映射AI驱动的网络威胁：LLM ATT&CK Navigator的洞察

Mapping AI-enabled cyber threats: Insights from the LLM ATT&CK Navigator

二〇二六年六月十七日 · 英文原文

摘要

Anthropic 与 Verizon 合作，分析了 2025 年 3 月至 2026 年 3 月期间 832 个因违反使用政策而被封禁的账户，将 13,873 次恶意活动映射到 MITRE ATT&CK 框架。研究发现，中等或高风险行为者比例在半年内从 33% 跃升至 56%，AI 正帮助攻击者更轻松地实施复杂网络行动。最高风险行为者使用 AI 进行横向移动、凭据转储等动手操作技术，而非仅用于工具开发。Agentic 脚手架（如 Claude Code 结合 MCP 服务器）使攻击能自主编排 killchain，但此类行为尚未被 ATT&CK 框架覆盖。Anthropic 已据此更新分类器与探针，并与 MITRE 讨论框架演进。

Kyla Guru, Alex Moix, and Jacob Klein

过去一年，我们一直在调查威胁行为者如何将 AI 武器化以实施网络行动。今天，我们分享一项新分析，将这些真实世界的攻击映射到 MITRE ATT&CK® 框架——一个网络攻击者使用的战术和技术数据库。这样做揭示了一些挑战传统网络安全假设的模式——例如，威胁行为者带来的风险等级可以通过技术复杂度或技术广度等指标来评估。我们与 Verizon 合作，将其中部分结果纳入 2026 年 Verizon 数据泄露调查报告 (DBIR)，并发布本报告，以提供对我们在 AI 赋能网络行动中观察到的趋势的更长期分析。[1]

在新标签页中打开交互式 Navigator。

主要发现

在本研究中，我们分析了一年内（2025 年 3 月至 2026 年 3 月）与恶意网络活动相关的 832 个账户。Anthropic 因这些账户违反我们的使用政策而禁止其使用 Claude。本分析中的账户只是我们在此期间调查并封禁的账户的一个子集；我们选择它们是因为我们有足够关于其恶意活动的细节，可以将其技术映射到 MITRE ATT&CK 框架上。

我们分析中的 832 个账户使用 AI 模型涵盖了框架中的所有 14 种战术和 482 种独特子技术，从初始侦察到最终影响。[2] 我们还开发了一个风险评分框架（本文后面会描述）来评估 AI 辅助对这些行为者规划攻击的帮助程度。最引人注目的是，我们发现，在一年中的上半年和下半年之间，被标记为中等风险或更高风险的行为者比例从 33% 跃升至 56%。这表明 AI 正在帮助攻击者更轻松地实施日益复杂的网络行动。

我们的分析有三个关键发现：

使用 AI 进行网络操作的行为者数量正在增长，其行动带来的风险更高。 如上所述，中等或高风险行为者的比例在不到一年内增加了约 1.7 倍，从我们研究窗口上半年的 33% 增加到下半年的 56%。这种增长集中在那些使用 AI 进行一些最具危害性活动的行为者身上，包括横向移动、凭据转储和 web shell——这些活动在我们的评分中具有最高的每个行为者风险权重，而不是主导其余人群的商品化构建和混淆工作。传统上，只有技术最精湛的行为者才能在整个 killchain（网络攻击的连续阶段）中运作。但我们的分析发现，情况已不再如此。他们访问模型的平台（例如 API 或像 Claude Code 这样的 agentic 编码平台）也与其行动的风险高低无关。真正区分最高风险行为者的是他们要求模型执行哪些技术。
Agentic 脚手架将使网络攻击实现更高程度的自主性。 随着 AI 赋能的网络技术在这一群体中变得越来越普遍，根据行为者要求模型做什么来区分其风险等级将变得更加困难。相反，区分因素将变成脚手架——使 AI 模型能力更强的周边代码、架构和工具——即行为者在模型周围构建的，以便他们能够自主地将攻击阶段串联起来。这一点在我们于 2025 年 11 月破坏的网络间谍活动中表现得尤为明显，该活动的风险评分高达 100，但使用的技术数量却与中等风险行为者相当。那次攻击之所以与众不同，并非因为其采用的技术数量，而是因为攻击者如何使用 AI agent 来编排这些技术。
MITRE ATT&CK 框架尚未涵盖使这些行为者如此危险的自主行动。 自主的 killchain 编排、实时 pivot 决策以及无需人工干预的 AI 指导执行，在 ATT&CK 框架中还没有 ID 编号。我们的报告包含了 13,873 次恶意活动观察，所有这些都映射到了框架中列出的类别——但那些区分最高风险行为者、并决定其行动速度和规模的行为，还没有这样的 ID。现代威胁情报所依赖的分类法需要发展以捕捉这些行为。

虽然 Claude Mythos Preview 展示了前沿 AI 网络能力的发展方向——模型能够以接近最熟练人类研究人员的水平发现和利用漏洞——但本报告告诉我们的是威胁行为者今天如何滥用普遍可用的模型。它也为威胁行为者在不久的将来可能如何滥用能力日益增强的模型提供了指南，让防御者有机会领先一步。

我们从这次及其他分析中学到的东西，直接塑造了我们构建 Claude 以防止此类滥用的方式。例如，我们更新了内置于 Claude 的分类器以检测最高风险的行为者，并扩展了我们的探针检测，以覆盖本分析揭示的高风险行为指标。这些发现指向一个格局，其中低风险和高风险行为者之间的分界线不再是技术技能，而是编排能力；并且防御、检测以及我们都依赖的共享框架，需要像它们所描述的攻击一样快速地演进。

关于数据集

本报告中的发现来自 832 个账户，这些账户因在 2025 年 3 月至 2026 年 3 月期间违反我们使用政策中与网络相关的部分而被 Anthropic 封禁。我们通过自动化安全措施和威胁情报团队的调查相结合的方式识别了这些账户。对于每个账户，我们生成了观察到的活动的摘要。然后，我们提取了这些摘要中描述的战术、技术和程序（TTP），并将它们映射到当时活跃的 MITRE ATT&CK 框架版本（V18）。总共，我们观察到了 13,873 次行动，涉及 482 种独特技术和所有 14 种 ATT&CK 战术。

我们根据一种新开发的方法论——AI 风险赋能评分（ARiES），为每个行为者分配了 0 到 100 的风险评分（0 为最低风险，100 为最高风险），该方法将在下文描述。我们对数据进行了匿名化处理，以便在后续分析中无法识别行为者身份。

LLM ATT&CK Navigator 和 ARiES 风险评分

作为本分析的一部分，我们开发了 LLM ATT&CK Navigator：一个交互式框架，将观察到的 AI 赋能滥用模式映射到 MITRE ATT&CK 框架上，并为行为者分配 ARiES 风险评分。ARiES 是一个由三个信号构成的复合评分：行为者的威胁概况、模型对所请求危害的贡献，以及观察到的或潜在的影响。它是根据行为者在 Claude.ai、Claude Code 和我们的 API 上的活动，结合我们的安全分类器以及开源和内部威胁情报指标计算得出的。评分越高，AI 赋能的行为者风险越高。

我们的框架从三个维度对单个技术和账户进行评分：

威胁（0–35 分）： 评估行为者意图的清晰度、其技术复杂度、威胁情报信号以及账户为逃避检测而采用的战术。技术复杂度由 Claude 根据行为者的提示和工具使用情况进行分级，衡量所需的专业知识、操作员技能、定制与商品化工具以及能力深度。
脆弱性（0–35 分）： 评估模型实现所请求危害的能力以及所用接口的风险概况。程序化接口（即 API）和像 Claude Code 这样的 agentic 编码工具因其自动化行动的潜力而得分最高。
影响（0–30 分）： 通过我们的安全分类器分配的分数以及调查人员对 AI 参与操作所导致的实际或潜在后果的评估，来捕捉用户行为的真实世界影响。

这些组成部分共同产生一个从 0 到 100 的总风险评分，使我们能够将威胁行为者和技术分类为低、中、高和严重风险等级。

关于评分公式的说明

网络威胁行为者如今如何使用 AI

我们对 13,873 种观察到的技术的实证分析揭示了对手在攻击生命周期中使用 AI 的清晰模式，以及模型目前最常被用于的技术。

AI 辅助能力开发

我们观察到的最常见技术族是 ATT&CK ID T1587（开发能力），在我们分析的 832 个行为者中，有 574 个（占 69%）使用了该技术。这种行为主要表现为 T1587.001（恶意软件开发），有 560 个行为者使用。在实践中，我们观察到威胁行为者滥用模型来构建和完善自定义脚本以运行、编写带有详细实现指导的 DLL 注入代码，以及 canvas 指纹识别规避和自动化账户管理。

其次最普遍的技术是 T1027（混淆文件或信息），被 64.7% 的威胁行为者使用；T1005（来自本地系统的数据），被 55.9% 的威胁行为者使用；以及 T1562（削弱防御），被 54.9% 的威胁行为者使用。这些顶级技术共同表明，威胁行为者最常寻求 LLM 的帮助来构建交战前的进攻性工具、使这些工具更难被检测，以及从被攻陷的系统中收集数据。

另一方面，一旦行为者进入目标网络，他们使用 LLM 进行实时、自适应决策的可能性要小得多。例如，832 个威胁行为者中只有 54 个（6.5%）使用模型进行横向移动，而使用模型进行远程服务（如 RDP、SSH 和 SMB）的行为者不到 12 个。只有 22.5% 的行为者使用 LLM 进行权限提升和影响阶段。

一些在真实世界网络攻击中常见的核心技术族——例如 Active Directory 利用、Kerberos 票据攻击、云基础设施操纵（AWS、Azure、GCP）和容器逃逸——在数据集中的代表性明显较低。

在我们研究的一年期间，顶级技术以及行为者使用它们的频率变化不大。在该期间的上半年和下半年，模型被用于的技术的中位数都是 16 种。在一年中的下半年，我们观察到一个微妙的趋势转变，威胁行为者使用模型来构建独立恶意软件或混淆脚本的情况减少，而更多地用于帮助网络攻击中的特定操作阶段，以及用于目标上的发现和收集技术。具体来说，我们观察到 T1087（账户发现）的发生次数增加了 8.9%，T1020（自动化外泄）增加了 6.2%，同时 T1587（开发能力）减少了 12%，T1566（钓鱼）减少了 8.6%。

AI 辅助规避战术

防御规避是数据集中最大的单一战术类别，出现在我们研究的 84.4% 的行为者的行为中。MITRE 在“防御规避”下定义了 64 种技术（涵盖其企业和移动特定框架）；我们在数据集中观察到了其中的 32 种技术：25 种用于企业，7 种用于移动。

在此战术中观察到的顶级技术包括：

T1027（混淆文件或信息）。 我们样本中 64.7% 的威胁行为者使用 AI 来实现诸如 XOR/base64 编码、多态变体和反检测包装器等技术，以规避基于签名的检测。
T1562（削弱防御）。 54.8% 的受研究威胁行为者使用 AI 来绕过、禁用或篡改端点安全工具。
T1055（进程注入）。 30.3% 的行为者使用 AI 编写可注入到合法进程中的恶意代码，例如进程镂空和 DLL 注入，以从受信任的进程内存中执行 payload。

使用频率较低的战术包括影响（2.8%）、外泄（2.8%）、权限提升（2.4%）和横向移动（0.7%）。这些合计仅占所有观察结果的 8.7%——还不及防御规避一项。这些行动都发生在攻击生命周期的后期阶段，表明威胁行为者在攻击的早期阶段使用模型更多，而在后期阶段使用较少——也就是说，一旦他们渗透进网络并在实时环境中适应情况。这种模式在我们研究的一年期间保持稳定。

高风险行为者及其战术

虽然像横向移动这样的战术在我们的数据集中远不那么普遍，但它们与最高的 ARiES 风险评分高度相关——这意味着最高风险的行为者也最有可能在网络攻击的后期阶段使用模型。使用 AI 进行横向移动的行为者，其风险评分平均比不以这种方式使用 AI 工具的行为者高 10.5 分。这表明，从使用 AI 准备网络攻击到使用 AI 在实时网络操作中采取行动，是 AI 高度赋能的关键标志。

总体而言，风险评分最高的行为者最严重地使用 AI 进行入侵后的、动手操作的技术，例如远程服务、凭据转储、web shell 部署以及内部网络和账户发现。横向移动是高风险行为者最强烈的标志：我们数据集中使用横向移动的 54 个行为者，其平均风险评分为 56.4，比平均值 46.8 高出近 10 分。没有其他技术具有如此接近的预测能力。

在技术层面，最高风险行为者最常使用的技术是 T1021（远程服务：SSH/SMB）、T1078.003（有效账户）、T1003（操作系统凭据转储）、T1560（归档收集的数据）和 T1505.003（Web Shell）。这些技术在最高风险行为者中的普遍程度是总体人群的三到五倍。

与此同时，最普遍的战术（如防御规避和资源开发）和商品化技术（如凭据填充和鱼叉式钓鱼）在最高风险和最低风险行为者中的使用频率大致相同，鉴于这些战术非常普遍，这并不令人意外。综合来看，数据表明大多数威胁行为者使用 AI 在攻击的准备阶段构建恶意代码等工件，但最高风险的行为者既在攻击的准备阶段使用模型，也在被攻陷网络内的动手操作工作中使用模型。

我们还发现，威胁情报团队通常用来评估威胁行为者的属性——例如他们被评估的技术技能、接口选择或使用的技术数量——是预测 AI 模型可能为特定威胁行为者提供多大提升的弱指标。技术复杂度，一旦从复合评分中移除以避免循环论证，与剩余风险组成部分的相关性仅为 r = 0.28。事实上，完全移除这一特征后，排名前六的行为者顺序保持不变（所有 832 个行为者的 Spearman ρ = 0.96）。高风险尾部并非技术复杂度组成部分的产物。

技术覆盖广度与风险评分之间的相关性也仅为弱正相关（r = 0.27）。大多数行为者使用模型来执行少量技术；事实上，我们数据集中的中位数行为者部署了 16 种不同的 MITRE ATT&CK 技术——这种广度在五年前可能标志着资源充足、技术成熟的操作。

最后，接口选择也讲述了类似的故事——本研究中 80% 的行为者滥用了 Claude Code，使得 agentic 工具成为默认的访问模式而非区分因素，并且仅限于对话界面、API 或 agentic 编码工具的行为者，其风险概况在统计上无法区分。

这告诉我们的是，从 AI 中获得最大提升的恶意行为者不一定比其他行为者技术更精湛，也不一定使用编码工具或在 killchain 的多个步骤中使用 Claude；相反，他们只是将 Claude 用于更多动手操作的技术。

实时利用行为者数量上升

正如我们上面讨论的，在 AI 赋能方面获得中等或更高评分的行为者比例，从研究第一个六个月期间的约 33.5% 增长到第二个六个月期间的约 56.1%——在不到一年内增加了 1.7 倍。在这两个时期之间，该群体转移了约 22.6 个百分点：在第一个六个月期间，大多数行为者风险评分较低，而在第二个六个月期间，大多数行为者风险评分中等。

虽然改进的威胁检测技术可能促成了这一增长，但我们也看到越来越多的行为者要求模型执行更多的操作性、网络内工作，这些工作过去只出现在一个小得多的高风险行为者群体中。在研究的第二个六个月期间，我们看到更多专业化的行为者使用模型来构建利用工具、C2 基础设施和远程访问木马——但我们也看到更多低技能和中技能的行为者不仅使用模型进行准备性任务，还用于实时操作。我们从第一个六个月期间到第二个六个月期间观察到的 T1087（账户发现）增加 8.9% 和 T1020（自动化外泄）增加 6.2%，与此一致：变得越来越频繁的技术是那些暗示行为者已经访问了网络的技术。

这对防御者意味着：AI 赋能的行为者群体不仅在增长，而且正在向我们框架中风险最高的活动漂移，而行为者本身无需变得更熟练。如果这种趋势持续下去，这些操作性技术将不再是区分因素，而将成为明天的基线——我们将需要找到一种新的方法来衡量风险最高的行为者。在下一节中，我们将讨论未来如何做到这一点。

AI Agent 时代的新颖性与复杂性

审视我们最高风险的威胁行为者也强调，仅基于攻击技术的数量、类型或广度来计算 AI 赋能网络操作的风险是不够的。我们还需要一种方法来理解威胁行为者能够构建的脚手架，以将这些技术串联起来用于实时操作，这使他们能够使用 AI 模型在无需人工干预的情况下自主执行网络攻击的大部分内容。

我们分析了策划我们 2025 年 11 月报道的 AI 赋能网络间谍活动的威胁行为者的行为，标记为 GTG-1002，我们看到该行为者达到了 100 的最高可能风险评分，成功攻陷了多个国家的政府和关键基础设施目标，并开发了一个脚手架，将 Claude Code 用作自主操作者而非顾问。然而，他们的整体 MITRE 概况——跨越 13 种战术的 30 种技术——与本数据集中数十个中等风险行为者相当。中位数行为者部署了 16 种技术；几个低风险行为者也超过了 30 种。换句话说，仅凭技术数量或战术类型无法解释为什么 GTG-1002 是我们迄今为止观察到的最高风险行为者。

真正解释该行为者高风险评分的是他们使用的日益 agentic 的组件：他们如何能够编排和串联技术以实现其目标。GTG-1002 将在 Kali Linux 机器上运行的 Claude Code 武器化，将开源渗透测试工具集成为 MCP（模型上下文协议）服务器——有效地将 AI 转变为一个自主攻击平台，而不是一个代码编写助手。AI 不仅建议命令或生成攻击脚本；它还执行这些命令并自主推理攻击环境。他们“agentic 性”的一些迹象通过我们跟踪的技术类型间接显示出来；GTG-1002 采用了诸如 T1021.004（远程服务：SSH）、T1210（远程服务利用）和 T1560（归档收集的数据）等操作性技术。但主要的区分因素是：

阶段内的自主执行：GTG-1002 部署了在 Kali 机器上运行的 Claude Code，以自主编排数十个 MCP 工具操作——在侦察期间扫描和映射数十个面向互联网的服务，然后一旦进入网络，发现内部管理门户、数据库、日志服务器和时间工作流系统。AI 不仅建议命令；它执行这些命令，就下一步探测什么做出战术决策，而无需等待操作员输入。
实时利用和 pivot：在 GTG-1002 的脚手架内运行，AI 利用面向公众的 Web 服务器中的 SSRF 漏洞将命令代理到内部云环境中，从内部基础设施中收集 SSH 私钥，并从云元数据服务和 AWS Secrets Manager 中收集服务账户令牌，并使用这些收集到的凭据在受害者的云环境中横向移动。这些是操作阶段（发现 → 凭据访问 → 横向移动），在我们的数据集中较为罕见。
人类意图，AI 执行：GTG-1002 提供战略方向，而 AI 处理战术实施。AI 在侦察和内部发现期间自主运行，在遇到意外基础设施（如容器镜像签名工作流和服务账户身份）时调整其方法，并暂存和压缩数万个专有工作流记录和内部架构文档以备外泄。最终的数据提取——通过 curl MCP 工具调用下载到攻击者的机器——是由人类指导的，表明操作员保留了对关键决策的控制权，同时将操作工作委托给了 AI。

GTG-1002 的活动是新颖的，因为它使用 AI agent 自主地将网络攻击生命周期的许多阶段——侦察、利用、横向移动和外泄——串联成一个连贯的操作，就做什么和收集什么数据做出实时决策。这是技术频率表无法捕捉的 AI 赋能提升的维度，也是我们预计随着 agentic 工具成熟而变得最重要的维度。

我们如何使用 Navigator 来指导我们的安全措施

本报告中的发现塑造了我们检测、调查和破坏 AI 赋能网络滥用的方式。

首先，我们的风险评分显示，最高风险的行为者并不总是最显眼或最多产的——他们在所采用技术的类型和数量上通常看起来很普通，而是通过他们如何编排其 AI 来执行整个网络操作来区分。我们正在相应地更新我们的检测系统，扩展我们的分类器和探针以捕捉与高 ARiES 评分相关的技术。我们还在开发针对无法清晰映射到 MITRE 的 agentic 滥用模式的检测信号，例如多步自主执行、AI 指导的 pivot 决策以及通过 MCP 服务器和类似接口进行的工具增强操作。

其次，我们已经在我们最强大的模型上推出了实时网络安全措施，这些措施在请求级别自动检测并阻止被禁止的活动（例如勒索软件开发或大规模数据外泄）。我们现在还将风险较高的双重用途活动——网络攻击者和防御者都可能进行的活动——通过我们的网络验证计划 (CVP) 进行路由，这允许防御从业者继续在他们的工作中使用我们的模型。

第三，通过 Project Glasswing，我们在向公众提供我们最强大的模型之前，正在研究其进攻性网络能力，以便我们在威胁行为者能够利用它们之前了解 AI 网络能力的发展方向，并在此类滥用发生之前设计安全措施。

最后，继我们与 Verizon 在 2026 年数据泄露调查报告上的合作之后，我们现在正在与 MITRE 积极讨论 ATT&CK 框架如何演进以捕捉我们在本分析中观察到的 AI 原生操作行为。我们还继续与政府和行业的合作伙伴分享技术指标、威胁行为者使用的战术、技术和程序以及调查发现。

MITRE ATT&CK 的新时代

最危险的行为者现在正在使用 AI 来编排攻击，而不仅仅是构建实现此类攻击的工具，而威胁调查人员用来追踪威胁的框架尚未跟上。当低技能行为者能够构建、指挥和操作专家级的 harness 时，依赖行为者技术精湛的传统框架将会失败。

从一年来映射此活动以及我们与 Verizon 的合作中得出的一个明确教训是，我们必须扩展我们共享的威胁词汇。MITRE ATT&CK 捕捉了行为者执行的单个技术，但将最高风险行为者与其他行为者区分开来的行为——例如整个 killchain 的 agentic 编排，或目标的自主选择——尚未被此分类法捕捉。

我们相信，下一步是向 ATT&CK 框架添加新的跨领域类别，以帮助威胁调查人员识别将多种技术串联在一起的 agentic、自主和决策行为。这将为防御者提供一种与对手在野外如何使用 AI 工具保持同步的词汇。

与此同时，防御者显然需要以与攻击者相同的复杂性和紧迫性使用 AI，在组织之间共享威胁情报，并缩短从识别软件漏洞到修补它的时间。作为一个行业，我们必须对不安全代码变得远不那么容忍。过渡期将是困难的。但是，如果行业、政府和社会以应有的紧迫性对待当前时刻，我们相信，从长远来看，有能力的 AI 系统将使防御者比攻击者受益更多：在新代码发布之前发现错误，并使社会依赖的系统更加安全。结果可能是防御更好的基础设施，以及欺诈和滥用实质性减少的数字环境。随着威胁格局的演变，我们将继续发布我们学到的东西。

脚注

[1] 对于 DBIR，我们提供了 11 个月威胁行为者数据的分析，并在本报告中将其扩展为 12 个月。

[2] 我们观察了来自 MITRE 企业版和移动版技术矩阵的子技术。企业版技术占观察结果的 99%。