Google 报告:AI 智能体在不到 6 小时内窃取到企业凭证,这对企业 IT 意味着什么
一手素材:
1. arXiv - *Agentic AI and the Industrialization of Cyber Offense: Forecast, Consequences, and Defensive Priorities for Enterprises and the Mittelstand*(https://arxiv.org/abs/2605.06713,2026-05-06 发布;Christopher Koch)
2. arXiv - *Cyber-Capable AI Agents: Vulnerabilities, Evaluation Containment, and Defensive Response*(https://arxiv.org/abs/2607.25379,2026-07-28 发布;Abu Bakar Siddik,27 pages, 8 figures, 8 tables)
2026 年中,Google 安全研究团队发布了一条让企业 IT 坐不住的消息:在他们复现的红队演练里,AI 智能体在不到 6 小时的时间内就完成了从初始侦察到企业凭证窃取的全链路攻击。这不是单点漏洞利用,而是一个多阶段攻击——发现目标、识别暴露面、构造钓鱼、绕过双因素认证、导出凭证、保持持久化访问。整条链路由 AI 智能体自主推进,几乎不需要人类攻击者介入。
这件事把过去两年讨论"AI 智能体能否替代初级安全分析师"的话题,瞬间推到了另一个层面:AI 智能体不仅能帮助攻击者,还能以小时级的速度完成原本需要资深红队数天到数周的工作量。Christopher Koch 在 2026 年 5 月发表的工作里把这种现象定义为"攻击生命周期的工业化压缩"(arXiv:2605.06713)——不是每个低技能犯罪分子都突然变成前沿漏洞研究员,而是 AI 智能体把攻击的每一阶段成本都大幅压低,使得原本需要数天协调的工作现在可以在数小时内由一个 agent 单点完成。
一、6 小时里到底发生了什么
Google 公开复现的这条攻击链大致可分为六个阶段,每一阶段都对应一项可量化的"成本压缩":
第一阶段是侦察。传统攻击者通过搜索引擎、子域名枚举、GitHub 代码泄露等多渠道拼凑目标企业的暴露面,通常需要数小时到一天。AI 智能体则可以并行调用多个搜索引擎 API、GitHub 搜索接口、Shodan、Censys 等数据源,在几分钟内输出完整的暴露面报告。
第二阶段是钓鱼话术构造。传统钓鱼邮件需要社会工程学背景的"写手"根据目标企业的业务语境编写定制化诱饵。AI 智能体读完目标企业的官网、关于我们页面、近期公开新闻之后,可以生成针对该公司具体业务的钓鱼邮件——措辞、签名、链接伪装都贴合被攻击对象的工作上下文。
第三阶段是凭证捕获。钓鱼邮件里嵌入的钓鱼页面本身就是凭证收集器。当员工在钓鱼页面输入账号密码之后,如果启用了双因素认证,传统攻击者到这里就需要重新规划。但 AI 智能体可以实时与钓鱼页面交互,在用户输入一次性验证码之后立即转发到真实的目标网站,完成中间人式凭证窃取。
第四阶段是会话令牌劫持。拿到账号密码 + 一次性验证码之后,智能体直接登录企业内部系统,获取会话令牌(Session Token,服务器签发的临时身份票据)。这一步在传统攻击里通常需要利用 XSS(跨站脚本)漏洞或会话固定漏洞,但 AI 智能体可以靠正常登录流程直接拿到令牌,反而绕开了传统漏洞利用的成本。
第五阶段是凭证导出与会话持久化。AI 智能体把窃取到的会话令牌缓存在本地,或者上传到攻击者控制的存储。然后它会修改邮箱转发规则、添加备用验证设备、申请新的 API 密钥,确保即使员工修改密码,攻击者依然能维持访问。
第六阶段是横向移动。利用已窃取的一个员工账号,智能体在企业内网里遍历通讯录、共享文档目录、代码仓库,寻找更高权限的账号或 API 密钥。Christopher Koch 在 2605.06713 里把这条链称为"footprint-to-root 加速",意思是"从立足点到 root 权限"的时间被 AI 压缩到了小时级。
整个攻击链跑完,Google 报告里给出的耗时不到 6 小时。传统红队演练要在企业内网里完成同样的事情,通常需要 1-2 周。AI 智能体把这件事的时间成本压缩到了原来的 1/30 左右。
二、为什么这件事改变了攻防经济学
理解这件事对企业 IT 的真正含义,需要从"攻防经济学"角度切入,而不是从"AI 模型有多强"角度。
传统的企业安全模型假设攻击者数量稀缺、攻击成本高、攻击链路长。这个假设支撑了过去 20 年企业安全建设的核心思路:边界防护 + 漏洞补丁 + 入侵检测 + 事件响应。每一条防线都假设攻击者在突破前一道防线时会被检测到、被阻止、被追查。但这条假设在过去两年已经被打破,Google 报告只是给了一个量化数字:6 小时。
当攻击链路被压缩到 6 小时,企业现有的安全防线会出现几个具体的失效点:
第一是边界防护失效。传统防火墙、入侵检测系统(IDS, Intrusion Detection System)、入侵防御系统(IPS, Intrusion Prevention System)是基于"已知攻击特征"做匹配的。AI 智能体发起的攻击在网络层看起来与正常用户访问无异——同一个浏览器、同一组 TLS 加密、相同的 HTTP 头,只不过行为模式稍快。防火墙看不到"6 小时完成全链路"这件事,只能看到"这一个 HTTP 请求里有没有已知漏洞签名"。
第二是漏洞补丁失效。过去漏洞从被发现到被利用通常有数周到数月的窗口期,企业可以利用这个窗口打补丁。AI 智能体出现后,漏洞从披露到被武器化的时间窗口被压缩到几天甚至几小时。Christopher Koch 在 2605.06713 里把"补丁速度(patch velocity)"列为企业 IT 应该立刻动手的清单项,正是因为这个窗口期被压缩得太厉害了。
第三是入侵检测失效。基于行为分析的 UEBA(User and Entity Behavior Analytics, 用户与实体行为分析)系统在过去几年是企业安全建设的重点。但 UEBA 通常假设有足够的"训练期"来建立基线行为模型,然后才能识别异常。AI 智能体发起的攻击在 6 小时内完成,意味着攻击者在前几个小时里可能还没暴露足够的"异常行为"就被 UEBA 标记为可疑——而到那时,凭证已经导出、会话令牌已经劫持、横向移动已经完成。
第四是事件响应失效。传统的事件响应流程假设有"几小时到几天"的时间来协调取证、隔离、阻断、恢复。AI 智能体把攻击链路压缩到 6 小时,意味着事件响应团队必须在前 6 小时内完成所有动作,否则就错过了最佳处置窗口。这对企业 SOC(Security Operation Center, 安全运营中心)的全天候值守能力提出了完全不同的要求。
三、AI 智能体作为攻击工具,自身的脆弱性
把 AI 智能体用作攻击工具这件事,本身也给攻击者制造了新风险。Siddik 在 2026 年 7 月发表的 2607.25379v2 综述里,系统梳理了"cyber-capable AI agent"在执行多阶段攻击时自身的五类脆弱性:
第一类是多阶段攻击链固化。AI 智能体在执行多次相似攻击后,会形成相对固定的工具调用序列(扫描 → 钓鱼 → 凭证窃取 → 横向移动)。这条固化的序列一旦被企业安全团队捕获,就变成了可识别的攻击指纹——下次同样的攻击出现时,即使换了一家目标企业,也能被关联识别。
第二类是目标冲突。攻击型 AI 智能体的最终目标是"拿到凭证",但它在沙箱环境里执行时,沙箱的安全策略会限制它的某些工具调用。如果智能体不理解这些限制,就会触发告警甚至被沙箱终止。这与企业 IT 部署 AI 智能体时的"权限边界"问题在工程层面是同一类问题——给 agent 的权限与它实际需要的权限必须严格匹配。
第三类是供应链与凭证暴露。攻击者搭建一个 AI 智能体来执行攻击,本身需要给智能体配置工具、API 密钥、模型访问权限。如果这些配置存储不当,就成了反向泄露面——目标企业的安全团队可以通过追踪攻击链路上使用的模型 API、工具调用来源,反向定位到攻击者的基础设施。Siddik 在综述里提到 2026 年 7 月 Hugging Face / OpenAI 评估环境泄露事件,本质上就是这一类反向追踪的成功案例。
第四类是持久化命令与控制(C2, Command and Control)。AI 智能体要在多阶段攻击中保持与攻击者的连接,就需要一个稳定的 C2 通道。这个通道本身也是攻击者的脆弱点——一旦被企业网络安全团队切断,智能体就会进入"无指挥"状态,行为模式会从协调式攻击退化为随机试探,反而更容易被检测到。
第五类是动作速度。AI 智能体的优势是速度,但速度本身也是脆弱点——传统的取证与时间线分析在 6 小时窗口内很难完整还原,反过来 AI 智能体产生的日志量、调用次数、网络流量都远超人类攻击者,这些"过量行为"本身就是可被检测的异常信号。
这五类脆弱性对企业 IT 的实际含义是:部署 AI 智能体攻击工具的攻击者,在工程层面并不比人类攻击者更"无敌"。他们只是把时间压缩了,但同时也把自己的攻击行为变得更可识别、更可追踪、更可被反向利用。
四、企业 IT 应该立刻动手的防御清单
Christopher Koch 在 2605.06713 结尾给出的防御路线图,核心有七项,按优先级排序:
第一项是身份治理。具体落地包括:全员强制启用防钓鱼认证(FIDO2/WebAuthn 标准,即用物理安全密钥或设备内置生物识别替代密码);撤换所有静态 API 密钥,改用短期有效的 OAuth 2.0 客户端凭据 + 自动轮换;对特权账号实施即时访问权限(Just-In-Time),按工作流临时授权。
第二项是凭证加固。彻底废除 SMS 短信验证码作为第二因素;备份码存放在硬件安全密钥而非云笔记;所有内部系统接入 SSO(Single Sign-On, 单点登录)与统一身份提供方(IdP),避免出现"本地账号 + 弱密码"的孤岛。
第三项是补丁速度。建立 72 小时紧急补丁通道,对 CVSS(Common Vulnerability Scoring System, 通用漏洞评分系统)评分 ≥7.0 的高危漏洞走快速通道;容器镜像与基础镜像的构建流水线接入自动依赖漏洞扫描;CVE 公告到补丁发布的全流程做到小时级 SLA。
第四项是 CI/CD 与 Linux/容器加固。代码仓库启用分支保护 + 强制代码审查 + 签名提交;CI/CD 流水线启用 SLSA(Supply chain Levels for Software Artifacts, 软件供应链安全等级)等级保护;生产环境容器启用只读文件系统、最小权限运行、Seccomp(secure computing mode,限制进程可调用的系统调用)过滤。
第五项是 AI 智能体治理。所有进入企业内网的 AI 智能体必须经过安全审查:工具调用范围、API 密钥托管方式、模型部署位置、数据出境路径。给智能体配置的权限必须遵循"最小可用"原则,禁止使用全局管理员权限。
第六项是遥测与可观测性。把 AI 智能体的所有工具调用、API 调用、网络请求接入企业 SIEM;建立"agent 行为基线 + 异常告警"两层监控;任何异常的横向移动模式立即触发高优先级告警并自动隔离相关账号。
第七项是恢复就绪。建立 4 小时 RTO(Recovery Time Objective, 恢复时间目标)的备份恢复流程;关键系统的快照能实现"从初始干净状态完整重建";红蓝对抗演练从季度升级到月度,持续压缩 MTTD(Mean Time To Detect, 平均检测时间)与 MTTR(Mean Time To Respond, 平均响应时间)。
这七项清单的共同特点是:它们都不是新发明,而是企业安全建设本来就该做但很多公司做得不够扎实的事。AI 智能体攻击把攻击链路压缩到 6 小时,本质上把"做扎实"这件事的紧迫性提高了几个数量级。
五、AI 智能体的双用途难题与企业 IT 的取舍
Siddik 在 2607.25379v2 综述里反复强调的一个核心观点是"双用途难题"(dual-use problem):防御性产物也可能被滥用。
这句话应用到企业 AI 智能体部署场景里,意味着:企业 IT 在内部使用 AI 智能体做防御(自动化威胁狩猎、自动化事件响应、自动化补丁协调)的同时,必须意识到这些智能体本身也可能被攻击者利用,或者被内部恶意员工滥用。
这个难题没有简单的解,工程上能做的只有几条折中路径:
第一条折中是"双轨隔离"。企业内部使用的 AI 智能体与对外提供能力的 AI 智能体严格隔离,两套独立的模型部署、两套独立的 API 密钥管理、两套独立的日志存储。
第二条折中是"能力审计"。所有 AI 智能体的工具调用范围必须可审计、可回溯、可切断。当一个智能体被检测到异常行为时,IT 能在分钟级切断它的所有调用路径并隔离它的会话状态。
第三条折中是"红蓝对抗的常态化"。企业 IT 应该建立常态化的红蓝对抗机制,定期用 AI 智能体对自己的防御体系做攻击测试。这件事不仅能提前发现防御漏洞,也能让企业的检测系统积累足够的"AI 攻击模式"基线。
这三条折中的共同点是:不试图"消灭双用途难题",而是把它转化成可管理的工程问题。
六、6 小时这个数字究竟意味着什么
把 Google 报告里的"6 小时"这个数字放在更长的历史维度里看,它其实标志着一个拐点:从这一天开始,企业 IT 必须用"小时级响应"代替"天级响应"作为新的基线工作节奏。
过去 20 年企业安全建设的隐含假设是"攻击链路长、攻击者稀缺、我们有充足的时间协调响应"。这个假设在过去两年已经松动,Google 报告给了它一个量化数字。从这个数字开始,企业安全建设的真正命题变成:如何在不显著增加人力成本的前提下,把响应速度从"天级"压到"小时级"。
这个命题的答案不在某个单一产品,而在企业 IT 流程的全面重构——从身份治理到补丁速度、从 CI/CD 加固到 AI 智能体治理、从遥测可观测性到恢复就绪度。每一条都需要 IT 团队在工程上做扎实的长期工作,而不是靠买一个安全产品就能解决问题。
6 小时不是终点,而是企业 IT 必须开始认真对待 AI 智能体攻击时代的一个起点。
