的规模化落地正在重塑网络攻防两端的力量对比。过去网络攻击的实施高度依赖攻击者的技术积累漏洞挖掘、情报侦察、钓鱼内容制作、多阶段渗透等环节均需要攻击者投入大量人力与时间成本攻击的规模化复制受到人力约束。而智能体 AI 具备自主规划、工具调用、多轮迭代执行任务的能力能够把复杂攻击链路拆解为分步执行的自动化流程显著降低高级网络攻击的实施门槛使得小规模攻击团伙甚至个体攻击者就可以发起过去只有高级威胁组织才能够实现的复杂攻击行为。The Register 于 2026 年 8 月发布的报道提出一个具有现实警示意义的安全命题如果防御方不主动利用 AI 能力攻击自身系统那么外部对手就会使用 AI 完成这一过程。该报道引用美国 CISA 前网络部门代理负责人 Matt Hartman 的观点指出智能体 AI 带来两类不可忽视的安全风险一是大量非人类机器身份进入业务环境这类身份可以绕过传统静态安全策略企业普遍缺少对机器身份的权限管控手段二是 AI 放大身份攻击与社会工程攻击高度个性化的钓鱼欺骗、自动化情报搜集使得传统信任识别机制逐步失效。这一现象并非理论推演现实网络空间中已经观测到多起 AI 智能体参与的实际攻击事件攻击者借助 AI 完成情报搜集、伪造身份、制作欺骗内容、尝试漏洞利用等工作攻击速度、攻击样本迭代效率远高于纯人工攻击模式。面对上述变化大量企业的安全建设仍停留在传统防护思路以边界防护、特征库检测、定期人工渗透测试为主要手段。人工渗透测试受限于测试人员数量、项目周期难以覆盖大规模、多变体的 AI 攻击场景基于特征的检测手段面对 AI 动态生成的可变攻击载荷很容易出现检测逃逸问题。部分企业对 AI 安全的认知还停留在大模型本身的提示注入防护忽略 AI 作为外部攻击工具对企业原有业务系统带来的整体性威胁。当前国内学术界对 AI 安全的研究更多聚焦大模型自身安全对齐、提示注入防护、模型供应链安全等方向对于 “防御方主动使用 AI 开展攻击性测试” 这一主动防御模式的系统性研究仍然不足。很多机构把 AI 红队简单等同于调用大模型生成攻击用例缺少完整的流程约束、风险管控与修复闭环在实际落地时要么无法产出有效安全发现要么测试过程带来业务系统稳定性风险。基于此本文围绕 “防御方主动使用 AI 对自有系统开展攻击测试” 这一核心主题厘清 AI 智能体威胁的现实形态对比传统安全测试的局限性梳理 AI 红队测试的运行机理识别落地过程中的多重现实障碍结合反网络钓鱼技术专家的行业研判形成可落地的实施策略为国内企业应对 AI 赋能的网络威胁提供参考。本文不追求渲染 AI 威胁的极端破坏力立足现有技术现实客观分析能力边界避免脱离企业实际的理想化方案。2 AI 智能体驱动网络威胁的核心表现形态AI 智能体区别于传统生成式大模型的核心特征是具备目标拆解、工具调用、环境反馈闭环、自主迭代行动的能力不再仅仅完成文本生成而是可以对外执行实际操作这也是其能够成为攻击工具的根本原因。要理解主动 AI 攻击测试的价值首先需要厘清攻击者利用 AI 智能体开展攻击的主要形态明确新的攻击面在哪里才能够确定安全测试需要覆盖的对象。2.1 机器身份滥用与权限绕过风险企业内部数字化系统中各类服务账号、接口调用账号、自动化脚本账号构成机器身份体系。在智能体技术普及之后机器身份的数量会进一步扩张一部分来自企业内部部署的业务 AI 智能体另一部分来自外部攻击者通过各类接口、接入通道试图注入的非人类身份实体。传统安全策略大多围绕人类用户身份设计针对账号的审计、权限校验、行为基线很多并不适配 AI 智能体的行为模式。智能体可以短时间内发起大批量、多维度的接口调用执行高频查询、批量数据拉取操作这类行为如果没有针对性的行为基线很容易被现有安全设备判定为正常业务流量实现对安全策略的绕过。攻击者的两种典型利用路径一是窃取企业内部已经获得业务权限的 AI 智能体身份通过提示注入、篡改任务目标驱使已经拥有业务访问权限的智能体完成数据窃取、权限探测、业务操作二是攻击者在外部构建自主 AI 智能体通过接口、公开入口持续探测企业系统尝试获取访问凭证模拟合法机器身份开展横向移动。这类威胁的隐蔽性很强安全日志中只会记录机器身份的正常访问行为很难直接区分是业务预期内操作还是被攻击者篡改之后的恶意行为。Matt Hartman 在报道中着重强调当下很多企业存在认知误区没有把每一个 AI 智能体当作特权身份进行管理这是非常普遍的安全短板。2.2 AI 放大社会工程与网络钓鱼攻击链条社会工程攻击长期是网络安全防护的难点攻击者依靠欺骗、伪造身份获取人员信任进而完成凭证窃取、恶意载荷投递。传统人工实施的钓鱼攻击受限于攻击者的语言能力、情报获取成本批量制作高度定制化欺骗内容的成本很高大规模个性化钓鱼难以实现。AI 智能体彻底改变这一现状攻击者可以通过公开渠道搜集目标人员社交信息、工作业务信息交由 AI 智能体自动完成情报整理生成高度贴合目标个人习惯、业务场景的钓鱼邮件、社交消息、语音仿冒内容实现高定制化的规模化钓鱼攻击。反网络钓鱼技术专家芦笛指出AI 对钓鱼攻击的改变不只是文本内容生成质量提升而是实现了社会工程攻击全链路自动化。过去钓鱼攻击分为情报搜集、样本制作、投递、后续诱骗多步每一步都需要攻击者人工介入调整策略现在 AI 智能体可以根据受害者的回复动态调整欺骗话术持续推进欺骗流程极大提升钓鱼攻击的成功率同时降低攻击者的技术门槛。传统防护手段依赖邮件网关关键词过滤、固定恶意样本特征面对 AI 动态生成、每一份样本都存在差异的钓鱼内容防御难度显著上升。同时 AI 可以完成语音仿冒、伪造视频材料进一步拓展社会工程的欺骗载体不再局限于文本类钓鱼邮件。2.3 自动化多阶段渗透与漏洞挖掘能力传统渗透攻击流程包含资产测绘、漏洞探测、漏洞利用、权限提升、横向移动、数据持久化等多个环节完整执行一套多阶段攻击需要攻击者持续投入时间根据目标环境反馈不断调整攻击策略。AI 智能体可以把上述链路进行自动化编排自主完成资产探测对返回结果进行分析选择适配的探测手段迭代调整攻击策略不需要攻击者每一步手动下达指令。需要明确的是当前 AI 智能体并不具备无限的零日漏洞挖掘能力多数场景下是更快发现已有公开漏洞、配置错误、逻辑缺陷把已知风险更快转化为攻击动作放大已有漏洞的危害而不是源源不断生成全新的零日漏洞。即便如此该能力带来的现实威胁依然不可低估。在同等漏洞条件下AI 驱动的攻击可以在更短时间内遍历目标资产完成多路径尝试。过去安全团队拥有相对充足的时间在漏洞被少数攻击者发现之后完成修补当攻击者使用 AI 智能体之后漏洞被扫描、利用的时间窗口被大幅压缩留给防御方响应修复的时间被持续缩短。企业系统中普遍存在大量历史遗留漏洞、配置疏漏很多漏洞因为没有观测到实际攻击事件得不到优先修复AI 攻击工具普及之后这类存量缺陷会被批量扫描利用成为主要的入侵入口。2.4 新增数据集成通道带来的攻击面扩张企业为了落地 AI 业务会建设大量数据对接接口实现业务系统与大模型、智能体之间的数据流转实现业务数据输入 AI、AI 输出结果回写到业务系统。这些新增的数据集成通道是过去传统业务环境不存在的攻击面。攻击者可以针对接口输入输出环节开展攻击通过污染输入数据、构造恶意请求诱导 AI 输出恶意指令借由 AI 的工具调用能力向后端业务系统发起请求。该场景下漏洞并不一定出现在大模型本身而是出现在 AI 与原有业务系统交互的接口层。很多企业上线 AI 业务时重点关注大模型的安全对齐却忽略接口调用的权限校验、输入输出过滤把 AI 输出直接当作可信数据交给后端业务执行由此产生新的安全风险。攻击者不需要攻破大模型只需要利用业务集成链路的缺陷就可以借助 AI 作为跳板向后端业务发起攻击。3 传统安全测试模式应对 AI 威胁的固有局限面对上述 AI 驱动的新型威胁企业原有的安全测试手段包括人工渗透测试、自动化漏洞扫描在能力模型、执行效率、覆盖场景上都存在明显短板无法完整复现 AI 对手的攻击行为这也是需要发展 AI 主动红队测试的现实动因。3.1 人工渗透测试的时间与规模约束传统人工红队、渗透测试依靠安全工程师手工完成攻击链路测试的深度取决于工程师个人能力测试广度受限于项目周期与人力投入。在项目预算约束之下人工渗透只能选取核心业务重点路径开展测试无法对全量资产进行大规模、多变体的持续攻击尝试。面对 AI 攻击者可以 7×24 小时不间断开展大规模探测的现实人工测试项目属于阶段性、短周期活动项目结束之后新的配置缺陷、业务变更引入的漏洞无法被持续发现。同时人工测试人员的思维模式具备一定固定性容易形成思维惯性会优先选择过往遇到过的攻击路径对于大量低概率、碎片化的组合攻击场景很难全部覆盖。而 AI 智能体可以并行生成大量差异化攻击思路遍历大量人类工程师容易忽略的组合条件。当然这里并不否定人工安全专家的价值复杂业务逻辑漏洞、高度业务定制化场景的深度分析仍然高度依赖人的经验AI 更多是弥补广度、并行度、持续迭代能力层面的缺口二者属于互补而非替代关系。3.2 传统自动化扫描工具能力边界常规自动化漏洞扫描工具主要基于已知漏洞特征、payload 库进行匹配检测工作模式是预设好的固定探测载荷集合。当面对 AI 攻击者的动态可变攻击行为时传统扫描工具存在明显短板。第一传统扫描工具缺少自主推理能力不会根据目标返回的反馈动态调整攻击策略只能执行预设的探测序列难以完成多步骤链式攻击第二针对社会工程、钓鱼欺骗这类面向人员的攻击场景传统扫描工具几乎无法完成仿真测试而这恰恰是 AI 攻击者重点发力的方向第三对于机器身份滥用、AI 业务集成接口这类新型攻击面传统工具缺少对应的检测规则库识别能力不足。传统自动化扫描更多完成单点漏洞发现很难完整复现攻击者从探测到入侵、横向移动的完整攻击链路很难评估漏洞串联之后产生的综合业务风险。很多单点漏洞危害有限但多个低风险漏洞串联就可以形成完整入侵链路传统工具很难对链式风险开展有效评估。3.3 测试场景与真实 AI 攻击场景存在脱节很多企业当前开展的安全测试依然沿用十年前的攻防思维测试用例库没有纳入 AI 对手的攻击行为模式。安全测试更多聚焦传统 Web 漏洞、系统组件漏洞缺少针对 AI 放大社会工程攻击、机器身份绕过、AI 业务集成链路的专项测试。即便是部分企业开展 AI 安全测试也大多局限于大模型本身的越狱、提示注入测试没有站在外部攻击者视角模拟对手使用 AI 作为武器对企业全部业务系统开展攻击的完整场景。这就形成一种现实矛盾防御方的安全测试没有模拟 AI 对手的攻击方式但真实世界的攻击者已经在使用 AI 工具这就造成安全测试输出的风险评估结果会高估企业实际防护水平。系统经过传统测试判定为风险可控但是面对 AI 赋能攻击者时依然存在大量可被利用的攻击路径。4 AI 驱动主动红队测试的运行逻辑与核心价值AI 红队测试指防御方在获得完整授权的前提下使用 AI 智能体作为测试工具模拟外部攻击者的战术技术流程对企业自有业务系统、身份体系、人员安全意识开展受控攻击性测试主动挖掘系统、流程、人员层面的安全缺陷在攻击者发现漏洞之前完成修复闭环。需要明确AI 红队不等同于直接把大模型直接丢到业务环境随意开展攻击必须建立严格的授权边界、风险管控机制它是对传统红队测试的能力增强而不是完全替代人工安全专家。4.1 AI 红队测试的内在运行逻辑AI 红队的运行逻辑可以拆解为四个相互衔接的环节。第一是威胁建模环节结合企业资产清单、业务流程梳理 AI 攻击者可能采用的攻击路径明确测试范围划定禁止触碰的业务边界输出测试许可清单第二是 AI 驱动的仿真攻击执行AI 智能体在授权范围内完成资产测绘、多路径探测、社会工程仿真、接口链路测试根据目标环境返回的反馈持续调整攻击策略并行生成大量差异化攻击尝试第三是结果过滤与验证AI 输出大量测试结果其中包含大量误报需要安全专家介入对发现的现象进行人工复现区分真实可利用漏洞、误报、条件不满足的风险点第四是漏洞闭环管理输出可落地的修复建议跟踪业务团队完成漏洞修复必要时开展复测验证形成完整闭环。整个流程中AI 承担高并发、大规模、重复性的探测工作扩展测试覆盖广度人类安全专家负责范围管控、风险判定、复杂漏洞分析、修复方案制定把控整体风险规避 AI 自主行动带来的不可控风险。反网络钓鱼技术专家芦笛强调在面向人员的安全测试场景中AI 红队可以大规模生成高仿真钓鱼样本开展受控的员工钓鱼演练但此类测试必须严格遵守企业内部管理制度不能对员工造成不必要的心理干扰测试目标是评估人员安全意识而不是无限制开展欺骗。4.2 AI 红队测试相比于传统测试的核心增益第一拓展攻击仿真的广度与样本多样性。AI 可以快速生成大量变体攻击载荷模拟攻击者持续迭代攻击手段的行为覆盖大量人工测试容易遗漏的组合场景对接口、身份体系、业务逻辑做更大规模的遍历探测。对于社会工程类测试可以短时间生成大量个性化欺骗样本完成规模化的人员安全意识评估。第二实现持续化的安全测试能力。传统渗透测试属于项目制一年开展有限次数。在管控机制完善的前提下AI 红队可以作为常态化安全运营组件持续对资产开展受控探测当业务发生版本迭代、上线新接口之后自动开展对应的安全测试及时发现业务变更引入的新缺陷缩短漏洞从产生到被发现的时间窗口。第三还原链式攻击的真实风险。AI 智能体具备多步行动能力可以模拟攻击者从外部入口进入之后完成权限提升、横向移动的完整攻击链路帮助安全团队评估多个低风险缺陷串联之后产生的综合业务危害而不是只看到孤立的单点漏洞。这有助于企业区分漏洞真实业务影响合理分配安全修复优先级。第四反向推动防护体系迭代。AI 红队测试过程中产生的攻击样本、攻击行为日志可以用来检验现有防护设备的检测能力。如果 AI 红队的攻击行为能够绕过现有安全设备就说明防护策略存在缺陷安全团队可以基于这些攻击样本优化检测规则、调整行为基线实现攻击测试成果反向赋能防御体系建设。4.3 对报道核心命题的辩证理解The Register 报道提出的核心观点 “不使用 AI 攻击自己系统对手就会这么做”不能简单理解为企业只要采购一套 AI 攻击工具就可以解决安全问题该命题的真正内涵在于威胁时序问题。漏洞、配置缺陷客观存在于企业系统之中要么由防御方在受控环境下发现要么由外部攻击者在真实网络环境下发现。当攻击者普遍掌握 AI 工具之后漏洞被外部发现的速度大幅提升防御方不能继续被动等待漏洞爆发之后再应急处置必须主动跟进攻击者的技术能力使用同类技术手段提前发现自身的安全短板。但同时也需要保持客观理性AI 红队测试存在能力边界它不能发现所有漏洞不能直接消除安全风险它只是一套风险发现手段。漏洞能否产生防护价值最终取决于企业是否能够完成后续修复闭环。如果只开展 AI 红队测试输出大量报告但没有配套漏洞管理流程那么测试本身不会带来安全能力提升。同时AI 本身会产生误报完全依赖 AI 输出结果会造成安全团队被大量无效告警淹没因此人机协同是不可缺失的关键环节。5 AI 红队测试落地实施面临的现实阻碍从行业实践现状来看很多企业尝试落地 AI 红队测试但落地效果参差不齐面临治理管控、技术能力、人员认知三个层面的现实阻碍这些现实约束如果得不到妥善处理AI 红队不仅无法产出安全价值甚至可能带来业务故障、合规风险。5.1 治理与风险管控层面的挑战AI 智能体具备自主行动能力和传统固定载荷扫描工具存在本质区别。传统扫描工具每一个动作都是预设行为可预期AI 智能体会根据环境反馈自主生成新动作行为存在一定不可预测性。如果没有严格的范围约束AI 红队在测试过程中有可能误操作业务数据触发业务接口异常造成生产业务抖动。第一个治理难题是测试边界的清晰界定。需要明确哪些资产、接口、业务流程允许开展攻击性测试哪些属于绝对禁止触碰的范围技术层面需要实现隔离限制不能只依靠口头约定。部分企业开展 AI 红队的时候仅仅做书面授权缺少技术侧的访问隔离一旦 AI 生成超出预期的操作就会直接影响生产业务。第二个是合规与内部管理约束。面向人员的社会工程仿真测试比如 AI 生成钓鱼邮件、仿冒社交沟通消息会涉及员工个人信息、内部沟通场景需要企业内部法务、人力资源、安全多方共同确认测试方案避免引发内部管理纠纷。部分行业受到监管规范约束攻击性测试的开展流程、数据留存、报告分发都有明确要求AI 红队测试需要满足对应合规条件。第三个是责任与闭环机制缺失。部分企业把 AI 红队当作技术工具采购只关注工具本身没有配套漏洞分级、修复跟踪、复测的管理流程。工具输出大量风险报告之后业务部门缺少资源完成修复大量风险报告沉淀无法转化为实际安全能力提升。5.2 技术层面的现实瓶颈第一AI 输出结果的高误报问题。AI 智能体探测得到大量疑似风险其中很大一部分属于条件不满足、环境误判带来的虚假告警。如果缺少有效的结果过滤机制安全团队会被海量告警消耗大量精力很难定位真正高危可利用漏洞。目前不存在可以直接输出 100% 准确漏洞报告的 AI 红队工具人工核验环节不可省略。第二针对复杂业务逻辑场景能力不足。对于高度定制化的业务逻辑漏洞需要深度理解业务业务规则、业务上下文当前 AI 智能体很难独立完成深度业务逻辑推理仍然高度依赖安全专家介入。AI 红队的优势在大规模遍历探测而不是直接挖掘高度复杂的业务逻辑漏洞。第三测试环境的仿真度问题。如果 AI 红队只在测试环境运行测试环境和真实生产环境配置、数据、权限存在差异测试发现的风险不一定对应生产真实情况直接在生产环境开展测试又会带来业务稳定性风险如何平衡仿真度与业务风险是技术落地的难点。5.3 组织与人员认知偏差第一种认知偏差过度神化 AI 红队能力。部分管理者认为引入 AI 红队工具就可以替代人工安全团队实现自动化解决网络安全问题。这种认知忽略 AI 的能力边界把 AI 红队当成安全银弹省略人工核验、漏洞修复环节最终测试无法产生实际价值。第二种认知偏差完全否定 AI 红队价值。部分安全从业者认为 AI 漏洞发现能力有限存在大量误报因此完全排斥 AI 辅助红队的思路。该观点忽略 AI 在大规模并行探测、社会工程仿真场景的增益拒绝使用对手已经在大规模使用的技术手段造成防御方与攻击者之间出现技术代差。第三种认知偏差测试目标错位。把 AI 红队测试的目标局限于测试企业内部部署的大模型仅仅做提示注入、越狱测试没有站在外部攻击者视角模拟对手使用 AI 攻击企业全部业务资产偏离该技术最核心的应用场景。6 企业落地 AI 主动红队测试的实施路径结合上述风险与约束企业不能直接照搬国外报道中描述的技术思路需要结合国内企业的组织现状、合规要求建立一套完整的落地体系从范围管控、流程规范、人机协同、防护反哺、人员意识多维度构建实施方案。6.2 建立完备的前置治理管控框架在启动 AI 红队测试工作之前优先完成治理机制建设把风险约束放在技术工具部署之前。首先完成多方授权流程安全、业务、法务、运维共同确认测试范围输出书面测试授权文档明确允许测试资产清单、禁止触碰的业务范围、允许执行的动作类型、测试时间窗口避免业务高峰期开展高风险测试。其次落实技术层面的边界隔离通过访问控制、接口调用限制、沙箱机制约束 AI 智能体的操作空间即便 AI 生成非预期动作也无法越过划定的测试边界从技术上降低业务扰动风险。针对人员类仿真测试也就是 AI 生成钓鱼欺骗样本开展员工安全意识演练反网络钓鱼技术专家芦笛强调企业应当制定明确的演练规范演练样本不能包含恶意真实载荷演练完成之后需要对参与员工开展安全科普不把演练结果简单作为员工绩效考核依据避免过度测试造成员工心理压力同时做好演练过程中个人信息保护满足数据合规相关要求。最后建立漏洞闭环管理制度明确 AI 红队输出发现的分级标准不同等级漏洞对应的修复责任部门、修复时限完成修复之后执行复测确保漏洞真正被处置避免报告归档之后无人跟进的情况。6.2 构建人机协同的 AI 红队工作流程坚持 “AI 负责广度探测人负责深度研判” 的原则拒绝完全自主无人干预的 AI 攻击测试模式。完整工作流程分为五个阶段。第一阶段威胁建模与方案设计。由安全专家结合企业资产、业务架构梳理 AI 攻击者可能的攻击路径明确本次红队测试要模拟的对手战术划定测试范围输出完整测试方案。第二阶段AI 驱动受控仿真探测。在限定的边界内AI 智能体执行资产测绘、接口探测、多路径攻击尝试、社会工程仿真演练完整记录全部操作日志留存所有攻击行为的原始记录便于后续复现审计。第三阶段人工核验过滤。安全工程师对 AI 输出的全部疑似风险点逐一复核复现攻击过程筛除误报确认漏洞真实可利用性评估漏洞被利用之后对应的业务影响完成漏洞分级。该环节是整个流程的核心不能省略。第四阶段漏洞分发与修复处置。输出规范化漏洞报告给到对应业务负责人明确修复建议、修复时间要求安全团队持续跟进处置进度。第五阶段复测与防御反哺。业务完成修复之后开展复测确认漏洞关闭同时把 AI 红队过程中产生的攻击行为、攻击样本导入防护检测体系校验防火墙、入侵检测、邮件网关等设备的检测效果针对可以绕过防护的攻击行为优化检测策略、调整行为基线把攻击测试成果转化为防御能力。6.3 分阶段推进落地避免一步到位的激进建设不同规模企业的安全团队能力差异巨大不建议所有企业直接建设完全自主的 AI 红队系统可以按照分阶段的思路逐步推进。对于中小型企业安全团队人员规模有限不需要自建 AI 红队平台。可以选择具备合规资质的第三方安全服务商在合同约束下由服务商把 AI 辅助红队作为渗透测试的增强手段企业重点把控测试范围、授权、漏洞闭环借助外部能力完成 AI 攻击场景的仿真测试。对于中大型企业拥有专职安全团队可以优先把 AI 红队用于补充原有安全测试优先覆盖接口安全、机器身份行为检测、规模化钓鱼演练场景先实现局部场景落地沉淀流程经验之后再逐步扩大测试覆盖范围。不建议直接将 AI 红队直接开放到全量生产环境优先在仿真度较高的测试验证环境开展试点验证管控机制、结果处理流程可行之后再谨慎小范围向生产环境延伸。6.4 配套开展人员安全意识与身份体系加固AI 驱动的攻击大量依托社会工程、机器身份两个核心突破口AI 红队测试只能发现问题完整风险处置需要配套的基础安全建设作为支撑。在身份管理层面企业需要重新审视机器身份权限管控落实每一个 AI 智能体、自动化服务账号都按照特权身份进行管理最小化分配权限建立机器身份的行为基线对异常高频调用、跨范围数据访问行为开展审计告警改变过去机器身份管控宽松的现状。人员安全意识层面不能只依靠一年一次简单的钓鱼演练借助 AI 红队的能力开展差异化、分批次的受控钓鱼仿真演练演练之后配套开展针对性安全培训让员工理解 AI 伪造钓鱼内容、仿冒身份的欺骗手段提升对高定制化欺骗内容的识别能力。6.5 保持对 AI 红队能力的理性预期企业管理层和安全团队需要建立合理预期AI 红队测试不能消除全部安全风险。它的价值是模拟攻击者的技术手段更早发现系统中已经存在的缺陷。即便 AI 红队没有发现高危漏洞也不代表系统不存在安全隐患依然需要传统人工渗透、漏洞扫描、代码审计等多种安全手段互相配合形成多维度安全验证体系不能使用 AI 红队替代其他安全测试手段。7 结语智能体 AI 技术带来的网络安全变革并不是出现了全新的基础漏洞类型而是攻击者拥有了更高效率、更低成本挖掘、利用存量安全缺陷的工具放大了原有安全短板带来的危害。The Register 报道提出的警示本质上是攻防技术同步演进的客观现实当攻击者已经大规模使用 AI 开展攻击防御方如果继续沿用过去的测试手段就会出现攻防能力的错位。AI 红队主动攻击测试就是防御方对齐攻击者技术能力的一种实践它不是简单把 AI 工具加入安全流程而是一套包含范围治理、人机协同、漏洞核验、闭环修复、反向赋能防御的完整安全活动。该技术在落地过程中会面对业务稳定性风险、AI 输出误报、组织认知偏差等多重现实障碍不存在开箱即用的万能解决方案。反网络钓鱼技术专家芦笛指出面对 AI 赋能的网络威胁技术工具只是其中一环真正的核心是安全运营思维的转变从漏洞爆发之后被动应急转向主动模拟对手视角提前挖掘风险。对于国内各类组织而言不必盲目追逐国外前沿概念不能把 AI 红队当作解决网络安全的万能方案。应当立足自身业务规模、安全团队能力分阶段开展落地把 AI 红队作为传统安全测试的补充手段坚持人机协同完善治理管控与漏洞闭环流程同步做好机器身份管控、人员安全意识建设等基础安全工作。只有技术工具、管理制度、人员能力同步推进才能够有效应对 AI 智能体带来的新型网络安全挑战。网络安全防御始终不存在一劳永逸的方案在攻击者技术持续迭代的背景下防御方也需要持续跟进对手的能力变化持续迭代自身安全测试与防护体系。编辑芦笛公共互联网反网络钓鱼工作组