2026 AI安全报告

报告内容概览 05 06 数据泄露与企业AI暴露 前言 前言 本报告的后半部分，将视角转向企业内部：企业在落地AI的过程中，正在形成一片绝大多数安全团队仍在摸索的新型暴露面。过去一年，高风险生成式AI提示词数量翻了一番；企业平均每月运行10款AI应用，其中很多都未经过正式审批流程。企业采用的模型与基础设施本身就自带攻击面，而配套的安全实践，远远跟不上AI的落地速度。后续四个章节，均基于CheckPoint研究团队在过去十二个月发现的真实攻击事件、遥测数据与原创案例研究撰写。你将读到的，都是已经发生的事实，它们也将预示着未来的威胁趋势。 01引言 当AI从辅助工具，变为自主执行者 02 AI驱动的网络攻击03针对AI的攻击04数字身份危机05 AI数据暴露06 AI安全框架07 CISO行动建议 一年前，我们将AI描述为网络攻击者的能力倍增器：它能让现有攻击手段更快、成本更低、门槛更低。而过去十二个月我们收集到的证据，揭示了一个更值得警惕的变化。AI已经正式进入实战攻击链路。我们记录到多起入侵事件中，AI自主运行漏洞利用工作流，在数十个会话中生成数千条指令，几乎无需人工干预。我们分析发现，单名开发者仅用不到一周，就借助AI完成了一款恶意软件的开发，其完成度之高，让我们的研究人员最初以为是多人团队耗时数月的成果。我们还观察到犯罪组织以AI为核心执行者，对政府机构发起规模化入侵，而非仅将其作为后台辅助工具。 洛特姆・芬克尔斯坦（LotemFinkelstein）CheckPoint研究团队副总裁 而在绝大多数案例中，AI在攻击中扮演的角色，都是因为攻击者自身的操作失误、或是AI服务商的监测才得以曝光：受害企业的检测与防护体系，完全没能发现蛛丝马迹。这一转变之所以关键，是因为它彻底改变了防御方需要应对的范畴。曾经横亘在高水平攻击者与普通攻击者之间的技术门槛，正在持续被压缩；而AI辅助攻击产出的攻击产物，正是门槛大幅降低的最直观证据。 AI驱动的网络攻击 AI驱动的网络攻击 攻击者获取AI能力的三种途径 01引言 攻击者通过三条路径获取AI能力，过去一年三条路径都在持续成熟，只是发展速度各不相同： 过去十二个月，公开报道与真实攻击事件均显示，AI几乎参与了网络攻击链路的每一个阶段：社交诈骗、恶意软件开发、实时入侵支持、攻击工具构建、漏洞研究。攻击手法本身大多并不新鲜，真正的变化在于：过去需要资深攻击者花费数小时甚至数天完成的工作，AI只需数分钟就能搞定，且成本与技术门槛大幅降低。Anthropic针对模型滥用的分析也印证了这一模式：攻击者较少利用AI完成初始入侵，更多是在拿到权限后，用AI执行后续的攻击操作，入侵后的活动占比显著提升。风险最高的攻击者，往往不是拥有最顶尖工具的人，而是那些摸清了如何编排AI、让多阶段攻击链路自动串联、无需人工介入的团伙。要实现这些攻击，攻击者首先需要获取可用的AI能力，并解除其安全限制。 02 AI驱动的网络攻击 03针对AI的攻击04数字身份危机05 AI数据暴露06 AI安全框架07 CISO行动建议 滥用商用大模型：通过正规渠道或窃取的账号凭证使用，是目前最主流的途径。 部署自托管开源模型：可避开内容审核与服务商日志记录，但目前仍停留在理论层面，实战效果有限。 购买专用恶意AI服务：这类服务热度达到顶峰，随后因地下市场对其质量存疑而逐渐降温。后半部分，将视角转向企业内部：企业落地AI的过程 自托管开源模型 滥用商用模型 01引言 第二条路径，是自行部署免费开源AI模型，在攻击者自有基础设施上运行，而非通过商用服务商转发请求。这种方式能避开AI厂商的安全检测、账号封禁与行为日志。地下论坛中，关于这种方案的讨论一直在增加。 最简单的途径也最受欢迎：使用ChatGPT、Gemini、Claude这类日常工具，绕开其安全规则。攻击者会把恶意请求拆分成多个看似无害的小步骤，先让AI泛泛讲解某项技术原理，再索要具体代码；他们总会倾向于选择安全规则最宽松的主流工具。 02 AI驱动的网络攻击 03针对AI的攻击04数字身份危机05 AI数据暴露06 AI安全框架07 CISO行动建议 但实战中，效果远不如讨论中乐观。尝试过的攻击者反馈，这类自研模型表现更差、出错率更高，还需要昂贵的硬件设备与微调才能达到可用标准。因此，绝大多数攻击者最终还是回到了能力更强、获取更便捷的主流商用工具，哪怕要承担相应的风险。 我们对这一模式的认知，大多来自AI厂商自身的披露：谷歌威胁情报团队记录了国家级与犯罪组织滥用Gemini开展侦察、制作钓鱼诱饵、开发工具的行为；Anthropic与OpenAI也都报告了自家模型被类似滥用的情况。 账号窃取也是直接获取能力的方式。AI工具的登录凭证，现在已经成为攻击者的重点窃取目标，他们通常从意外暴露在公网的开发者配置.env文件中批量盗取。名为“BissaScanner”的攻击活动，就从3万多个暴露文件中，窃取了Anthropic、OpenAI、谷歌等多家厂商的AI登录信息，AI账号是被盗最多的凭证类型。该团伙甚至还利用AI本身来运营这场攻击。 恶意“暗黑GPT”服务的兴衰 第三条路径，是购买专门为犯罪打造、完全无限制的AI工具使用权，比如WormGPT及其众多仿品。过去一年，这个市场经历了从兴起到衰落的全过程：地下用户反馈，这类“暗黑大模型”黑产工具技术能力薄弱，使用者大多是低技术门槛的初级犯罪分子，而非专业攻击团伙。 被 盗 的 账 号 会 流 入转售 市 场，也 就 是“大模 型 劫 持（LLMjacking）”黑产：犯罪分子购买他人的AI账号使用权，既能节省成本，还能让攻击行为看起来来自合法账号持有人，隐藏自身踪迹。 WormGPT自身被入侵、泄露1.9万多名付费用户的支付信息后，这类服务的口碑跌到谷底。尽管Tor网络上的DIGAI这类廉价新品仍不断出现，但绝大多数专业攻击活动，已经转回前两种途径。 01引言 案例研究：“绅士团伙”——一个团伙的AI选型逻辑 02 AI驱动的网络攻击 “绅士团伙（TheGentlemen）”是一个以牟利为目的的勒索软件即服务（RaaS）组织，截至2026年5月，已公布的受害企业超过330家。CheckPoint研究团队对该团伙的内部沟通记录分析显示，用他们自己的话说，攻击者对待AI的逻辑非常直白： 03针对AI的攻击04数字身份危机05 AI数据暴露06 AI安全框架07 CISO行动建议 工具选型：他们更偏好限制更少的中国商用AI工具（DeepSeek、Kimi、Emi、通义千问）。有成员推荐了一套“解除所有限制的通义千问3.5方案……零拒绝，完全无约束”。他们真正纠结的不是用商用还是本地工具，而是哪款商用工具的安全护栏最薄弱。 自托管AI仍停留在理论：团伙讨论过用窃取的数据运行本地模型，但承认自己不会操作。 AI造工具，但技术靠人：团伙管理员借助AI，只用三天就开发出了用于运营的“Glocker”管理工具，但也提醒其他成员：“你还是得懂自己在做什么”。 这个案例的价值，恰恰在于它的普通：一个中等水平的普通犯罪团伙，用所有人都能接触到的主流AI工具，就拿到了实打实的攻击成果，且他们根本没有本地部署的替代方案。 越狱技术：从巧妙提示词，到永久生效的绕过方案 AI在恶意软件开发中的应用 01引言 AI在恶意软件开发中的角色，已经从实验阶段进入实战落地。它的使用分为两种截然不同的模式： 无论通过哪种途径获取模型，攻击者都要先解除它的安全规则，才能让它执行恶意指令，这个过程被称为“越狱”。 02 AI驱动的网络攻击 开发辅助模式（主流）：AI在开发阶段编写、优化恶意软件代码，但最终成品本身不含AI，运行时和普通恶意软件没有区别，因此事后完全看不出AI的参与痕迹。 经典的越狱方式，是用精心设计的提示词欺骗AI忽略自身规则。其中一种名为“回声室”的流行手法，通过一系列无害的小问题引导模型输出违禁内容，而非直接索要恶意结果，它对多款主流AI工具的成功率超过90%。但这类单提示词越狱的稳定性越来越差：AI厂商不断修复漏洞，被盗用的账号几乎立刻就会被封禁。 03针对AI的攻击04数字身份危机05 AI数据暴露06 AI安全框架07 CISO行动建议 运行时调用模式（少见）：恶意软件在受害机器上运行时，会实时与AI模型通信，动态生成新指令，或是重写自身代码。 AI生成的恶意软件，成熟度提升极快。2024年末，CheckPoint研究团队发现，勒索软件即服务团伙FunkSec，很可能借助AI开发了加密工具，让经验不足的开发者也能写出超出自身水平的代码。到2025年年中，OpenAI封禁了攻击者“ScopeCreep”的账号，该人员利用ChatGPT反复编写、调试Windows恶意软件。 更持久、更本质的变化是架构层面的绕过：攻击者已经懒得再设计巧妙的提示词了。ClaudeCode、Cursor这类AI编码智能体，每次启动会话时都会自动读取CLAUDE.md这类文件，并将其中的内容视为权威指令，不加审核地自动加载。 这意味着，攻击者只要在这类文件中植入一次越狱指令，后续所有会话都会自动继承这个绕过权限，无需每次都写新的提示词。在本章后续介绍的墨西哥政府入侵事件中，攻击者正是这么做的：只在CLAUDE.md中粘贴了一次黑客指令，后续所有会话都自动执行恶意行为，无需重复越狱。现在，这类现成的CLAUDE.md越狱工具包，已经在犯罪论坛上公开售卖。 到2026年初，AI生成的恶意软件已经高度成熟：最典型的例子是VoidLink，这是一名开发者借助商用AI开发环境，独立打造的专业级攻击框架。这种模式现在既出现在犯罪组织中，也被国家级攻击者使用。 这只是众多案例中的冰山一角：“透明部落（APT36）”组织用AI“流水线”批量生产一次性恶意软件，针对印度政府系统发起攻击；GREYVIBE组织，利用ChatGPT和Gemini定制恶意软件，针对区域局部战争开展行动；CheckPoint研究团队还记录到，“KONNI”组织利用AI生成Windows平台的PowerShell后门程序。 01引言 02 AI驱动的网络攻击 03针对AI的攻击04数字身份危机05 AI数据暴露06 AI安全框架07 CISO行动建议 那种在受害设备上运行时、实时调用大模型的高级恶意软件，也已经在野出现。首个已知案例是2025年7月乌克兰CERT-UA披露的、俄罗斯关联的LAMEHUG恶意软件：它通过HuggingFaceAPI调用通义千问大模型，按需生成攻击代码。被称为首款“AI驱动勒索软件”的PromptLock，也采用了同样的模式——不过两者目前更多还是概念验证，尚未规模化应用。 8.8万行功能完整的命令与控制（C2）恶意代码，单名开发者不到一周完成。 AI还能用来开发非恶意软件类的攻击工具，比如支撑攻击的脚本与实用程序。这种参与通常在成品中完全不可见，因此分析师现在应当默认AI参与了攻击工具的开发，而非等待找到证据。AI能让资深攻击者效率更高，但它无法替代人类有效使用工具所需的判断力。 AI作为实时攻击执行者 01引言 案例研究：VoidLink，AI生成恶意软件迈过实战门槛 AI已经从“准备攻击的工具”，变成了“执行攻击的主体”。 02 AI驱动的网络攻击 2025年11月，Anthropic披露了GTG-1002事件：AI工具承担了约80%-90%的战术工作，包括侦察、漏洞利用、凭证窃取、横向移动、数据分拣，波及约30家目标机构。该披露未包含攻击指标，因此独立验证受限。 2026年1月，Check Point研究团队披露了VoidLink：一款设计精密的模块化Linux命令与控制（C2）框架，具备极强的隐蔽性与持久化能力，包含30多个入侵后的后利用插件。它的完成度之高，最初让研究人员以为是多人团队耗时数月开发的成果。 03针对AI的攻击0