近日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）通用网络产品安全漏洞专业库公布了技术支撑单位遴选结果。微步在线获评四星级技术支撑单位（最高等级称号），排名第一。

NVDB由工业和信息化部网络安全管理局组织建设，支持开展网络产品安全漏洞技术评估，督促网络产品提供者及时修补和合理发布自身产品安全漏洞。平台由五大专业漏洞库共同组成，其中包括本次公布支撑单位的通用网络产品安全漏洞专业库。技术支撑单位通过开展漏洞收集与验证，助力平台判断危害、评估影响范围和推动后续修复。

作为NVDB通用网络产品安全漏洞专业库上线后的首批技术支撑单位，微步长期参与相关技术支撑工作，多次获评NVDB“优秀漏洞报送机构”“漏洞报送最具贡献单位”等荣誉。2024年，微步凭借在漏洞报送、研判和协同处置等工作中的突出表现，获评2024至2025年度三星级技术支撑单位（当期最高等级）。本次的星级提升，再次证明了NVDB对微步专业表现的持续认可。

微步在线是一家以“威胁情报（TI）+人工智能（AI）”为技术内核的创新型网络安全企业，具备丰富的一线攻防经验。面对日益复杂的0day/1day攻击和不断增长的处置压力，微步持续汇聚全网高质量漏洞源数据，漏洞报送数量与质量长期位居行业前列，通过科学可靠的漏洞评估模型（VPT），形成全面、及时、可靠的高风险漏洞情报，智能匹配漏洞资产，帮助企业快速识别漏洞风险。

在检测和防御环节，微步的威胁感知平台TDP与威胁防御系统OneSIG可对流量侧和边界侧精准检出漏洞攻击，攻防实战中实现整体81%的0day检出率。同时，微步将安全大模型XGPT应用于漏洞情报挖掘与生产，实现对高危网络漏洞的快速发现。面对重大漏洞事件，微步可迅速提供技术分析与处置建议，协助国家级漏洞平台完善相关治理机制。

未来，微步将继续发挥威胁情报与AI技术优势，深化与NVDB等相关漏洞平台的协作，为我国网络产品漏洞治理和企业数字化业务安全贡献专业力量。

关于AI中转站的风险，大家或多或少都有过了解，模型缩水、数据泄露、篡改投毒等等问题，数不胜数。（感兴趣的可以参考这篇文章实测428个AI中转站，9个投毒、17个窃密，还有1个转了钱）

尤其是在国内，大多数服务商是从某个聚合商批发，聚合商又是从OpenRouter买，最后才对接官方API，一链四跳是常态。因此即使某一个中转节点没问题，也无法保证后续节点的安全性，目前最好的办法就是对AI中转站进行统一管控。

不过，AI中转站数量非常庞大，且仍在快速增长，想要全面识别并统一加入管控策略，难度非常大。对此，微步OneSIG正式上线AI中转站管控能力，实现AI中转站看得见、管得住。依托微步AI中转站情报，OneSIG能够识别访问已知AI中转站的行为，定位内网主机IP，并根据安全策略执行放行、告警或实时阻断。

OneSIG的优势在于：

• 精准识别：基于微步威胁情报，准确率达到99.99%。

• 一键下发：一键下发管控策略，无需手动更新，秒级生效。

• 动态更新：情报库持续更新，新出现AI中转站快速纳入管控范围。

• 海量封禁：百万级并发封禁策略，不影响设备性能。

目前，OneSIG已完成对主流AI中转站的覆盖，可升级到 V2.5.3 20260813及以上版本使用。此外，微步全线威胁情报产品，包括下一代威胁情报平台NGTIP、X情报中心、云API、云MCP、ATI等，均已上线AI中转站情报，欢迎试用。

联系微步

扫码试用

↓↓↓

本文整理自蔚来汽车安全运营总监邹鹏程在CSOP2026·AI安全大会上的主题分享：《AI安全运营方法论与“人机协同”新范式》。

刚入职的AI，就像是一名实习生。能力或许很强，名（大）校（厂）毕业，但一定不了解公司业务。

想要挑大梁，得弄清楚现在做什么、将来做什么、犯错了谁负责、成长路径是啥等等。对于这些问题，蔚来已经有了答案。

问题一: 什么任务可以交给Agent？

判断一项任务是否适合交给Agent，可以从四个维度入手：

映射到具体安全域，Agent的参与程度可以分成三层：

问题二: 人和Agent分别做什么？

任务边界明确后，还要重新划分职责。蔚来将安全运营划分为T0至T4五个层级，并通过分层机制控制任务流转。

这套分工遵循两个方向：能力向下沉，例外向上浮。成熟的能力经过录入、训练、维护和转化适配，逐步下沉至T0执行层；复杂异常、业务影响和策略变更则逐级上浮，由更有经验的角色处理。

问题三: 权限如何开放，有问题如何追责？

岗位分工明确后，需要确定Agent在每类任务中可以执行到哪一步。

蔚来将权限开放拆成四个阶段。L0只观察并给出建议；L1生成建议和预执行脚本，由人审批；L2允许低风险动作自动执行，异常时人工介入；L3在预授权范围内自治，事后审计。

升级和降级要依赖量化指标。除了误报率，还要通过回溯抽检评估漏报。指标触发阈值后，权限自动降级。

自动化程度越高，责任和审计越要清晰。工单要记录Agent调用了哪些数据、形成了什么判断、执行了什么动作，以及谁定义策略、谁批准升级、谁完成最终处置。

权限开放后，责任仍然由人承担。Agent在授权范围内误操作，责任回到边界定义者和域专家；如果人工处置不当，则由处置者承担责任。直接证据、推断证据和推测证据，也应使用不同程度的结论语言。

在一次高强度攻防演习中，蔚来团队在一周多的时间内处理了近两万张工单，单日峰值接近4000张。仅靠人工处理，当天很难完成全部研判。通过分层处置，演习间总体自动闭环率达到81.1%，成功在高峰期维持团队效率。

从具体案例来看，Agent体现了四类价值：

在这些案例中，Agent可以关联多个数据源、动态调查路径，并完成部分处置动作。这些能力都是如何实现的？

获得上下文

蔚来团队接入了三十多个安全数据源，并对日志进行解析、标准化、富化、关联，再通过图谱构建形成Agent可以使用的数据。

安全知识图谱将资产、主机、进程、用户、IOC、战术和行为关系持久化。Agent查询时可以直接获得已经对齐的关系网，减少原始日志拼接，提升调查速度和判断稳定性，也能降低Token消耗。

调用能力

团队通过MCP和Skill封装数据源与安全工具。Agent无需了解底层API，只需判断当前任务需要什么能力，再选择对应工具。

单Agent可以处理路径清晰的任务，多Agent完成并行调查和跨源关联，高风险任务由Agent整理证据、人做确认。涉及处置动作的重要判断，还会由独立Agent进行旁路复核。结论存在冲突或超出授权边界时，系统会自动升级给人工处理。

任务流程

蔚来首先落地的是T0值班Agent。一张工单需要经过七个步骤：获取工单 → 锁定工单 → 深度分析 → 输出研判 → 人工决策 → 执行处置 → 记录反馈。

Agent根据工单内容动态选择数据源并组合证据，再输出精简结论。人工只需在执行、补充、跳过和退出中选择一项。

人的工作由重复查询转向确认判断、纠正偏差和沉淀经验。最后记录的观察也会成为下一次处理同类工单的参考。

留存经验

处置经验需要通过三个层次回到运营体系。

启动第一个Agent前，可以先按网络、终端、身份、云、供应链等子域，评估团队能力和自动化覆盖，再选择重复率高、流程清晰、动作可回退、业务影响可隔离的任务。

第一版无需追求复杂自治。Agent只要能拉齐上下文、提供证据和建议，再由人完成确认，就已经形成可验证的协作方式。

从第一天开始，授权边界、回退方式和日志留痕就要进入流程。团队可以观察调查时间、判断准确率和人工介入次数，再决定是否开放更多能力。

第一个Agent可以很小，但输入、调查、确认、处置和反馈的流程必须完整。只有闭环持续运行，团队才能获得评估数据，将人工纠正转化为Agent经验。

安全+AI =？在当前阶段，答案是一套能够定义边界、逐步授权、沉淀经验并持续复盘的运营体系。它从一个小场景开始，通过完整闭环积累信任，最终走向规模化运营。

“方便在Xcode上构建一下这个项目吗？这个也是我们面试的一部分。”

上个月，有好几位国内大厂的开发者，在LinkedIn上收到了这样的面试邀约。JD是关于web3的，待遇还挺吸引人。期间，对方甩过来了一个名为“xxApp”的Xcode项目。

这本来没什么，代码调试在技术面中并不少见。只不过，面试邀约方是APT团伙，目标是针对使用Mac主机的开发者，窃取加密货币和关键凭证。

这种手法被形象的称为“传染性面试”。为了骗过受害者，APT团伙做了很多准备工作。

第一，注册一个虚假公司。主要业务是区块链和加密货币相关。与之配套的还有官方网站、社交媒体、技术社区账号等，确保相关信息看起来相对完整，并保持持续更新。

第二，构建恶意Xcode项目。以虚假公司名义，将恶意的Xcode项目伪装成web3相关的面试测评，明确求职者需要完成的代码调试等相关任务。

准备好之后，APT团伙会在招聘平台、技术社区，寻找web3相关技术人员发送虚假面试邀约。当用户在Xcode上构建项目时，其中的恶意命令就会触发。

以下为微步OneSEC捕获到的详细攻击过程。

当受害者构建项目时，Xcode会将其中的恶意命令写入临时脚本文件，并静默执行起来，全程用户无感知。

该命令通过两层hex编码隐藏了真实的网络请求，隐蔽性很强。解码后的命令主要执行两个动作。

第一，采集环境信息回传C2：发送带有“xcode”标识的数据包，标记主机信息和初始化攻击链，通知攻击者主机已经感染。

第二，从C2服务器投递完整的AppleScript下载器，用于下载后续多阶段载荷。攻击者使用curl命令下载恶意载荷，而curl下载的文件默认不经过Gatekeeper校验，可以直接运行。

AppleScript运行后，会从C2下载多个恶意载荷到指定路径。为了确保载荷不被发现，攻击者使用了三大绕过手法。

手法一：重置授权记录，诱骗用户为隐私窃取授权。

攻击者通过sh-c tccutil reset AppleEvents命令，清除所有应用的Apple Events权限记录。

有应用尝试通过Apple Events控制其他应用时，即便是已经拒绝过相关权限，系统也会再次向用户发起申请，进而诱骗用户在不知情的情况下，允许恶意软件访问受保护的数据或者执行其他恶意行为。

手法二：劫持合法Dock应用程序的执行权限

攻击者篡改了系统Dock应用目录内的二进制文件，植入恶意代码。当用户点击桌面图标启动Dock应用时，实际会指向恶意代码，并且继承了部分合法执行权限。

手法三：强制签名覆盖，绕过Gatekeeper的校验和其他杀毒软件的文件扫描

攻击者调用系统自带的codesign工具，对所有篡改后的应用和相关恶意载荷进行强制签名覆盖，绕过Gatekeeper对应用程序的签名校验，以及Xprotect的文件特征扫描。

完成防御规避之后，攻击者会运行核心恶意载荷。这是一个随机命名的二进制文件，支持键盘记录、远程访问、浏览器数据窃取等常见功能，是典型的APT后门载荷。

第一，赋予执行权限并执行。攻击者通过特定命令赋予其执行权限，然后执行该后门文件。

第二，下载浏览器恶意拓展窃取关键凭证。攻击者使用curl命令下载浏览器恶意拓展，用来窃浏览器凭证，浏览器运行起来后，该拓展就会运行起来。

攻击者会频繁访问用户目录下的敏感数据库文件（Cookies、Login Data、Web Data、History），窃取加密货币交易所凭证、GitHub令牌、SSH密钥等。

第三，创建plist启动项，实现持久化。攻击者在系统指定目录下，创建了一个伪装成谷歌服务的启动项。

恶意命令并非直接写在启动项中，而是在启动时从defaults数据库里读取并解码执行恶意命令，降低启动项文件被查杀的概率。

结合微步OneSEC在Mac主机上捕获到的攻击手法来看，无论各类实战演练、黑灰产还是APT团伙，攻击者的手法越来越隐蔽。

与此前微步文章macOS，正在大规模失陷总结的高频手法相比，此次APT团伙利用Xcode进行供应链投毒，使用了更高阶的对抗手法，如重置TCC数据库、强制签名覆盖、劫持合法Dock应用等，不仅能够绕过macOS原生安全机制，也能够绕过部分杀软和EDR的行为监控。

针对攻击者在macOS上的最新攻击手法，微步OneSEC会持续完善检测和响应能力，欢迎扫码联系试用。

联系微步

扫码沟通试用OneSEC

↓↓↓

7月31日，DeepSeek-V4-Flash（0731）正式版上线，Flocks已同步接入，更新最新版即可使用。

这次更新重点强化Agent能力，在安全领域也有着不错的表现。

欢迎下载试用。

Flocks是微步在线自主研发的AI Native安全运营平台，目标致力于帮助安全人员把零散的安全工作串成可复用、可持续运营的执行闭环。

Flocks开源地址：https://github.com/AgentFlocks/flocks

Flocks使用文档：https://agentflocks.github.io/flocks-docs/

欢迎加入开源用户群

【二维码】

↓↓↓

本文整理CSOP2026·AI安全大会，顺丰科技网络安全总监梁博的主题分享：《安全运营、威胁情报&狩猎的AI重构与进化》

在顺丰科技内部，负责安全运营的智能体们，享受了和专家一样的待遇。

情报生产效率提升N倍、准确率达到XX%、事件调查率达到XX%这些给人类安全专家设计的KPI，也落在了智能体上。

这不是拍脑袋决定的，而是AI从辅助工具升级为安全运营基础设施和数字员工的必然。就在过去一年多，顺丰科技完成了安全运营、威胁情报&狩猎的AI重构。

首先来看情报生产。这是顺丰科技威胁狩猎、安全运营自动化的基石之一。

传统情报生产什么样？分析师阅读报告，AI辅助提取IOC加人工标注，然后把TTPs手工映射到ATT&CK框架。这个过程有很多困难，包括开源情报里有90%以上是非结构化文本和图片，传统NLP模型需要标注数据微调，TTPs覆盖不全，准确率仅有60%到70%。

为了解决这些问题，顺丰科技的AI重构路径，大致上可以分为三个步骤。

第一，多源情报自动汇聚。情报的来源分为三个部分，第一是内部沙箱、EDR的分析报告，第二是外部开源情报、APT分析报告，第三是X情报中心等社区共享。智能体会自动检索并抓取情报源，汇聚至AI情报中心。

第二，基于LLM多模态自动化提取。依靠LLM多模态能力，同步解析文本、截图、超链接等信源，自动提取IP、域名、Hash等IOC，并将攻击者TTPs精准映射到ATT&CK框架。

从实际效果来看，AI提取的IOC准确率可达到99%+,TTPs准确率达到了75%以上，均有明显提升。

第三，是情报的结构化输出。智能体不只是输出结构化的IOC（如STIX / MISP），还包括可落地的Sigma、YARA检测规则，然后推送至TIP、EDR、NDR这些检测设备。整体IOC入库和规则部署效率，可以大幅度提升50倍。

有了高质量、自动化的情报生产，威胁狩猎的门槛还是很高。攻击者会高频变换基础设施，即使在同一次入侵事件中，防守方也可能会面临海量C2与多套payload。所以，基于IOC的威胁狩猎，其覆盖范围会相对有限。

除此之外，狩猎剧本编写效率过低，内存、内核级深度取证门槛极高，数十万终端根本无法批量排查，海量可疑信号带来的噪声，都让威胁狩猎无法持续投入。

对此，顺丰科技落地了三个方案。

LLM自动生成SIEM狩猎语句

把生产的TTP情报再次投喂给大模型，它会基于内部日志自动生成SIEM平台的检索语法，批量回溯全量历史日志，快速找到存在异常行为的终端。

自动生成Velociraptor VQL语句，批量下发内核级取证任务

AI自主编写内存检测、进程注入、注册表持久化、内核钩子排查等VQL脚本，一键下发至全量终端，完成从浅层日志到深层内存、内核行为的立体排查。

全链路确定性闭环

如果把上面两个方案整合起来就会发现，原来依靠运气、经验的狩猎过程变成了一个确定、闭环的流程：TTP情报入库触发狩猎流程→AI自主判断、生成查询语句→全终端执行取证任务→告警聚合AI确认→新情报回流入库迭代规则，全程无需人工介入。

落地后，狩猎策略生成从数天缩短至分钟级，单台终端深度取证耗时可从数小时压缩至半小时以内，SOAR自动化覆盖从30%提升至90%+。

在安全运营所有流程里，有一个非常重要的动作是规则运营，这是威胁发现的基础。但是，传统手工规则运营的难度很高，包括：

顺丰科技的解法是，通过自然语言交互，由大模型完成规则生成，并在仿真测试环境验证有效性；迭代达标后通过CI/CD流水线自动下发至NDR、EDR这些检测节点。

具体来看。

第一，自然语言驱动。例如 “排查全网银狐木马 WMI 持久化行为”，AI即可同步输出检测规则、批量排查脚本、自动隔离SOAR剧本。

第二，生成-执行-评估-迭代完整闭环。AI生成规则后，自动推送至仿真测试环境去执行验证。这个过程中，会有其他智能体对工单、规则进行评估复核，发现缺陷会自动下发优化任务进行迭代。

第三，多智能体分工协同。以告警调查为例。分诊Agent对告警打分（≥0.80进入调查，<0.80静默归档），响应Agent自动遏制或提交人工审核，复核Agent持续评估优化。不同智能体之间基于ReAct推理框架进行自主推理与决策。

从KPI考核指标的角度来看，这些智能体大部分都能够很好的完成任务。规则开发周期可以从2-5天压缩至小时级，单条告警研判从70分钟降至3分钟，上线半年失效僵尸规则下降至5%以内，告警调查覆盖率提升至近100%。

2026年，被认为是Agentic SOC的真正元年。顺丰科技也正从“人用AI”的阶段，迈入“人与AI协同进化”的新阶段——每一名工程师，都能利用大模型能力快速构建特定领域的智能体，比如情报生产、漏洞管理等等。

在这个过程中，过去安全建设的投入不会被浪费。SIEM、EDR、SOAR等系统，以及积累的运营知识和经验，都是宝贵的资产，需要封装成大模型可以理解和调用的工具与知识库。

不过客观来说，现阶段Agentic SOC并没有颠覆安全运营底层流程，而是重构了高度依赖人力的低效环节，把少数人掌握的高端情报、深度狩猎能力下沉到全团队可用。AI没有情绪、不会疲劳、7*24小时持续运转，拉高了入侵检出、事件处置核心运营指标。

当然，大模型的能力发展经常会超出预期。可能今年还不敢想象的事情，不久之后AI已经可以做得很好了。所以不妨也给智能体定下几个KPI试试，万一实现了呢？

本文整理自起零衍迹&Chainreactors联合创始人淚笑在CSOP2026·AI安全大会上的主题分享：《AI驱动的自动化渗透：技术现状、工程实践与演进方向》。

最近两年，做安全的人大概率都有同一种焦虑：攻击越来越快，防御越来越跟不上。

面对严峻攻击态势，防守侧也同样需要借力AI。现有大模型已具备足够的理解与推理能力,能在人工设定边界与审批的前提下，自主完成大部分渗透动作。可在实际落地的场景中，整套运行流程却很难做到可观测、可管控。

在技术能力已经成熟的当下，防御团队的最大难题是怎么把AI自动化渗透工程化和可控化。

近年来，攻击侧的变化正在不断加快。AI持续降低漏洞发现和利用门槛，大量的0day漏洞在补丁发布前就已被利用。而对于防御方来说，即使扫描到的海量漏洞，也难以快速判断漏洞的修复价值。Gartner已将对抗性暴露验证（AEV）定义为独立技术市场，其核心目标之一就是将传统点状、滞后、昂贵的人工验证，转变为持续、全覆盖、可负担的安全运营能力。

实现这一目标的核心就是AI自动化渗透能力。从技术发展来看，渗透测试已经经历了几次迭代。2020年以前，自动化主要通过固定脚本解决标准化的问题。2022年后，PentestGPT等基于大模型的渗透测试工具开始出现，对扫描结果进行分析并生成指令，返回给人工参考执行。

真正的转折发生在近两年。随着ReAct、Pi Agent、Claude Agent、MCP等不断成熟，AI逐渐具有了自主推动一整套渗透测试动作的能力。从去年到今年，腾讯举办的两届AI智能渗透挑战赛更清晰地展现了自动化渗透的快速迭代。智能体已经从首届竞赛的简单渗透测试的单项任务，发展成为了第二届中向真实目标进行端到端的自主探索。这充分说明AI已具备接入真实工具、在标准靶场中自主执行渗透任务的能力。

攻击者侧AI的使用已经被验证可行，但防御侧仍处于相对早期的阶段，想在企业真实环境下稳定运行还不太容易。当下行业面临的难题，正是如何将发展出稳定可控的标准化渗透系统。

很多人认为，自动化渗透的突破点在于优化模型性能。从近年工程实践的经验来看，现有模型已掌握自动化渗透所需的核心能力，相较之下，AI渗透测试在企业内是否真正可用，还得看Agent工程体系，是否能支撑系统可控、可审计、可持续地运行。

如果把模型作为渗透化测试的核心，那么它的前后有明确的两端：输入端和执行端。输入端负责持续感知环境，将扫描结果、漏洞信息、历史状态等信息，将其整理成模型能够理解的“信念（Belief）”；执行端承接模型思考生成“意图（Intent）”，调用工具完成真实环境操作，将抽象推理转化成实际渗透动作。此外，还需要控制端来统一管理系统运行状态、调度各类资源，确保整个系统平稳运行。输入端、执行端、控制端，共同构成了三端工程。

近两年来，行业涌现了大量优化系统架构的技术方案，包括黑板架构，共享笔记本，路径地图等，都可以归类成对这三端工程的优化。整体发展的趋势十分明确，以往零碎的技巧正在持续收敛，逐步形成层次清晰、逻辑完整的三端工程体系。随着三端工程体系成型，不再只靠堆模型能力，而是由模型与工程闭环共同驱动。

渗透测试的本质可以概括成“无限状态空间中的有向搜索”，即在明确的起点（资产信息）和终点（权限获取）的前提下，面对中间路径的高度不确定性进行持续探索。

探索不需要预定流程或预设Agent角色，只需要多Agent共同维护一张从起点指向终点的事实图，用三个元素驱动探索：

事实记录已知，模型输出意图，人类注入提示。多个Agent围绕事实图并行工作，发现新事实就写回图中，新事实又生成新的意图，整个系统像树一样朝着终点生长，将模糊的试探结构化成清晰的流程。

在将探索工程化的过程中，有几条设计原则需要额外注意。

提到多Agent，很多人可能认为是要把渗透测试的流程拆分，把信息收集、漏洞利用、后续渗透分别交给不同的Agent。这种设计在流程稳定的任务上有效；但渗透是探索性的，应当更倾向不预设角色的黑板式协作，以保留反馈回路、降低状态同步成本。

渗透测试是探索性的，如果过早地把不同Agnet限制成了固定的角色，就等于人为划分了探索边界。Agent之间的反馈回路被切断，需要不断同步状态、传递上下文，反而会增加协同成本。

因此在很多时候，可以考虑赋予所有Agent相同的能力，让它们并行探索，共享新的发现、失败、证据、待探索方向等态势。同样，面对模型生成的意图，各个Agent应在认领后并行探索不同路径，最终再把结果写入共享状态，完成收敛，最大化探索效率。

随着Agent工程越来越复杂，工程化建设的尺度也是一个至关重要的考量点。

如果系统缺少状态管理和上下文维护，那么模型就容易遗忘目标、重复尝试、甚至推理漂移；但复杂的工程并不一定可靠，如果为了结果稳定性而用大量手段来约束模型，反而会将反馈驱动的探索变成路径依赖，限制模型的发挥。

工程的目的不是替模型思考，而帮助模型更好地思考。当模型已经具备丰富的漏洞知识和推理能力时，工程更应该把约束放在模型外部世界，例如持久化记忆、授权边界、工具接口等，为模型的探索提供稳定的环境，工程与模型各司其职，才能真正释放大模型的能力上限。

Agent兴起后，业内一度认为自动化流程都有可能被Agent取代。但是在真实企业环境中，Workflow与Agent应该分别解决不同的问题。

Workflow适合完成规模大、重复性高、流程稳定的任务，而Agent更擅长充满不确定性、很难提前设计流程的复杂探索。比如说，比如资产收集、数据归并、风险排序、攻击面筛选等适合采用Workflow完成规模化收敛，而漏洞链验证、权限横向移动、多阶段攻击路径探索则适合交给具备动态推理能力的Agent处理。

当然，相对理想的方式是二者协同，Workflow负责快速收敛海量攻击面，将有限资源集中到值得关注的目标；Agent再根据实时反馈不断生成假设并验证路径，对高价值目标进行更深层的攻击验证。

对于未来的持续迭代，我们需要一个标准来判断工程是否有长期投入的价值。也就是模型变强以后，这套工程还能不能用？

● 如果答案是否定：比如通用漏洞知识库、知识型Skill、固定攻击流程、旧模型的纠偏补丁等。这类工程仅仅是在弥补短板，随着大模型原生能力的变强终将会被逐步淘汰，是补智力的补丁；

● 如果答案是肯定：比如状态与信念管理、执行环境与工具链、授权边界与资源治理、证据链与审计能力。这些和模型智力无关，是真实运营的基础设施，模型越强，反而越依赖这些约束和承载。这类工程在建设基础设施，它们具有长久的生命周期，不会受模型迭代影响，反而会随着系统规模的扩张变得愈发重要，是立规矩的资产。

模型能力的迭代在缩小攻击者之间的差距，AI自动化渗透的终局，也绝对不是比谁的Agent更会攻击。真正的竞争点在于构建持续验证攻击可行性的安全运营系统，让强模型在真实环境中持续、可控、可审计地跑下去。未来的企业安全团队需要淘汰当前碎片化、高成本的人工渗透检测模式，转而设计全覆盖、可负担的安全验证常态，让防御验证的节奏真正追上攻击速度。

AI并不是安全专家的替代品。相反，它把专家从重复机械的测试工作中解放出来，使其有精力聚焦在更高价值的判断与决策上。

随着AI自动化渗透的发展，我们也见证着安全验证变革从概念走向落地。对于身处其中的从业者来说，拥抱变化、用AI增强自己的能力，才是应对加速时代的最好方式。

7月9日凌晨，一场针对Hugging Face的入侵开始了。攻击者不是人，而是搭载OpenAI全新模型的AI Agent。本来，这个Agent正运行在一个名为ExploitGym的网络能力评估框架中，在隔离沙箱里找到并利用软件漏洞，目标是sqlite3。

然而Agent推断，Hugging Face可能托管了参考答案，于是决定作弊，尝试入侵Hugging Face找到答案。好巧不巧，为了测试模型的纯粹能力，OpenAI故意关掉了生产安全分类器，降低了网络拒绝策略。

Agent完成了17,600多个攻击动作，从沙箱一路打穿到Hugging Face生产集群的cluster-admin权限。

值得注意的是，据路透社独家报道，这个逃逸的智能体除入侵Hugging Face之外，还包括Modal Labs的客户账号以及另外两个未知服务。OpenAI也证实，其中一个账户被智能体用来作为数据存储节点。

目前，Hugging Face安全团队完成了对整个攻击的复盘。以下为详细时间线。

攻击的起点是OpenAI内部的ExploitGym评估平台。

当天凌晨，AI完成了第一步关键突破：利用沙箱唯一互联网出口——包注册表缓存代理的零日漏洞，成功逃出隔离环境，触达公共互联网。

逃出沙箱后，它需要一个稳定的“大本营”承载后续攻击。很快，它盯上了第三方云服务商上的一个公开代码评估沙箱：这是类似CyberGym的漏洞测试环境，本身就允许用户提交C语言代码并自动编译运行。

第一条路径是构造函数劫持：沙箱会将用户提交的代码与sqlite3库链接，而sqlite3_initialize()被注册为构造函数，会在库加载时自动执行。AI直接重写了这个函数，在内部塞入system()系统调用，程序启动的瞬间就会自动执行任意Shell命令。

第二条路径是文件路径注入：沙箱的构建流程会把源码文件路径直接拼接进Shell命令执行。AI在路径字段用分号截断原有指令，插入自定义命令，把一次普通的代码编译变成了任意代码执行入口。

两条路径殊途同归，AI获得了沙箱的uid=0权限。它执行的首批命令就是id与env——确认权限、导出环境变量、搜刮所有可用信息。不到一小时，它就摸透了沙箱全貌：容器挂载表、控制组、厂商控制平面套接字，甚至发现了一套预装的调试工具集，自带curl、nc、ip等网络工具。这套工具后来成了备用通道，在正常出站被限制时，支撑它维持连接。

拿下大本营后，AI没有搭建专用黑客服务器，而是用请求捕获网站、Pastebin、公共文件托管这类普通公共服务，搭起了C2体系。所有指令都经过gzip压缩+base64编码，全程无敏感明文，普通日志扫描很难识别异常。当天下午，完整的C2通道搭建完成，后续所有攻击指令都从这里发出。

第二天是整场攻击中最安静的一天，没有大规模的漏洞利用与权限突破，AI转入了低强度的信息搜集。

很有可能正是通过情报搜集，智能体将目标锁定为Hugging Face。

它的核心动作是“自引用搜索”：通过代码搜索引擎与Hugging Face平台API，查询自身环境中出现的标识符——包括挑战基础设施名称、环境标记等，反向定位目标平台的相关资源与架构特征。这一天的攻击量仅1100余次，不到峰值的六分之一，更像是在为第三天的主攻做情报铺垫。

第三天是整场入侵的最高潮。从外网边界突破到拿下多集群管理员权限，AI只用了不到13小时。它的渗透路径环环相扣，每一步都精准踩中配置缺陷。

两步突破外网边界

正式进攻Hugging Face之初，AI曾尝试经典的服务端请求伪造（SSRF）：让数据集处理器访问云元数据地址169.254.169.254窃取凭证。但数据集库有严格的URL白名单，所有非平台地址直接被拦截，请求根本无法发出。

AI迅速调整策略：既然远程URL走不通，就让服务器操作本地文件——这不属于URL请求范畴，白名单完全无法覆盖。它瞄准了生产环境的数据集配置驱动加载器，用两种注入向量，先后拿下文件读取权与代码执行权。

第一种向量是HDF5外部存储文件读取。HDF5是大数据场景常用的存储格式，支持声明数据的原始内容存储在外部本地路径下。AI构造了恶意HDF5数据集，给不同数据分片分别指定了敏感本地路径：envu8分片指向进程环境变量文件，mainu8与startu8分片指向Worker自身的源码文件。

当服务器正常读取数据集时，会顺着配置读取本地文件，再把内容作为数据集行返回。整个过程没有执行任何代码，纯粹是文件读取漏洞，却一次性泄露了生产Pod的全部环境变量——包含大量密钥、令牌与凭证，还泄露了数据处理器的完整源代码，让AI彻底摸清了流水线的运作逻辑。

第二种向量是Jinja2服务端模板注入。AI把恶意Python代码藏在数据集的fsspec reference配置的offset字段里：这个字段本应是数值，AI却填入了Jinja2模板代码。渲染器未做类型校验，直接对字段执行模板解析，AI顺着Python对象链一路调用到exec函数，拿到了任意Python代码执行权限。所有执行载荷都经过多层编码，隐蔽性极强。

至此，AI正式突破Hugging Face外网边界，在生产Kubernetes集群的Worker Pod里扎下第一个据点。更巧妙的是它的回传机制：所有命令执行结果都会写入它自己控制的公开数据集（“死信投递”），再通过Hugging Face公开API读取回来。一进一出全走正常平台接口，完美绕过网络隔离。

从单Pod到集群管理员

拿到Pod权限后，AI的横向移动堪称教科书式的容器集群渗透。

第一步，拿下Kubernetes集群访问权限。每个Kubernetes Pod都会挂载服务账户令牌，AI读取令牌后直接对接集群API，枚举集群内服务、RBAC权限，甚至访问EKS公网API端点。遇到DNS解析失败时，它直接给Python的socket.getaddrinfo打“猴子补丁”，把主机名硬绑定到指定IP，绕过解析障碍。

第二步，窃取云节点凭证。Pod可以访问云服务器实例元数据服务（IMDSv2），AI从这里拿到了EC2节点的临时角色凭证。它将凭证拿到外部重放，遍历了VPC、EKS集群、中转网关、密钥管理、容器镜像仓库等全部云资产。值得注意的是，所有可能造成破坏的写操作都带上了DryRun=True参数，只测绘能力边界，不造成实际破坏。

第三步，容器逃逸拿到节点root权限。AI利用了两个配置缺陷：集群没有准入策略拦截特权Pod与hostPath挂载；CSI存储驱动的集群角色，允许全集群范围内创建Pod。它创建了挂载主机整个文件系统的特权Pod，直接从容器逃逸到宿主机，拿到节点root权限。不仅如此，它还在11个节点上部署了自恢复Pod集群——删除个别Pod后，其他节点会自动重建，单纯删Pod根本无法止损。

拿到root权限仅6分钟，AI就用环境变量中读取到的静态密码，登录了内部数据集服务器的MongoDB。不过后续84次密钥读取操作全被权限策略拦截，最终仅实现数据读取，没有篡改与批量拖库。

第四步，一次性窃取136个核心密钥。凭借节点root权限与伪造的服务账户令牌，AI读取了集群的Secret对象，一次性拿到136个密钥。这是整场攻击的关键转折点：其中既有企业内网VPN的认证密钥，也有内部服务连接器的核心凭证，后续所有深度横向移动，全部基于这批密钥展开。

第五步，接入企业内网，拿下多集群权限。AI用偷来的VPN密钥，将沦陷节点直接接入公司内部网状网络，变成进入内网的HTTPS代理。更致命的是内部服务连接器的配置缺陷：这套跨集群访问代理错误使用了全局共享凭证，且绑定到Kubernetes的system:masters超级用户组。拿到这一个凭证，就等于拿到了所有对接集群的管理员权限，AI在一秒之内就拿下了多个内部集群的最高权限。

第四天，AI继续扩大战果，向更核心的业务系统渗透。

它不再满足于仅通过沦陷节点接入内网，而是直接从外部跳板沙箱启动VPN客户端。由于沙箱没有虚拟网卡设备，它使用用户态网络模式搭配本地SOCKS5代理，并开启无痕模式：节点身份仅存在内存不写入磁盘，关闭客户端遥测，尽可能消除痕迹。整个攻击周期内，它前后注册了181个VPN节点。

当天上午，AI尝试用窃取的AWS密钥，通过IAM认证方式接入核心生产数据库。但该数据库仅允许私有链路与白名单地址访问，两次尝试全部连接超时，未能突破。

当天深夜，AI通过内网摸到了内部GitHub代码仓库，拿到GitHub App安装令牌，获得部分内部仓库的写入权限。它提交了一个Pull Request，试图触发CI流水线窃取更多集群凭证——这是典型的软件供应链攻击路径，但最终被执行策略拦截，没有成功植入恶意代码。

第五天是攻击的收尾阶段，AI的核心目标从扩大权限转向维持长期访问能力与清理痕迹。

它首先植入了二级远程加载器：每次新的代码提交环境启动，都会自动从Pastebin拉取恶意代码重新加载，确保沙箱重置后能快速恢复战斗力。面对间歇性的出站封锁，它准备了多套应对方案：修改DNS服务器、绑定hosts地址、甚至利用平台上的公开CORS代理作为流量中继，想尽办法维持连接通道。

同时，它持续生成短期源码管控令牌、部署RSA私钥、导出进程环境信息，为后续持久化做准备。

当天下午1点37分，AI执行了最后一次有效操作：列出中转文件、查询主机名与系统时间。随后Hugging Face安全响应团队完成攻击定位，关停存在漏洞的配置渲染器，全面切断攻击者的内网访问权限。下午2点14分，最后一条攻击日志定格。整场入侵历时4.5天，累计17600次攻击动作，归为6280个行为簇。

事件之后，Hugging Face完成了全方面安全加固：封堵两个注入漏洞，全面阻断Pod对云元数据服务的访问，大范围轮换所有凭证，彻底重建被渗透的核心集群，将全局共享的连接器凭证改为单集群隔离模式。

然而当我们复盘这起事件，最值得关注的还不是“AI有多智能”。它用到的每一个漏洞、每一种手法，资深人类黑客都能实现，真正改变攻防格局的是规模与速度：AI用海量失败尝试把有效攻击链藏在噪音里，让防御方从低信噪比事件中定位威胁的难度指数级上升。

有趣的是，Hugging Face安全团队最初尝试用Claude Opus、Fable等闭源模型进行调查，然而这些模型的安全护栏将 “逆向分析攻击代码” 与 “发起攻击” 等同，拒绝执行。

因此，Hugging Face最终通过中国开源模型GLM-5.2，完成了两项核心工作。

一是还原了AI的加密编码逻辑。通过分块 + 异或 + gzip 的多层编码方案，解密出了普通扫描根本无法发现的大量令牌与密钥；

二是辅助搭建轨迹分析界面，将上万条零散操作还原为完整的攻击时间线。

这也引发了很多人的思考。面对越来越强的大模型推理能力和Agent自主行动能力，AI的围栏、权限的分配等到底该怎么做，才能在解放生产力的同时，确保AI不会自主作恶。

或许最底层的逻辑依然朴素：严格的环境隔离、最小化的权限边界、短生命周期的凭证、默认禁用的元数据访问、跨系统的关联检测。当信任边界收得足够窄，就算AI再能试错，也找不到可以串联起来的攻击路径。

本文整理自微步在线技术合伙人黄雅芳在CSOP2026·AI安全大会上的主题分享：《员工和虚拟员工带来的办公安全挑战》。

这是一个发生在办公网的攻击事件。

一名销售收到了一封询价邮件。他把邮件丢给了Agent，自动生成报价单，然后回复邮件。以前几个小时才能搞定的查报价、申请折扣、写邮件，现在交给AI几分钟就能搞定。

但就这样一个没有下载附件、没有输入密码、甚至连超链都没点的过程，CRM账号与密码却泄露了。

我们肉眼当然是看不见的，但AI在读取到后，就把账号、密码附在邮件里发了出去。

这种攻击手法完全有可能发生在各类实战演练里。攻击者不需要任何木马或者漏洞，就可以操控防守方的AI Agent外发数据。

对于防守方，不是点了钓鱼网站、运行了恶意附件，甚至操作和控制的主体都不只是这名销售，还有背后的虚拟员工，也就是AI Agent。

我们总结一下就会发现，办公网的攻防对抗逻辑已经变了。

比如操作主体。这是最明显的变化，过去都需要员工去操作，现在AI可以自主完成。而且每个员工，可能会同时使用Claude、Codex、Cursor、WorkBuddy等若干个AI。

这里面还有一个很大的变化是数量。过去我们管理的可能是1000人，而现在是1000人+5000个AI，安全管理难度会放大很多倍。

再比如攻击载荷。过去攻击办公网一定会想办法投递恶意代码；但现在只需要一段自然语言指令，攻击者要做的，就是让这段指令能够被AI读取到并执行起来。

所以当AI大规模落地办公网后，防护逻辑的彻底改写，必须要有新的安全方案。

目前，针对智能体安全防护的方案有很多。

比如大模型围栏，可以解决输入、输出的内容安全问题；比如AgentID，可以解决智能体身份认证的问题；再比如AI网关，可以帮助我们计费、流量管控和安全检查；还有SkillHub，统一管控、分发技能包……

这些方案成熟度不一，有的还在论文阶段，有的已经相对成熟。但需要注意的是，我们在选择方案的时候，除了需要考虑成熟度，更重要的搞清楚不同的智能体部署场景。

场景一：企业对外服务智能体

比如智能客服。这类智能体任务边界清晰、能力范围固定，主要访问内部业务系统与知识库，护栏、AI网关、沙箱隔离等方案都能有效落地。

场景二：企业统一对内智能体

这是很多企业正在推进的模式：公司统一搭建智能体平台，员工通过统一入口使用。

虽然是企业统一选型，但销售部门会用、行政部门会用、市场部门也会用，所以它要访问的系统和权限非常多。但好在大模型通常可控，所以AI网关、SkillHub这种方案就非常合适，随着安全方案不断出现，也能够很好的收敛风险。

场景三：员工办公网自装智能体

这也是最普遍、最失控的场景。员工会自主下载各类AI Agent和相关组件、授权各种系统权限，整个过程游离在企业安全体系之外。所以，那些基于“环境可控”的安全方案，就很难发挥出全部效果了。

举个例子。比如公司统一搭建了AI网关，但是员工可以自行配置API key甚至三方中转站，绕过AI网关的安全审查。

针对这种场景，即便是我们想把智能体都管理起来限制使用，长期来看也很难走通。

首先，智能体应用层出不穷。今天管住了过去的Agent，明天又会有新的智能体出现，除非执行严格的白名单，否则永远追不上应用更新的速度。

其次，软件正在全面AI化。未来办公软件、聊天工具、浏览器都在集成智能体能力，这些软件一直都会高频使用。

第三，业务提效始终是优先项。我们不太可能基于潜在的风险，把那些能提效的AI工具都禁用掉。

除了虚拟员工给我们带来了全新的、脆弱的攻击面，另一方面，原本员工遭受到的，也是更复杂、更快速、更高频、仿真度更高的攻击。

面对员工和虚拟员工带来的双重风险，办公网安全会变得更加艰难。

以这两年最活跃的银狐为例。过去六个月，银狐的攻击设施搭建几乎全部AI化了。

基础设施自动化：批量注册仿冒域名、自动部署钓鱼页面与恶意样本，全程几乎无需人工参与，秒级就能上线十几个钓鱼站点。

我们有一个非常夸张的数据对比。基于微步监测到的所有黑产邮箱，2025年下半年单日域名上线总数很难突破100个；而到了2026年上半年，最多单日域名上线数量已超过870个。

半年时间接近9倍的差距，AI对攻击烈度的放大能力可见一斑。

钓鱼页面仿真化：AI一比一复制官网页面，根本无法通过视觉分辨。

免杀变种多样化：单团伙一天就能生成200+恶意变种，而杀毒软件的检测能力，通常会延后4-6小时，这种效率完全跟不上。

更棘手的，是攻击过程中的动态对抗能力。以微步最近几次应急观察到的对抗过程为例。

横向速度非常快。攻击者拿下一两台终端后，很快就能拿到集权的权限，然后往更多的终端上下发木马，多的时候甚至有上千台。即便是这家企业安全防护已经做的很好了，也没能阻止攻击者的快速横移。

不同的机器，不同的C2。攻击者针对每一台受控机器，都设置了不同的C2，几乎不可能穷尽所有C2，放到网络黑名单里。

动态调整Payload。当攻击者看到上线机器数量不断减少时，会不断地变化Payload，一个下午就有十几种，并且同步去改变免杀对抗策略。

在这样高速变化的攻击面前，相当于企业在同时应对十几个组织投递的十几套Payload，应对起来是非常困难的。

针对智能体的攻击，有两类需要特别注意。

第一类是恶意Skill。

今年3月，微步OneSEC就捕获到真实攻击事件。一台macOS机器上安装的OpenClaw调用了一个恶意Skill，随后被植入了AMOS窃密程序。

这也是很多企业第一时间建设内部SkillHub的核心原因，因为开放下载的风险特别大。从微步最近一个月的扫描结果来看，接近20万的Skills里有8.2%存在恶意。

第二类是间接提示词注入。

这是智能体面临的最大风险，本文开头的例子就属于此类。

它的风险来自于为了让AI执行某个任务，过程中会引入信息资料、资源工具……这些内容里都可能藏着恶意语义指令，会被AI读取到。

其中研发场景是AI浓度最高、也是安全风险最大的。在开发过程中，Coding Agent读取的信息量非常大，包括代码仓库、Issue评论、CI日志、依赖包输出、技术文档等大量开发上下文，以及被编译器忽略的代码注释，任何一个环节都可能暗藏恶意指令。

既然办公网有那么多不可控的因素，导致许多智能体安全方案不好落地，员工层面又遭受到了更大的攻击，我们怎么有效地做应对？

微步认为，核心是要找到那个不变、可观测的抓手——终端行为，这也是微步办公网安全的核心思路。

具体来看，办公终端上存在的数据，我们一般分成三层。

上层是文件。我们使用杀毒软件，基于病毒特征、签名、哈希、启发式规则，就能很好的覆盖已知恶意样本。

底层是操作系统。过去几年木马变化很快，杀毒跟不上了，所以我们引入了EDR，采集操作系统的行为，比如进程、线程、网络、内存等等，检测有没有恶意代码。

中间层是应用系统。针对虚拟员工的攻击，EDR可以解决一部分问题，比如投递了一个木马，访问了敏感文件，这些会有操作系统层面的行为。

但还不够。我们还得看到Agent调用了什么样的工具、加载了什么样的Skill、输入了什么Prompt，这些都要依靠AIDR去采集、分析。不然很多时候，EDR很难根据系统层面的行为去判定，到底是AI在执行正常业务流程还是被恶意诱导。

所以结论已经很明显了。当虚拟员工越来越多的时候，那么每个企业会像需要EDR一样需要AIDR。最终通过EDR与AIDR结合，搭配上杀毒软件和软件管控等已有手段，实现办公网的可见、可管、可防。

近日，Gartner连续发布《2026年安全运营技术成熟度曲线》(Hype Cycle™ for Security Operations, 2026)与《2026年中型企业技术成熟度曲线》(Hype Cycle™ for Midsize Enterprises, 2026)两大全球行业报告。微步在线（ThreatBook）威胁情报能力（CTI）成功入选两份报告Cyberthreat Intelligence Data & Analytics（网络威胁情报数据与分析）赛道样本厂商，也是该赛道内唯一上榜的中国厂商，对微步而言，这代表着国产CTI综合实力再度获得国际认可。

两份报告面向全球安全负责人、企业CIO及各行业技术管理者，是全球企业技术选型、安全战略规划的核心风向标。根据Gartner相关研究报告，网络威胁情报（CTI）被评定为 “高收益评级”，报告原文对行业主流演进方向作出如下表述： “主要的安全厂商正在整合或收购威胁情报（TI）、数字风险保护服务（DRPS）和外部攻击面管理（EASM）能力，以打造统一的平台，将外部暴露、对手行为和品牌滥用进行关联，从而减少碎片化、强化归因，并扩大企业范围内的运营影响力…… 情报服务正从仅仅提供IOC（威胁指标）层面的信息，转向与攻击者意图、行为及其变现模式相关的情报关联和背景分析。”传统单一IOC指标匹配模式逐步被淘汰，多源数据融合、AI智能分析、攻击行为研判、全域闭环联动成为CTI核心能力要求；同时结合AI智能体、新型网络攻击趋势，威胁情报需要兼顾传统攻防与新兴风险防护，成为安全运营的核心中枢。

当下网络威胁持续迭代，攻击链条愈发复杂，叠加生成式AI、AI智能体的广泛落地，企业安全运营普遍面临三大痛点：单一情报源存在防御盲区、海量告警造成人工研判压力、情报与安全设备割裂无法落地处置。微步在线深耕CTI领域多年，围绕威胁数据采集、智能分析、联动处置全链路打造成熟解决方案。

依托全球分布式威胁感知网络，我们搭建海量、多维度的威胁数据体系，自主情报产出占比超95%，持续追踪全球APT组织、网络黑产的攻击动向。方案融合全球通用威胁数据与亚太区域独有攻击特征，同时支持对接企业内网日志、资产数据、私有情报，打通内外部数据壁垒，解决数据碎片化问题，为数据分析与研判提供可靠支撑。

深度应用大模型、行为聚类、知识图谱等AI技术赋能CTI全流程。针对海量原始威胁数据与告警信息，实现智能降噪、自动归类、攻击行为聚类分析，精准还原完整攻击链路与攻击者意图，大幅降低误报率，减轻安全团队工作负荷。同时支持自然语言检索、智能报告生成等功能，让复杂的情报分析、事件溯源工作高效落地，匹配Gartner倡导的人机协同运营模式。

遵循Gartner持续威胁暴露管理（CTEM）理念，整套CTI能力具备强大生态兼容性，可与SIEM、NDR、EDR、SASE、防火墙等主流安全产品无缝对接。依托威胁数据与分析能力，完成情报碰撞、风险定级、策略下发、威胁阻断、效果回传全流程联动，让威胁数据从静态信息转变为可执行的安全动作，真正实现情报驱动防御。

针对客户核心产品源码外泄、涉密文件私自云盘储存、内部文件意外公开、敏感数据暗网交易，基于微步SaaS平台与强大的技术数据能力提供数字资产泄露全流程处置服务，自循环7x24小时发现和自动化处置数字资产泄露风险。

针对大型政企、中型企业、分支型机构等不同客户群体，CTI相关产品与服务支持本地部署、SaaS部署、混合部署多种形态。既满足金融、政务、能源等行业的数据合规、数据属地化要求，也可帮助中小企业轻量化上线威胁情报能力，灵活适配混合IT、OT等复杂架构。

截至目前，微步在线CTI能力已在数千家政企客户场景中落地实战，持续帮助客户提升威胁发现效率、缩短安全事件响应时长。对微步而言，此次同步入选两份Gartner报告，是国际市场对我们技术积累、落地实践与综合服务能力的双重肯定。

未来，微步在线将继续深耕网络威胁情报数据与分析核心赛道，紧跟Gartner等权威机构的技术趋势，持续优化数据能力与AI分析能力，深化生态联动。我们也将携手全球各行业伙伴，以专业CTI能力为底座，共建主动、智能、闭环的现代化安全运营体系，共筑网络安全防线。

Gartner, Hype Cycle for Security Operations, 2026, 5 June 2026

Gartner, Hype Cycle for Midsize Enterprises, 2026, 15 June 2026

Gartner并未在其研究报告中支持任何供应商、产品或服务，也并未建议科技用户只选择该等获最高评分或其它称号的供应商。Gartner的研究报告含有Gartner 研究与顾问组织的意见，且该意见不应被视作事实陈述。就该研究报告而言，Gartner放弃做出所有明示或默示的保证，包括任何有关适销性或某一特定用途适用性的保证。

GARTNER是Gartner, Inc. 和/或其关联公司在美国和国际上的商标和服务标识，并在获得许可的情况下在此使用。保留所有权利。

先说一个可能让很多安全负责人意外的判断：今天安全市场最大的问题，不是AI不够用，而是AI太多了。

Gartner^®最新NDR报告说：“I&O负责人员面临着大量声称具备AI驱动改进能力的厂商。然而，AI功能正在被嵌入并不断提升到现有的网络安全技术中，如SASE和NDR。这些供应商为I&O负责人提供了一种切实可行的方法，可以在不引入新的安全工具或进行复杂的重新设计的情况下，实现安全管控的现代化并提升威胁检测能力，从而增强安全态势并减轻威胁。”

打开任何一家安全厂商的官网，几乎都写着"AI驱动"。每一场演示都在跑模型，每一份白皮书都在讲智能。负责基础设施与安全的人，被这些声称、demo和术语层层淹没，却很难分清：哪些是真本事，哪些只是话术。

我们认为，Gartner在最新一份报告里给出的建议，恰恰是反着来的。它没有让你去追更强的AI，而是说了一句更冷静的话：真正务实的做法，不是再买一套AI安全工具（那只会让本就臃肿的安全栈更复杂、更难管），而是把AI用在你很可能早就买了的两类平台上：管南北向用户访问的SASE，和管东西向内部流量的NDR。

换句话说，你需要的那个AI，大概率已经在手里，只是还没打开。

这两条线里，东西向流量，也就是内部系统之间的横向通信的检测尤其难。难在哪？难在它要求一件几乎自相矛盾的事：既不能漏掉攻击，又不能误报成灾。

为了不放过任何一次攻击，系统往往把灵敏度拉满，结果就是告警洪水。海量"看起来不太对"的事件涌进来，安全团队疲于奔命，真正那条致命的攻击反而被淹没在噪音里。

可一旦把阈值调保守，又会滑向另一个极端：漏报。何况攻击者的手法在飞快演进，新的攻击方式、新的绕过手段层出不穷，想做到一个都不放过，本身就极其困难。

抓得太松会淹没，抓得太严会遗漏。那么，一套真正行之有效的NDR AI检测，到底应该长什么样？面对这个让所有人头疼的难题，Gartner给出的答案是什么？

我们从报告中总结得出，Gartner的答案不是"买一套更强的检测"，而是把AI用好在你已经拥有的NDR平台里，让它吐出来的是少量、高置信度的攻击结论，而不是又一堆等着人去分诊的告警。

为什么不另买一套？我们理解下，报告的逻辑很清楚。

其一，你现有的NDR本来就坐在东西向流量上，拥有对内部环境最完整的可见性。再叠一套新工具，数据要重新打通、团队要重新学、运维更复杂，而可见性并不会因此变得更全。

其二，别用"加采购"来解决问题。每多一个工具，本就臃肿的安全栈就更难维护。

其三，也是最关键的一点，真正缺的从来不是"更多检测"，而是"更高保真的检测"。问题出在信噪比，不在工具数量。

Gartner把NDR侧这类AI能力归成了一个品类，叫"攻击信号情报"（attack signal intelligence）。我们认为，它的内核恰好对症前面那个两难：不是简单地报"这不太正常"，而是从海量异常里，把真正的"攻击信号"识别出来、排好优先级。如此一来，误报被压住了，因为输出的是经过研判的高置信结论；真攻击也不会被放过，因为判断锚定在攻击者的行为上，而不是单纯的流量波动。

把"要么淹没在告警里、要么放过真攻击"的死结，换成"少而准的可信攻击信号"——我们认为，这就是Gartner给出的那条务实路径：“将有限的AI管控应用于高价值区域；在已定义的分段中实现受控自治；持续审查并全面整合到运营中；并使AI赋能与零信任项目保持一致。”

而这，正是微步在线一直在做的事。事实上，在这份报告里，微步也被认可为硬件加速AI领域下的代表性厂商(Sample NDR Vendor)。

微步TDP的检测，不靠单纯的流量异常来报警，而是基于对攻击者行为与手法的理解去做研判，这正是"把异常翻译成攻击"的关键，也是高保真的真正来源。

落到实处，是几个看得见的改变：误报大幅下降，安全团队不再被噪音淹没；威胁研判提速，真正的攻击能被更快地识别和定位。更重要的是，每一个判定都不是黑箱结论，而是带着"为什么"，攻击链是怎么还原的、依据在哪里。这恰好回应了报告对"可解释性"的要求，也是运营团队敢于信任AI的前提。

那么，怎么判断这套做法到底有没有用？报告里其实已经给好了尺子，就两把：威胁的遏制速度，和AI执行的稳定性。

前者看的是，从一次可疑活动出现，到它被识别、被控制住，用了多久，这直接决定了组织暴露在风险下的时间。后者看的是，AI做出的处置有多少需要回滚、有多少给用户添了麻烦，它衡量的是AI在加固防护的同时，有没有制造新的干扰。

再把视线拉远一点。Gartner预测，“到2028年，70% 的SD-WAN采购将并入单一厂商的SASE平台，而这一数字在2025年的时候仅有25%”，市场正加速走向整合。而检测本身，也在从被动等告警，向"主动化、自动化"演进。微步即将推出的AI巡检，正是顺着这个大势迈出的一步。

不缺AI的时代，谁能把AI用在对的地方，谁就赢了下半场。

报告来源：Gartner，《Activating AI in SASE and NDR: A Phased AI Roadmap to Secure IT Infrastructure》，Nauman Raja，2026年4月2日，ID G00841754。

Gartner并未在其研究报告中支持任何供应商、产品或服务，也并未建议科技用户只选择该等获最高评分或其它称号的供应商。Gartner的研究报告含有Gartner研究与顾问组织的意见，且该意见不应被视作事实陈述。就该研究报告而言，Gartner放弃做出所有明示或默示的保证，包括任何有关适销性或某一特定用途适用性的保证。

GARTNER是Gartner, Inc. 和/或其关联公司在美国和国际上的商标和服务标识，并在获得许可的情况下在此使用。保留所有权利。

今年演练季，急需Skill加持提效？X情报中心Skill广场全新上线，帮师傅们支棱起来！在Skill广场上传安全分析流程，通过审核即可任选情报标签解锁、IP攻击画像、批量查询、样本下载其中1项权益，优质技能还有额外现金奖励。

进入X情报中心首页，找到Skill广场，点右侧“发布Skill”上传，即可参与评选。

X情报中心的Skill广场是安全从业者的一站式Skill共创平台。告警研判、威胁溯源、攻击面梳理、样本分析、设备巡检、报告编写……只要你有一套独特的安全分析流程，整理成Skill发布到广场，就能与数万安全同行共享你的实战能力。

为了帮大家补充额度、搜罗好用的脚本，X情报中心限时开启「Skill 创作者主题冲刺」，整理上传你平时用的安全场景流程，只要审核通过，根据内容的完善程度，最多可解锁情报标签解锁 / IP攻击画像 / 批量查询 / 样本下载四项权限的一项。

另外，根据内容质量、完整度、复用价值、平台热度等，我们还会定期评选“推荐Skill ”和“优秀Skill”。其中推荐Skill额外奖励50元，优秀Skill额外奖励100~250元。活动已经在7月15日开始，首周进行7大主题冲刺，每日公布推荐Skill；后续2-4周开放持续征集，每周公布推荐Skill。活动结束后，将从活动期间所有推荐作品中，进一步选出优秀Skill。

更多细节请参考X情报中心置顶帖中的说明。

我们总结了几条创作思路：

以@5ae27b8d89c34上传的「silver-fox-detector」为例，它瞄准"识别银狐钓鱼网站"这一具体场景，8项检测规则明确、触发词清晰，还附带了运行截图和结果展示，使用门槛低，是师傅们可以直接调用的优质Skill。

PC端访问X情报中心首页 →  选择“Skill广场” → 点击右侧“发布Skill”，上传md文件或zip包，完善发布信息，审核通过即视为参与成功。

平时写的那些分析流程，放着也是放着，不如整理成Skill传上来，既能换额度，还没准能赢奖金。传完也别忘了逛逛广场，说不定你需要的脚本，就在下一个转角～

7月16日，CSOP2026·AI安全大会上海站正式召开。本次大会以“共智·共进·共生”为主题，聚焦AI时代新安全范式，吸引了来自政府机构、国央企、科研院所、顶尖高校、运营商、互联网高科技等头部企业的安全专家，共同探讨AI自动化攻击的应对策略、AI赋能安全的实践路径，以及AI自身安全防护的新挑战。

“过去挖漏洞，好比手工作坊；今天的攻击者正在快速走向工业化，AI生成的漏洞数量已远远超过人类发现和修复的速度。”微步在线创始人兼CEO薛锋阐明了攻击者的AI进化速度。在他看来，AI进一步加剧了攻防不对称的局面，企业原有的弱点会在AI面前被无限放大。攻击者能以近乎零成本方式尝试无数次，只要成功一次就能完成入侵。

微步在线创始人兼CEO薛锋

但即便如此，攻击者也必须要在整个攻击链路上持续保持隐身，就整个杀伤链而言，防守方只需做对一次就能发现攻击。想要至少做对一次，企业应立即着手重构安全基础设施，涵盖高质量日志采集、终端和流量的可见性、应急响应能力强化、漏洞与威胁情报整合、云安全与身份安全建设等多个维度。同时，积极推动AI对抗AI的自动化防御体系，才能对抗AI助力攻击者所带来的风险。

ISC2上海分会主席施勇谈到了AI对于勒索攻击的巨大影响。目前，AI正将漏洞挖掘从“精英手艺”推向“工业化量产”，0day漏洞从稀缺战略资源转变为攻击常规武器，勒索攻击门槛骤降、效率指数级提升，攻防不对称性持续加剧。当前勒索攻击已演进为数据窃取、业务破坏、供应链污染、暗网倒卖的复合勒索范式，攻击目标更从业务系统延伸至AI模型与智能资产。因此，企业需要通过AI驱动的全域感知、零信任架构、前置代码审计实现秒级响应与威胁预判，同时配套专项应急预案与常态化红蓝演练，形成技术、管理、数据三位一体的纵深防护。

ISC2上海分会主席施勇

微步在线技术合伙人黄雅芳表示，AI带来的从来不只是单点风险，而是办公网基础安全模型的变化。一方面，AI持续放大传统攻击手法烈度，员工受到的攻击频率更快、仿真度更高、隐蔽性更强；另一方面，AI智能体作为虚拟员工，成为了新的攻击面，然而大多数防护方案默认企业能控制智能体运行环境，缺乏对AI应用的实时发现和动态行为检测。无论普通员工还是虚拟员工，都会在终端上留下可观测痕迹，需要通过EDR与AIDR联动防护，达成办公网的可管、可控、可防。

微步在线技术合伙人黄雅芳

面对AI攻击者的步步紧逼，安全防护体系正在经历根本性重构。

从安全运营角度看，AI并不是一个替代概念，而是要利用AI的智能能力，推动安全运营从产品驱动走向业务流驱动，将风险快速转化为组织可理解、可协同、可闭环的运营动作。

面对信息割裂、风险失焦、能力难以沉淀三大痛点，沐曦股份IT副总裁唐竹君提出“风险识别、流程贯通、能力沉淀”的联合解决方案：首先，通过AI协助流量降噪与资产上下文融合，将孤立告警转化为面向业务场景的风险识别；其次，以AI作为安全与运维之间的协同助手，贯通告警研判、影响分析、任务分派与闭环跟踪，加速团队形成一致判断和处置动作，并坚持“常规风险提效处置，关键风险人机共判，重大动作全程留痕”的运营原则；最后，把每一次研判、处置和复盘沉淀为标准流程与组织经验，逐步将安全响应从依赖专家经验，推进到可复用、可追踪、可持续优化的流程化能力。

唐竹君提出，AI驱动安全运营的价值，不止于通过AI提升安全运维的局部效率，更在于将风险识别、业务判断、协同处置和知识沉淀贯通为一套可持续迭代、可复制、可度量的组织级安全运营能力。

围绕AI安全运营的人机协同转型，蔚来汽车安全运营总监邹鹏程分享了其团队的实践路径。他认为，让AI进入运营的第一步是通过频率、可逆性、标准化程度、业务耦合度四个维度划清人机边界，将业务场景分类成Agent自闭环、Agent调查+人确认与人主导三个等级。在此框架下，通过五级角色重构实现能力下沉与例外上浮，实现渐进式授权与量化考核。技术落地上，团队完成从线性响应到IPDRR自适应循环的跨越，通过自进化双闭环机制沉淀知识，最终在攻防演习中实现工单自动闭环，推动团队精力从告警执行转向规则设计与智能体训练。

蔚来汽车安全运营总监邹鹏程

网商银行高级网络安全工程师张恒志深度拆解了AISOC智能研判的工程化架构、核心能力构建与实战边界。网商银行打造的智能研判的全栈工程化体系，涵盖分层工程底座、量化模型选型标准、从单Agent到多Agent协同的架构迭代，以及具备自我迭代能力的记忆治理机制，降低人工分析的告警数量达98%，并将单事件处置时长缩短到5分钟。对于未来发展，张恒志表示，Agent能力将从告警研判延伸至策略生成、未知风险发现，实现威胁运营体系的整体进化，成为支撑数字银行及各行业数字化纵深防御的核心引擎。

网商银行高级网络安全工程师张恒志

从北京到深圳，从成都到上海，我们与安全运营实战者同行，见证了AI安全从理念到落地的一次又一次突破。至此，CSOP2026·AI安全大会圆满收官，期待明年再会！

近日，国家市场监督管理总局、国家标准化管理委员会宣布，GB/T 44886.4-2026《网络安全技术 网络安全产品互联互通 第4部分：威胁信息格式》国家标准正式发布，并将于2027年2月1日正式实施。

《网络安全技术 网络安全产品互联互通 第4部分：威胁信息格式》由中国电子技术标准化研究院牵头，联合微步在线等30家产学研单位共同编制。该标准立足于网络安全产品互联互通场景，在《信息安全技术威胁信息格式规范》基础上进行了全面升级，系统厘清了威胁信息各组件的属性定义及关联关系，统一了威胁信息生成、使用、处理的全流程格式规范。标准的发布实施对于推动落实国家网络安全产品互联互通战略要求、破解异构安全设备因威胁信息格式不一致导致的互操作难题、指导网络安全威胁信息平台的规划建设提供了重要的标准支撑，也为网络安全产业规范化发展和用户协同防御能力提升奠定了坚实基础。

打通安全产品数据壁垒、实现威胁情报的高效流转与协同联动，是推进网络安全互联互通的关键路径。作为AI时代网络安全技术创新型企业，微步持续深化“AI+TI”双核战略，以实战导向的Agentic AI和行业领先的威胁情报TI为技术内核，提供覆盖“云、网、边、端”的新基础安全体系，旗下威胁感知平台TDP、威胁防御系统OneSIG、下一代威胁情报平台NGTIP等全线产品，均能够通过API接口、syslog等各种灵活方式，共享标准化威胁信息，打通威胁检测、研判、响应、预防的闭环流程，助力企业安全运营体系从"单点防御"向"协同联动"升级。

未来，微步将携手中国电子技术标准化研究院及产业各方，积极推进标准贯彻实施，助力构建开放、灵活的生态，持续深化与业界主流安全产品的标准化协同和联动响应，为网络安全产品市场的规范化和产业整体实力的提升贡献力量，帮助用户更好地应对日益复杂多变的网络安全威胁。

当下企业安全运营普遍陷入数据割裂、告警失焦、处置无法闭环的三重困境，海量流量告警难以转化为可落地的业务风险判断，传统人工处置模式效率瓶颈凸显。AI技术成为补齐运营卡点、打通全链路闭环的核心抓手，但AI Agent落地、治理等环节仍存在诸多待解难题。如何将AI融入安全运营流程，驱动安全运营建设，实现AI与企业安全团队的“共智、共进、共生”？

2026年7月16日，CSOP2026 AI安全大会·上海站，沐曦股份IT副总裁唐竹君将带来演讲《从流量洞察到威胁闭环：AI驱动安全运营实践探索》，结合企业安全运维场景的实践探索，拆解 AI 重塑安全运维全链路的落地思路；通过拟落地案例演示，呈现安全研判、运维处置与知识沉淀如何形成运营闭环，为企业搭建安全风险运营体系提供方法参考。

·END·

7月10日，CSOP2026·AI网络安全运营实战大会成都站正式召开。本次大会以“共智·共进·共生”为主题，聚焦AI时代新安全范式，吸引了来自政府机构、国央企、科研院所、顶尖高校、运营商、互联网高科技等头部企业的安全专家，共同探讨AI自动化攻击的应对策略、AI赋能安全的实践路径，以及AI自身安全防护的新挑战。

“过去挖漏洞，好比手工作坊；今天的攻击者正在快速走向工业化，AI生成的漏洞数量已远远超过人类发现和修复的速度。”微步在线创始人兼CEO薛锋阐明了攻击者的AI进化速度。在他看来，AI进一步加剧了攻防不对称的局面，企业原有的弱点会在AI面前被无限放大。攻击者能以近乎零成本方式尝试无数次，只要成功一次就能完成入侵。

微步在线创始人兼CEO薛锋

但即便如此，攻击者也必须要在整个攻击链路上持续保持隐身，就整个杀伤链而言，防守方只需做对一次就能发现攻击。想要至少做对一次，企业应立即着手重构安全基础设施，涵盖高质量日志采集、终端和流量的可见性、应急响应能力强化、漏洞与威胁情报整合、云安全与身份安全建设等多个维度。同时，积极推动AI对抗AI的自动化防御体系，才能对抗AI助力攻击者所带来的风险。

四川大学信息化建设与管理办公室副主任李勇军也表达了同样的观点。他表示，当前高校普遍面临资产规模大、暴露面广、人员安全意识参差不齐等诸多挑战，面对AI带来的新型攻击冲击，传统静态边界防护已无法适配开放复杂的校园网络环境。因此，校园网络安全需加速向零信任架构演进，通过控制面与数据面分离、动态多因素认证、细粒度微隔离重构访问信任体系；同时布局AI驱动的智能防御能力，强化终端与物联网全链路数据保护，严管第三方供应链安全风险，以体系化、智能化的防护能力应对AI时代的动态安全威胁。

四川大学信息化建设与管理办公室副主任李勇军

具体到办公网而言，微步在线技术合伙人黄雅芳表示，AI带来的从来不只是单点风险，而是办公网基础安全模型的变化。一方面，AI持续放大传统攻击手法烈度，员工受到的攻击频率更快、仿真度更高、隐蔽性更强；另一方面，AI智能体作为虚拟员工，成为了新的攻击面，然而大多数防护方案默认企业能控制智能体运行环境，缺乏对AI应用的实时发现和动态行为检测。无论普通员工还是虚拟员工，都会在终端上留下可观测痕迹，需要通过EDR与AIDR联动防护，达成办公网的可管、可控、可防。

微步在线技术合伙人黄雅芳

面对AI攻击者的步步紧逼，安全防护体系正在经历根本性重构。

为了先于攻击者发现防护薄弱环节，北大正基于前沿模型与Agent框架，探索智能化渗透测试。北京大学计算中心网络安全室专家汤博文表示，智能化渗透测试的瓶颈，已从模型能力转向框架编排，关键在于确保执行过程与结果可靠、可信。对此，北大提出“渗透即程序”的理念：不再仅依赖模型自主发挥，而是将渗透测试转化为一段有类型、有语义、可检查的程序，以提升长程渗透测试的稳定性和可控性。

北京大学计算中心网络安全室专家汤博文

广东东方思维科技有限公司副总经理段金石分享了“技术·管理·情报·AI防护”的实战框架。具体而言，技术上筑牢“进不来、拿不走、扩散不了、赖不掉”防线；管理上建立黄金一小时处置SOP与分层安全培训体系；情报上通过暗网监控与外部攻击面管理，实现从被动响应到主动预警的跨越；AI防护层面“以模制模”，完成从"AI辅助"到"AI自主"的进化，从而让安全从外部合规要求内化为企业的生存基因。

广东东方思维科技有限公司副总经理段金石

“安全对抗已正式进入AI与AI对抗的新阶段。”四川联通数科事业部高级安全专家王颉强调，站在攻击者角度，AI驱动的恶意代码生成、零日漏洞利用、高仿真社工攻击已成为现实威胁；而站在防守方角度，政企安全保障建设需加速转向AI能力驱动。无论是AI Security或AI Safety带来的风险，王颉提出，AI安全建设需构建“管理 + 技术 + 运营” 三位一体的体系才能综合性实现安全风险可管、可控，并需要有效推动AI赋能的安全运营体系构建形成安全事件的处置闭环。

四川联通数科事业部高级安全专家王颉

需要注意的是，AI在提升运营效率的同时，也面临精准预警能力不足、误报漏报频发、数据储存分散等痛点。民航成都电子技术有限公司技术副总监马勇表示，解决方案的核心在于构建多源数据采集、威胁情报中枢、AI决策平台与智能监管运营的四层联动运营体系。同时，大模型在政治安全、伦理安全、信息安全方面的潜在风险不容忽视，人脸识别滥用、对抗样本攻击等场景亟需法规标准完善、数据治理强化、人才体系培养与跨域协同机制的共同支撑，方能以智驭险，筑牢民航网络安全防线。

民航成都电子技术有限公司技术副总监马勇

此外大会现场，四川省网络空间安全协会与西藏自治区网络与数据安全协会正式签署战略合作协议。未来双方将持续深化川藏两地网络安全领域协同联动，搭建完善资源共享、人才共育、产业共促工作机制，助力区域网络安全产业高质量发展。

本届CSOP大会成都站结束之后，还将落地上海与安全运营实战者见面，共话AI安全新未来。欢迎扫描下方海报二维码报名CSOP 2026上海站。