漏洞管理的核心假设已经被现实打穿：找出漏洞→排序→打补丁→风险下降。

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

能见度不是问题

漏洞管理不是因为安全团队缺乏可见性才失败的。大多数组织发现的问题数量，远远超过他们实际能够处理的能力。然而，尽管有这么多发现，许多CISO仍然在试图回答一个看似简单的问题：我们有没有真的变得更难攻陷？

这个问题正中了一个越来越严重的痛点。安全项目在"找问题"这件事上已经做得很好，但"找问题"和"降低风险"并不是一回事。在许多组织里，这两个概念已经被混为一谈，这正是传统漏洞管理开始瓦解的根源。

漏洞管理的底层假设其实很简单：如果你能识别漏洞、给它们排序、然后打补丁，风险就应该下降。这套逻辑在环境规模较小、基础设施变化较慢、漏洞被视为风险主要指标的时代，还能走通。

今天的环境已经不一样了。漏洞几乎从不是孤立存在的——它们往往只是一个更广义安全问题的其中一环。挑战不再是"找漏洞"，而是"理解暴露"。

这也是Gartner的持续威胁暴露管理（CTEM）框架越来越被接受的原因之一。这个框架的核心，正是承认要理解风险，必须跳出单个漏洞，去评估攻击者真正能够利用的更大范围的暴露。

排序为什么总是不到位

当组织试图对风险排序时，这种落差就会暴露出来。传统的漏洞管理是逐个评估发现的，通常用严重度评分作为风险的代理。攻击者则完全不按这个思路走——他们评估的是"哪些弱点能连成线"、"能拿到什么访问权限"、"组合起来能达成什么有意义的目标"。

这个区别之所以重要，是因为"严重度"和"风险"根本不是一回事。一个无法访问、无法被利用的"严重"漏洞，实际上可能代表几乎为零的实战风险。反过来，一个低严重度问题，一旦叠加弱凭据、过度权限或配置错配的身份关系，就可能打造出一条直达敏感系统和数据的路径。

攻击者天生就明白这一点。他们从不一个一个地去攻击漏洞。他们把弱点串起来、在环境里横向移动、提权，然后奔向离目标最近的那条路径。

严重度不是风险

漏洞管理努力之所以今天越来越吃力，最重要的原因之一是"严重度"被当成了"风险"的代名词。理解起来也容易——严重度评分提供了一种标准化的方式去比较不同的发现，让团队能够从海量漏洞里挑出先后次序。

一个漏洞只有在它能帮助攻击者达成目标时才有意义——目标可能是访问敏感数据、提权，或在环境里横向移动。任何场景下，该问的问题都不是"这个漏洞有多严重？"，而是"这个弱点能不能成为通向某个值钱东西的一块拼图？"

这是两个根本不同的问题。一个衡量的是发现的特性，另一个评估的是它给攻击者制造的"机会"。随着环境越来越互联，这两个视角之间的差距还在持续拉大。

暴露比漏洞更大

可见性告诉你"有哪些漏洞存在"。暴露告诉你"攻击者能怎么用它们"。

这个区分现在越来越重要，因为暴露比漏洞更宽——它包括弱点、身份、权限、资产、信任关系、业务系统之间那些给攻击者创造机会的"连接关系"。

一个漏洞可能只是暴露的一部分，故事远不止漏洞本身。想象一个低严重度漏洞，运行在一个权限过度的系统上。单独看，两者都不紧急；但加在一起，就能直接通向敏感数据或关键基础设施。

再换个视角：一个攻击者已经搞下了某个低价值系统。在传统漏洞管理模型里，关注点还停留在那个让他进来的漏洞上；但在暴露管理模型里，关注点会跳到"接下来会怎样"：

• 攻击者能打通到哪里？

• 哪些身份可以被滥用？

• 哪些权限可以利用？

• 哪些系统会暴露出来？

漏洞可能是入侵的入口，但"暴露"才决定了影响有多大。这也是为什么理解暴露必须跳出单个发现，去评估弱点之间在环境里到底怎么互动。

同样的逻辑适用于云环境、身份系统、Active Directory、第三方访问和混合环境。攻击者不是因为组织存在某个漏洞就攻陷它——他们是因为多重条件凑在一起、形成了一条通向值钱东西的路径，才得手的。

这就是暴露的定义。

为什么暴露管理正在取代漏洞管理

攻击者其实已经完成了这种转变。行业这才刚刚追上来。

漏洞管理帮我们理解"哪里坏了"。暴露管理帮我们理解"攻击者到底能做什么"。

随着环境越来越互联，目标不再是"识别每一个漏洞"，而是"理解哪些弱点的组合会制造有意义的风险"，以及"在哪里下手能最高效地降低那种风险"。

对CISO来说，这会改变对话。

以前问：

• 我们有多少漏洞？

• 我们打补丁多快？

现在更要问：

• 攻击者到底能打通到哪里？

• 哪些暴露制造了真正的业务风险？

• 我们应该先修什么？

• 我们是不是真的越来越难攻陷？

这些就是暴露管理的问题。当攻击者正以机器速度发现和利用机会时，这些问题只会越来越成为真正重要的问题。

跳转微信打开

了解暗网情报必读报告之一。

关键发现

暗网情报（Dark Web Intelligence，DWI）正处于从「专业小众」走向「主流标配」的关键转折期。对于中国企业和安全产业而言，2026年是一个标志性的拐点——五个变量的叠加正在将暗网威胁从「可被忽视的远虑」变为「必须正视的近忧」。

第一，AI拆除了语言屏障。 大语言模型使全球勒索组织和黑客团伙能够快速理解中文数据的商业价值和合规风险，中国市场从「性价比不高」变为「必须拿下的增量池」。2026年7月，国内勒索和商业黑客攻击受害者数量首次进入全球前列——这很可能不是偶发波动，而是一个长期趋势的开端。

第二，合规监管进入强周期。 新《网络安全法》于2026年1月施行，违法处罚上限从100万元跃升至1,000万元，直接责任人可终身禁业。暗网数据泄露事件的合规后果已发生质变，暗网情报从「可选的附加能力」变为「合规风险管理的必要组件」。

第三，暗网≠Tor。当前「轻暗网」（Telegram等加密社群）与「传统暗网」（Tor网络中的暗网社群及衍生访问）同样承载着大规模数据泄露贩卖、勒索通知发布和入侵工具流通的主体流量。任何只关注传统暗网或轻暗网中的一个方向，而忽视双生态并行的方案，都存在结构性盲区。同时，中文暗网「混乱邪恶」的独特生态——高噪音、构陷机制、「过程即惩罚」——是国际主流DWI框架未曾覆盖的本土特有维度。

第四，IAB和Stealer日志是当前最具预警价值、但在国内认知近乎空白的情报类型。 初始访问权限（IAB）的暗网交易均价在一年内暴涨超40倍，且其出现通常领先实际勒索攻击数周。Stealer窃密日志中的Session Cookie可绕过MFA，是大多数企业防御体系的结构性盲区。对这两类情报的系统性忽视，意味着企业在攻击链的最上游就已经失守。

第五，从「借船出海」到「护航出海」是中国企业全球化必须跨越的能力门槛。 当供应链暗网数据泄露波及中国OT核心资产、当海外分支机构的凭据在暗网流通、当数据跨境合规监管进入深水区——暗网情报不再是可有可无的侦察哨，而是全球化企业安全基础设施的标配组件。

一、背景

长期以来，暗网内中国的数据泄露规模稳居全球前列，但勒索软件受害者数量却始终排在二十名开外，这使得国内企业存在「我们不在靶心」的侥幸心理。2026年，三个变量的叠加正在打破这一格局。

AI拆除了语言屏障。 大语言模型使勒索组织和黑客团伙能够快速理解中文数据的商业价值和合规风险，中国市场从「性价比不高」变为「必须拿下的增量池」。2026年7月，中国勒索和商业黑客攻击受害者数量首次进入全球前列。

合规监管进入强周期。 新《网络安全法》于2026年1月施行，违法罚款上限从100万元跃升至1,000万元，直接责任人可终身禁业。国家安全部于2026年3月首次就暗网发布专题安全提示。暗网数据泄露的合规后果已发生质变。

勒索攻击完成本土化适配。 「三重勒索」模式——加密赎金+数据泄露威胁+利用《数据安全法》《个人信息保护法》的合规举报杠杆——已在中国落地。企业即使有完备备份体系，也无法摆脱数据泄露带来的合规和声誉双重打击。

从全球范围来看，暗网情报正从「专业小众」走向企业安全能力体系的主流组件。几个典型的例证：

传统威胁情报厂商（RecordedFuture、Mandiant等）纷纷增加暗网模块

Google Threat Intelligence将Gemini大模型同时用于明网和暗网监控，统一输出（此处特指在谷歌威胁情报平台内部运行的Gemini 智能体，而非普通的聊天对话式 Gemini）。

暗网数据的商业价值——尤其是IAB和Stealer日志——已被证明是勒索攻击的最早预警信号之一

合规监管对数据泄露「证据链」的需求，将暗网情报从「可选」推升为「必选」

与此相对的，暗网情报这一细分领域在国内的能力发展现状到底如何呢？

数世咨询于2026年4月发布的《暗网情报技术能力框架及参考指标体系》给出了初步判断：我国在该领域较国际水平存在约10年的代差。 差距体现在三个主要维度：数据覆盖上，国内厂商在非中文论坛的覆盖广度和历史深度上与国际领先水平有明显差距；分析能力上，Flashpoint等专业公司、Google Gemini等情报分析AI模型的暗网分析准确率均在90% 以上，而国内仍然依靠个别安全企业的人工经验，少数大模型驱动的语义理解仍属前沿探索阶段；认知上，行业整体将DWI等同于「对几个关键站点的关键词告警」，对暗网情报整体能力建设仍然匮乏，例如对IAB市场、Stealer日志、专家谈判等闭环方法论还存在普遍性空白。

当然，差距的另一面是机遇。国内DWI领域具备三个后发优势： 本土化深度——中文暗网的独特生态是国际厂商难以穿透的天然壁垒；合规驱动——新法实施为DWI创造了由法律责任直接传导的刚性需求；AI赋能——大模型技术为跨越式发展提供了可能，不必重复国际厂商「先积累十年数据、再培养百人团队」的传统路径。

因此笔者认为，可以说2026年中国暗网情报这一细分市场开始迎来拐点。

基于此，数世咨询撰写并发布本白皮书，希望提供一份从概念认知到能力框架、从落地方法论到产业全景的暗网情报指南，旨在为中国企业的安全决策者和安全产业的从业者，在这个拐点之年提供清晰的能力坐标和行动参考。

勘误与进一步交流，请联系主笔分析师：刘宸宇 liuchenyu@dwcon.cn。

二、概念描述

2.1 什么是暗网

2.1.1 互联网的「三层结构」

互联网并非一个扁平的整体。按照可访问性和索引状态，通常将互联网划分为三个层次：

明网（Surface Web / Clear Web）：可通过标准搜索引擎索引和直接访问的公开网络空间，构成普通用户日常使用的互联网。约占互联网信息总量的4-5%。

深网（Deep Web）：无法被通用搜索引擎索引、但可通过标准浏览器直接访问的网络空间。包括企业内部系统、学术数据库、付费内容、医疗档案等合法场景下的非公开资源。深网的规模远超明网。

暗网（Darknet / Dark Web）：需要通过专门软件、配置或授权才能访问的匿名加密网络空间。其核心特征是「隐匿」——既隐匿用户的身份与位置，也隐匿服务器的部署信息。

需要指出的是，「深网」与「暗网」在中文语境中常被混用，但二者有本质区别：深网的核心属性是「不可索引」，暗网的核心属性是「匿名加密」。本报告所讨论的范畴聚焦于暗网及其衍生生态。

2.1.2 暗网的协议与技术谱系

暗网并非单一网络，而是由多种匿名通信协议构成的加密网络集合。目前全球暗网中，常见协议分布大致如下：

Tor凭借其成熟的洋葱路由机制和相对完善的生态，已成为暗网事实上的标准协议。全球绝大多数暗网威胁活动（黑客论坛交易、勒索软件运营、数据泄露贩卖等）均发生在Tor网络之上。

2.1.3暗网的双生态

随着加密通讯工具的普及与地下产业形态的演进，暗网情报的监测范畴已远超传统Tor/I2P网络的边界。数世咨询提出暗网「双生态」概念，将暗网情报的覆盖范围划分为两个并行的威胁生态：

Traditional Dark Web（传统暗网）

基于Tor/I2P等匿名网络协议构建的「原生」暗网站点。典型载体包括：

• 黑客技术论坛（如Exploit、XSS等）

• 勒索软件组织的泄露站（Data Leak Site）

• 数据交易市场

• 匿名图片板（如6chan等chan系社区）

• MaaS（Malware-as-a-Service）生态平台

• RaaS与加盟商（affiliate）相关生态系统

传统暗网是核心攻击组织与数据贩卖的策源地，持续输出威胁能力与交易规则。其特点是强匿名、高隐蔽、相对固定的站点结构，访问门槛较高。

Dark Web Lite（轻暗网）

基于加密通讯软件（Telegram、Discord、Signal等）的封闭社群、私密频道和群组形成的次生地下生态。其访问方式无需传统匿名网络工具，但具备封闭、加密、邀请制、隐蔽交易等特征。

轻暗网与传统暗网互相补充，互有交集，人员结构相互交叉流窜，当前侵公查档、黑灰产协作等交易信息大部分发生在轻暗网中。相对于传统暗网，轻暗网具有以下特征：

• 规模庞大：Telegram单一平台即存在数千个威胁相关频道/群组

• 传播快速：信息可被瞬间转发至数百个关联社群

• 迭代迅速：频道/群组可被快速创建、废弃、迁移

• 门槛更低：参与者无需掌握Tor/I2P等技术工具

「双生态」的核心判断：传统暗网与轻暗网并非相互替代，而是共同构成规模化、产业化、链条化的地下产业体系。有效的暗网情报能力必须同时覆盖两个生态，任何只关注其一的方案都存在结构性盲区。

2.2 什么是暗网情报（Dark Web Intelligence / DWI）

2.2.1 定义

暗网情报（Dark Web Intelligence，简称DWI）是指：从传统暗网及轻暗网的隐藏、加密空间中，通过系统化采集、对抗、分析、研判，将原始数据转化为具备上下文、可支撑业务决策和行动响应的成品情报的完整过程与能力体系。

这一定义包含三个关键要素：

系统化：DWI不是偶发性的「逛暗网搜集信息」，而是具备持续采集、标准流程、质量管控和闭环响应的系统工程。

转化：DWI的核心价值不在于「原始数据量」，而在于将海量碎片化信息转化为经过验证、富上下文、可指导行动的高质量情报。

闭环：DWI的终点不是「发现威胁」，而是将情报转化为风险压降的实际行动——包括确认威胁真伪、完成证据固定、支撑合规上报、指导整改处置。

2.2.2 DWI的层级区分

为避免概念泛化，需对暗网情报进行三个层级的区分：

大量声称具备「暗网情报能力」的产品和服务，本质上仍处于「暗网监测」层——能够发现信号，但缺乏验证、分析和闭环处置能力。真正的DWI能力必须穿透到第三层。

2.3 DWI与相关情报概念的区别

暗网情报并非孤立存在，它与开源情报（OSINT）、漏洞情报（Vulnerability Intelligence）和威胁情报（TI）存在紧密又各有边界的关系。准确理解这些情报领域的定位差异，是正确构建情报能力体系的前提。

注：如无特别说明，本报告中所述“威胁情报（TI）”均指“狭义威胁情报”，即：恶意IP、哈希、样本、流量和终端威胁数据等IOCs（入侵指标）情报。

• OSINT是基础环境：覆盖面最广、门槛最低，DWI、TI和漏洞情报均可从公开来源部分获取素材，但各自拥有OSINT不可达的独有数据空间。DWI尤其如此——暗网中的IAB交易、Stealer日志、勒索组织内部讨论均落在OSINT范畴之外。

• DWI、TI、漏洞情报三者并列交叉：三者的两两交集构成了情报融合的核心价值区。DWI×漏洞情报，覆盖暗网漏洞交易与Exploit流通；DWI×TI，覆盖攻击者虚拟身份追踪与归因线索；TI×漏洞情报，覆盖攻击者正在利用的具体漏洞及TTPs映射。

• 三者的共同交集则代表了最高价值的情报融合场景：某攻击团伙（TI）正在暗网（DWI）出售针对特定漏洞（漏洞情报）的完整Exploit，且目标行业与企业资产清单匹配。

• OSINT包裹但不替代：OSINT虚线外框包裹三者，表示公开来源为所有情报活动提供基础数据环境，但核心的差异化价值产生于OSINT不可达的交叉地带。

下面我们来看DWI与相关情报概念的具体区别。

2.3.1 DWI与开源情报

开源情报（Open Source Intelligence，OSINT）是指从公开可用来源（公开网站、社交媒体、新闻报道、学术论文、公共数据库等）系统性收集和分析信息的情报学科。其核心特征是「公开可获取」——情报来源不涉及非法访问或突破访问控制。

DWI与OSINT的核心差异在于数据源的访问属性：

核心关系：OSINT覆盖面最广，但深度不足。暗网和轻暗网中流通的关键威胁信息——数据售卖/交易/发布、IAB出售的企业访问权限、Stealer日志中的Session Cookie、勒索软件的泄露数据——均无法通过OSINT获取。DWI填补了OSINT在「隐蔽威胁空间」中的情报空白。

2.3.2 DWI与威胁情报

威胁情报（ThreatIntelligence，TI）收集、分析和传播有关攻击者的特征信息，涵盖攻击者身份、动机、能力、技战术（TTPs）及攻击指标（IOCs）等内容。TI回答的核心问题是「谁在攻击、为什么攻击、用什么手法攻击」。

DWI与TI之间存在显著且双向的交集：

DWI是TI的关键上游供给。攻击者在暗网论坛中的活动——如虚拟身份注册与维护、TTPs讨论、攻击工具交易、勒索成果炫耀、招募加盟商——构成了攻击者画像最丰富的数据来源之一。尤其是「暗网人格→现实身份」的映射追踪，高度依赖对暗网虚拟身份的长期监控和跨平台关联分析。但完整的TI还需融合更多一线情报源，例如：

• 内部遥测：EDR/NDR/SIEM产生的内部威胁信号

• 技术情报（TECHINT）：恶意软件逆向分析、漏洞研究

• 人力情报（HUMINT）：行业信息交换、攻击者访谈

2.3.3 DWI与漏洞情报

漏洞情报（Vulnerability Intelligence）是对已知和潜在安全漏洞的系统性收集、分析和预警，涵盖CVE漏洞公告、PoC（概念验证代码）、Exploit（利用代码）、漏洞利用趋势和0day交易动向等。

DWI与漏洞情报的核心差异在于覆盖的漏洞类型和信息层级：

两者的交叉与互补。暗网是漏洞交易——0day漏洞交易和Nday自动化攻击工具——的重要流通渠道。漏洞情报体系如果缺乏DWI输入，将存在一个明显的盲区：无法感知那些尚未进入公开漏洞库、但已在暗网中明码标价的漏洞利用。反过来，DWI中发现的漏洞交易信号，也需要漏洞情报体系提供CVSS/EPSS评分、受影响产品和版本范围等上下文，才能完成从「暗网发现一个漏洞在卖」到「这个漏洞对企业意味着什么」的研判闭环。

2.3.4 DWI与其他易混概念

舆情监控

舆情监控关注公开社交媒体、新闻资讯等渠道的品牌声誉、舆论动向和负面信息传播，主要面向PR、品牌和合规部门。DWI与舆情监控在数据源上有少量交叉（如Telegram公开频道），但本质截然不同：舆情监控发现的是「人们在公开说什么」，DWI发现的是「攻击者在暗处做什么」——数据泄露交易、勒索通告发布、IAB权限挂牌、侵公查档服务。前者关注品牌形象，后者关注实质性安全威胁。将DWI等同于「暗网版的舆情监控」是常见的认知错误。

网络空间测绘

网络空间测绘关注互联网资产的主动发现与拓扑映射——IP、域名、端口、服务、组件版本、证书等——核心回答「我有什么暴露在外面」。测绘是攻击者视角的资产清点，DWI则是攻击者行为的情报感知。两者互补：测绘表明攻击面长什么样，DWI表明攻击面中哪些部分已经在暗网上被挂牌出售或讨论。但测绘不构成DWI成立的前提，一个企业即便没有完整的资产测绘，暗网上出现的以其域名为关键词的泄露数据依然是有效情报。

攻击暴露面管理（EASM）

攻击暴露面管理（External Attack Surface Management）关注互联网暴露资产的持续发现、风险评估与收敛，外延比网络空间测绘更广——涵盖云资产、影子IT、第三方暴露、证书透明日志等。EASM与DWI的关系可以概括为：EASM表明「哪些门开着」，DWI表明「哪些门已经被撬过」。两者是独立但可互补的能力域：EASM不依赖暗网数据即可运作，DWI的闭环处置也不以EASM为前提。实践中，EASM发现的暴露面清单可以为DWI的资产关联匹配提供上下文，但两者的能力建设路径和评估标准应各自独立。

2.4 中文暗网的特殊性

全球暗网生态并非铁板一块。不同语言区、不同文化背景的暗网社区，呈现出截然不同的生态特征和行为逻辑。理解中文暗网的独特性，是构建有效本土DWI能力的关键前提。

2.4.1 混乱邪恶，而非秩序邪恶

借鉴角色扮演游戏中的阵营体系，可将暗网社区的生态特征分为两极：

秩序邪恶（Lawful Evil）

以Exploit、XSS、RAMP/Tier1等俄语/英语高信任度黑客论坛或邀请制平台，以及勒索组织生态为代表。核心特征：

• 存在明确的信誉体系：交易评价、担保人制度、卖家等级

• 有层级化组织：管理员、版主、认证卖家、普通用户

• 行为可预期：遵循社区规则，追求长期商业利益

• 可直接画像：通过交易记录、互动模式、语言风格构建攻击者数字档案

「秩序邪恶」社区更接近有组织犯罪的「企业化」运作——有规则、有信誉、有层级。国际主流DWI厂商（Flashpoint、DarkOwl）的分析方法论很大程度上建立在此类生态之上。

混乱邪恶（Chaotic Evil）

以串子会、6chan、夜上海等中文匿名图片板和大量无规则Telegram黑灰产社群为代表。核心特征：

• 无信誉体系：不在乎评价，每个账户可能只发一条信息

• 碎片化：信息高度离散，缺乏结构化组织形式

• 强情绪驱动：以发泄、构陷、极端言论为主要行为模式，商业逻辑弱

• 高噪音：约90%内容为无价值或虚假信息

中文暗网社区整体偏「混乱邪恶」。显然这种生态具备其独特性，在国际主流DWI框架中缺乏对应分析维度。当然，如前言所说，这也是中国DWI厂商的机会所在。

2.4.2 过程即惩罚

中文暗网「混乱邪恶」生态中，一种独特的危害机制值得特别关注，单独阐述——「过程即惩罚」。

其运作模式如下：攻击者（或构陷者）在匿名平台发布极端言论、虚假威胁，或以他人名义宣称实施危害行为。即使被构陷者最终自证清白，调查过程中已承受实质性代价：被监管部门约谈、电子设备被检查取证、所在单位知情、社会关系受损。

这一机制的核心危害不在于「最终定罪」，而在于 「从被举报到自证清白」这一过程本身就是惩罚。它是一种低成本、高伤害、利用监管反应机制实施的匿名攻击手段。

此类威胁超出了传统网络安全的分析框架——它不涉及漏洞利用、恶意代码或数据加密，却可能对个人和企业造成严重的人身安全、声誉影响。识别和应对这一类威胁，需要DWI能力具备对中文匿名社区亚文化、语言习惯和攻击模式的深度理解。

2.4.3 建立有限路径，而非全部根除

面对中文暗网「混乱邪恶」生态，情报工作的目标不应该是「根除」（技术上不可能，操作上不现实），而应该建立有限路径：

• 持续高频采集：对关键匿名社区的7×24不间断监测

• 高保真持久化存档：原始内容的完整镜像保存，确保可追溯

• 实体提取与关联：从碎片化信息中提取发布者标识、关联账号、时间序列等可分析要素

• AI辅助分级分类：利用大模型对海量噪音进行自动化筛选，识别高价值信号

中文暗网情报工作的核心，不在于追求「全部处置」或「彻底清除」，而在于在高噪音环境中建立可依赖的识别、存档、关联与分类能力——让有限的研判资源聚焦于真正的威胁信号。

三、能力框架与要点

暗网情报（DWI）作为一项系统工程，需要一套从采集到闭环、从技术到方法论的全链路能力体系。

3.1 能力框架全景图

暗网情报能力框架的设计遵循三项核心原则：系统性——覆盖「采集—对抗—分析—存档—治理—响应」的完整闭环；实战性——聚焦数据泄露、IAB交易、勒索软件、RaaS、侵公威胁等本土高发风险；独立性——明确暗网情报专属技术边界，区别于通用威胁情报分析框架。

基于上述原则，框架由四个层次构成：

第一层：威胁生态覆盖层。 能力构建的起点是明确「覆盖什么」。暗网情报需要同时覆盖两大威胁生态——Traditional Dark Web（Tor/I2P上的黑客论坛、勒索站点、数据交易市场）与Dark Web Lite（Telegram等加密社群）。双生态并非相互替代关系，而是共同构成产业化、链条化的地下威胁体系。本报告第二章已对双生态进行了概念层面的阐述，此处不重复展开。

第二层：全链路能力域。 框架文档将暗网情报能力划分为七大核心能力域：传统暗网采集与反爬对抗、轻暗网采集、智能分析、高保真持久化存档、中文暗网生态威胁识别、海量泄露数据知识库、事件处置与响应闭环。

第三层：能力分级标准。 框架文档为每项能力域设定了基础级→良好级→优秀级的三级递进标准，为能力评估和建设提供可量化的参考基准。

第四层：闭环执行层。 能力框架的最终落脚点是「落地」。闭环执行层定义了从发现到处置的完整工作流：六环节（全域监测→智能分析→风险等级研判→合规调查与替代操作→危机应对与对公指导→整改建议与持续防护）× 三原则（主动、合规、安全）× 四场景（数据泄露、勒索软件、IAB/Stealer/供应链、侵公/查档/开盒）。

3.2 能力框架核心要素

以上四层框架的完整定义和技术指标，框架文档已有详尽阐述。本节仅就其中与「落地」密切相关的几个核心要素做概要回顾。

3.2.1 双生态覆盖的落地挑战

双生态覆盖在落地层面各有不同的技术难题。传统暗网采集的核心挑战在于反爬对抗——核心论坛（Exploit、XSS等Tier1站点）部署的多层验证和封禁机制要求采集方具备跨协议爬虫引擎、浏览器指纹伪装和分布式节点轮换等对抗能力。采集能力的核心衡量指标是New Post每日采集量，反映的不是「采集了多少历史数据」，而是「对当下正在发生的讨论和交易的感知能力」。轻暗网采集（以Telegram为核心）则面临规模、速度、隐蔽、格式四重挑战：数千个频道/群组的优先级筛选、毫秒级转发扩散的时效压力、私密群组的审核门槛、文本/图片/文件/语音的多模态处理需求。

3.2.2 七大能力域及其落地定位

3.2.3 能力分级的设计意图

框架文档提出的三级分级标准（基础级→良好级→优秀级），其设计意图不在于罗列技术指标，而是为行业提供两重价值：对于采购方，可以基于自身风险状况和预算合理设定能力建设目标，不必追求「一步到位」；对于服务提供方，拥有清晰的进阶路线图，每一级的跃升对应明确的能力增量——以传统暗网采集为例，从Tier3到Tier2再到Tier1的覆盖升级，背后是反爬对抗、虚拟身份维护、分布式节点调度等能力的逐级跃升，而非简单的「多爬几个站」。完整的分级指标和评估细则请参阅框架文档。

参考来源：七大能力域的完整定义、技术架构、各层级能力指标和评估细则，详见《暗网情报技术能力框架及参考指标体系》（数世咨询，2026年4月发布）。

3.3 闭环落地方法论

闭环是暗网情报能力框架的最终指向，也是当前行业认知偏差最严重的环节。

3.3.1 两个常见认知偏差

偏差一：将「采集广度」等同于「全部能力」。 部分厂商以「覆盖了多少个暗网站点」「采集了多少TB数据」作为能力衡量的核心指标。但采集量不等于情报质量，数据体量不等于行动价值。真正决定DWI能力水平的，是「从海量数据中提取高价值信号并转化为行动」的完整链条——采集只是起点，而非终点。

偏差二：将「闭环」等同于「系统对接」。 一种普遍的误解是：暗网情报的闭环就是「把暗网监测平台与客户内部资产管理系统、漏洞扫描器、SIEM打通」。实际上，暗网情报的领域独立性决定了：资产测绘、漏洞扫描、网络空间测绘等能力不构成闭环成立的前提条件。闭环的本质，是帮助客户在零风险前提下完成「威胁确认→研判→证据固定→合规上报→整改」全过程，并以完整证据链与监管可上报为交付标准。

3.3.2 闭环的六环节与三原则

一个完整的暗网情报处置闭环由六个环节串联而成：

全域监测，覆盖传统暗网与轻暗网，持续发现与客户资产关联的威胁信号。

智能分析，对监测信号进行实体提取、情报分级和真伪初判。

风险等级研判，这是闭环的真正起点，对信号进行深度验证：真还是假？新还是旧？来源是哪？据此确定风险等级和处置优先级。

合规泄露源调查与替代操作，在合法合规框架内完成对暗网情报源的进一步调查；如果涉及需要主动接触暗网主体（如确认数据真实性需联系交易方），由专业团队替代客户完成所有高危操作，客户全程零接触。

危机应对与全流程对公指导，在勒索、数据泄露等高紧迫场景中，提供从谈判策略到监管上报的全流程指导。

整改建议与持续防护，基于事件根因提出整改建议，并将该事件涉及的威胁实体纳入持续监控范围。

贯穿这六个环节的是闭环的三项核心原则：

主动原则，不是「发现信号→甩给客户自行处置」，而是情报方主动承担研判和处置的专业工作；

合规原则，所有操作必须在法律框架内进行，不要求客户注册暗网账号、不引导客户访问高危环境、不代理客户进行缴费或交易；

安全原则，客户全程「零接触、零风险、零暴露」，所有涉及高危环境的操作由专业团队在隔离环境中替代完成。

3.3.3 四类场景的差异化处置

不同威胁类型需要不同的闭环策略，不可一概而论：

3.4 被业内忽视的关键要点

暗网情报领域存在若干在国内安全行业中长期被忽视、但在国际实践中已被证实具有核心价值的议题。本节聚焦四个最值得关注的方向。

3.4.1 Stealer

传统安全行业习惯将Stealer（窃密木马）归类为「终端恶意软件」的一种，属于木马大类，与病毒、蠕虫并列。但在暗网情报的视角下，这一归类掩盖了Stealer的真正本质。Stealer并非只是传统意义上的终端恶意软件，而是暗网凭据经济的标准化商品生产基础设施。 其产物——「窃密日志」（Stealer Logs）——包含浏览器保存的密码、Cookie、会话令牌、密码管理器数据、加密钱包信息等，是后续账号接管（ATO）、初始访问代理（IAB）、勒索攻击的关键上游入口。

Stealer已形成MaaS（恶意软件即服务）的专业产业化生态：开发者以订阅为主、买断为辅的方式出售 Stealer 工具（主流版本月费上百美元，低门槛版本低至数十美元），运营者通过恶意广告、SEO投毒、破解软件分发等方式部署，产出的窃密日志在暗网市场和Telegram频道中批量交易，购买者从中提取企业VPN凭据、SSO会话令牌等并转售给IAB或下游勒索组织。这一生态的关键拐点在于MaaS化——它将Stealer的攻击门槛从「需要改造恶意代码」降低到「需要一张信用卡」。

企业传统防御体系对窃密日志在暗网中的持续流通存在结构性盲区，主要体现在三个层面：第一，Session Cookie可绕过MFA——Session Cookie 是用户完成全流程认证后的已生效会话凭证，攻击者将其导入反检测浏览器，伪造浏览器指纹并搭配对应地区代理 IP，直接访问企业 SaaS 应用即可跳过登录环节、不触发任何 MFA 提示，传统检测系统会将此类访问识别为正常用户行为。第二，直接感染对象往往是员工个人设备——Stealer通常通过员工个人设备（家用电脑、个人手机）感染，企业安全团队对这类感染往往无感知。第三，常规密码轮换策略无法覆盖——即使企业实施了严格的密码轮换策略，窃密日志中的Session Cookie在有效期内仍可被直接利用。将Stealer日志纳入暗网情报的持续监控范围——从TB级原始日志中提取与企业资产关联的凭据信号——是弥合这一盲区的关键步骤。

3.4.2 IAB

IAB（Initial Access Broker，初始访问经纪人）是暗网犯罪供应链中专门出售企业网络访问权限的中间商。他们通过Stealer日志购买、漏洞利用、钓鱼攻击、弱口令爆破等手段获取企业网络的初始入口，然后在暗网论坛上将这些访问权限打包出售给勒索软件加盟商（Affiliate）或其他攻击者。IAB之所以被称为「最具预警价值的信号」，原因在于其时间差——IAB列表的出现通常领先实际勒索软件攻击数周，如果企业能在暗网IAB交易帖中发现自己的访问权限被挂牌出售，就获得了宝贵的响应窗口。

然而，IAB在国内信息安全行业中的关注度极低。多数安全团队对勒索软件的认知停留在「备份」「隔离」「MFA」「EDR」等通用最佳实践层面，但这些措施对于阻止一个手握合法访问凭据的已登录用户几乎没有意义。了解IAB生态的运作逻辑、建立对IAB交易帖的持续监控，是弥合这一认知空白的起点。

3.4.3谈判、证据固定与对公指导

国内安全行业对「事件处置」的认知模式，很大程度上来自病毒/恶意软件时代的经验积累——杀毒、隔离、清除、恢复。但暗网情报处置的逻辑与此完全不同。处置对象不再是恶意代码，而是已发生的入侵事实和已外泄的数据；核心动作不是清除和恢复，而是谈判、研判、证据固定和上报；时间窗口也不再是「发现后立即执行」，而是需要策略性判断——有时「等待评估和研判结果」比「立即实施处置行动」更有利于控制损失。

以勒索软件为例，2025-2026年的勒索攻击已从「双重勒索」（加密赎金+泄露威胁）升级为「三重勒索」：第一层是加密赎金；第二层是数据泄露威胁（拒绝支付则公开发布）；第三层是利用《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》等法规，以「向监管部门举报数据泄露」为杠杆，对企业施加额外的合规和声誉打击。这第三层压力是中国特有的合规环境赋予勒索组织的额外杠杆，而国内多数应急响应预案尚未覆盖这一维度。

真正有价值的暗网情报处置闭环，应该能够系统性地回答一系列实战问题：被勒索的数据是否真实？是否涉及个人信息和监管上报义务？人力情报实施策略和时机如何选择？如何在不访问暗网、不直接接触攻击者的情况下完成证据固定？向监管机构上报的材料和流程是怎样的？能够回答这些问题——并在操作层面支撑客户完成全流程——才是DWI闭环能力的真正体现。

3.4.4 从威胁信号到有效行动

暗网情报领域存在一个看似矛盾的现象：企业并非缺乏威胁信号，而是面对大量信号时无法有效转化为行动。这种「行动鸿沟」——信息已到达但行动未发生——可能比「数据缺失」更致命。

鸿沟的根源在于攻击方与防御方之间严重的节奏错配。攻击方一侧，Stealer感染→日志提取→暗网市场上架，全流程可在24-48小时内完成工业化流转；防御方一侧，收到情报→内部验证→确认有效性→讨论方案→启动行动，决策周期以天甚至周计。这一节奏错配的根源不是技术问题，而是四类系统的认知偏差：将威胁情报等同于漏洞验证，要求「证明凭据还能登录」才认可情报价值，将情报降维为渗透测试；过度追求确定性，排斥概率性判断，在等待「100%确认」的过程中错失响应窗口；价值标准错位，用「即时可利用性」替代「早期风险暴露」作为评价标准，忽视情报的预警价值；对Session Cookie等强信号认知不足，注意力仍集中在「密码是否正确」，忽视有效会话令牌可绕过MFA这一事实。弥合行动鸿沟需要三个层面的同步调整——认知层面从「验证有效才行动」转向「基于风险信号快速响应」，能力层面补齐对窃密日志的持续可见性与企业资产关联匹配能力，服务层面明确情报方与客户方的责任边界：情报方负责发现、关联、优先级排序，客户方负责基于信号启动内部处置。

四、代表企业

全球暗网情报领域已形成差异化竞争的格局。本章选取四家具有代表性的企业进行介绍——美国两家（Flashpoint、DarkOwl）、韩国一家（S2W）、中国一家（零零信安）——分别覆盖全域情报平台、暗网数据引擎、AI多域交叉分析和本土化深度洞察四种典型模式。选型依据是技术路线的代表性和区域覆盖的完整性，不构成任何形式的排名或推荐。

4.1 Flashpoint：全域风险情报的黄金标准

Flashpoint成立于2010年，总部位于纽约，2021年被Audax Private Equity收购多数股权，目前以私募股权旗下公司形式运营。总融资超8000万美元，当前（2026年）估值约5.25亿美元，约350-414名员工，年度ARR（经常性订阅收入）约9500万美元。在全球暗网情报领域，Flashpoint被公认为行业黄金标准。

核心模式：技术与人力情报的混合体。 Flashpoint的核心方法论不是单纯的数据采集，而是「技术自动化+人类分析师」的双引擎驱动。其数据引擎覆盖3.6PB以上的暗网、欺诈和漏洞数据，同时配备覆盖超40种语言的100多名专业情报分析师，7×24小时驻守暗网论坛和市场。这些分析师的核心价值在于：识别黑话、确认身份、追踪资金流向，以及最关键的能力——将技术层面的威胁发现（「某论坛在倒卖你公司的数据库」）翻译成业务主管理解的风险语言（「这可能导致品牌声誉受损、客户流失和监管罚款」），并提供可执行的处置建议。

产品矩阵。 旗舰平台Ignite定位为一体化的全域风险情报平台，横跨网络威胁情报（CTI）、漏洞情报、欺诈情报、物理安全情报、品牌保护和国家安全六大领域。通过2022年收购Risk Based Security（获得漏洞数据库VulnDB）和Echosec Systems（获得OSINT与地理空间情报能力），Flashpoint完成了从纯暗网情报向「全域风险情报」的战略跃迁。

市场地位。 服务于800多家企业和政府机构客户，覆盖金融服务、科技、能源、医疗和国防等关键行业。多家行业分析机构将其评为领域领导者。核心竞争壁垒在于多域融合的广度——能将网络威胁、物理安全、欺诈和地缘政治等不同维度的情报交叉关联，产出单一领域情报无法提供的洞察。

在能力框架中的参照意义。 Flashpoint代表的是DWI的「天花板」——全域覆盖、分析师驱动、成品情报交付。其能力的核心不在于数据体量，而在于「翻译」能力：将海量暗网原始数据经严格研判转化为支撑业务决策和物理行动的成品情报。

4.2 DarkOwl：暗网原始数据引擎

DarkOwl成立于2009年，总部位于科罗拉多州丹佛，是独立运营的精干型企业（员工约31人，分布在四大洲）。总融资超过1600万美元，当前（2026年）估值约3300万美元，年度ARR 370万美元。与Flashpoint的「情报平台」定位形成鲜明对照，DarkOwl走的是「数据引擎」路线。

核心模式：纯数据驱动。DarkOwl不配备分析师团队，不输出成品情报。其核心产品Vision本质上是一个暗网搜索引擎——索引了超过10亿份文档，提供8年以上的历史暗网归档数据，支持布尔/正则查询和47种语言的全文检索。用户（通常是威胁猎人、数字取证专家和执法调查人员）通过Vision自行检索和研判暗网数据。另有DarkMart数据库追踪81个暗网市场的38.7万个商品列表，Vision API供SOC和安全工具直接集成暗网数据。

与Flashpoint的互补关系。 Flashpoint提供的是「经专家加工后的精炼情报」，DarkOwl提供的则是「最大体量的原始暗网底层数据」。两者的关系并非竞争而是互补——在典型的安全能力堆栈中，Flashpoint适合战略决策和态势感知场景，DarkOwl适合深度取证、事件响应和威胁狩猎等需要原始数据支撑的实战场景。

在能力框架中的参照意义。DarkOwl代表的是DWI的「基础设施层」——不输出判断、只提供数据。这种模式的价值在于：在暗网信息高度易失的环境下，持续稳定地提供可检索的历史数据本身就是一种稀缺能力。对于具备自建分析能力的大型安全团队，这种「原始数据许可」模式比「黑箱式情报订阅」更具灵活性。

4.3 S2W：亚洲唯一的上市暗网情报公司

S2W（原名S2W Lab）成立于2018年，总部位于韩国京畿道城南市，2025年9月在韩国KOSDAQ创业板上市（股票代码：488280），是亚洲唯一以暗网情报为核心业务的上市公司。IPO发行价13,200韩元，公开认购竞争率高达1,972:1，上市首日股价暴涨约80%，最高市值1.76亿美元，当前市值6000~8000万美元，员工约100人，年收入708万美元。

核心模式：AI驱动的多域交叉分析。 S2W的技术路线以知识图谱为核心，将暗网、Telegram加密社群、社交媒体和虚拟资产交易所四个数据域进行跨域关联分析。这种技术路线在理念上接近Palantir的Ontology方法论——将不同维度的实体（暗网账户、Telegram ID、区块链地址、社交媒体账号）编织成可追溯的关系网络。S2W还开发了专门针对暗网内容训练的AI模型DARK-BERT，用于暗网文本的语义理解和实体识别。

产品与营收。 旗舰产品XARVIS面向政府、执法、国防和情报机构，是AI驱动的网络犯罪情报平台，在2020年韩国「N号房」事件中发挥了关键技术支持作用。企业级产品QUAXAR集数字风险保护（DRP）、威胁情报（TI）和攻击面管理（ASM）于一体，定位为「现金牛」业务。2025年营收约100.9亿韩元，海外营收占比从2022年的0.2%快速攀升至约21%，日本分公司已于2025年成立。

在能力框架中的参照意义。 S2W代表的是DWI的「跨界融合」方向——不仅覆盖暗网和轻暗网，还将区块链资金流纳入关联分析。这种多域交叉能力在追踪勒索软件赎金流向、虚拟资产洗钱和国家级攻击组织等方面具有独特优势。从企业发展的角度，S2W的上市也标志着暗网情报作为一个独立赛道获得了公开资本市场的认可。

4.4 零零信安：中国暗网情报的实战派

零零信安成立于2020年，总部位于北京，2021年获奇安基金千万级人民币天使轮独家投资。作为中国暗网情报领域的先行者，零零信安的定位是「本土化深度洞察 + 闭环落地」的实战派。

核心模式：本土化+AI双轮驱动。 零零信安的核心技术能力体现在三个层面。采集层，「视界」跨协议蜘蛛爬虫引擎是国内首个能同时爬取高防黑客社群（XSS/Exploit等）、勒索组织站点、黑客论坛和暗网交易市场、Telegram频道/群组、互联网暴露面、APP/小程序和GitHub等的跨协议爬虫系统。分析层，「风筝」（KITE）系统是专门处理暗网非结构化数据的AI知识分析引擎，结合神经网络驱动的自动化标签系统和专业人工审核。数据层，截至报告期已积累暗网情报325万条以上、Telegram消息13亿条以上、泄露数据216亿条以上。

行业贡献。 零零信安是《暗网情报技术能力框架及参考指标体系》的主要起草单位，在闭环方法论、暗网监测实战、暗网威胁行为者画像和归因、Stealer与IAB的专题研究、中文暗网亚文化分析等领域输出了系统性内容。其坚持的「客户零接触、零风险、零暴露」闭环原则——由专家团队替代客户完成所有高危操作——为行业提供了一套可参照的专业伦理标准。

差异化优势。 在国际竞争维度下，零零信安的核心壁垒在于对中文暗网生态的深度洞察——国际厂商难以穿透的中文暗网特有语境、术语、俚语和行为模式，是零零信安的天然护城河。在国内竞争维度下，其先发优势体现在数据的持续积累、闭环方法论的系统性和行业标准的话语权三个方面。

市场表现。 已服务上百家头部单位，覆盖政府、监管机构、金融、运营商、能源、制造、科技、互联网等行业。入选Gartner《Hype Cycle for Security in China》代表厂商（2022年）、IDC Innovator《中国攻击面管理技术》代表厂商（2023年），并获数世咨询《新质·数字安全专精百强（2026）》「暗网情报」新赛道收录。

五、未来展望

暗网情报产业的未来走向，取决于监管环境、技术演进和全球化进程三个变量的交汇。

5.1 法律法规的健全与合规驱动

新《网络安全法》于2026年1月施行。 处罚力度的数量级大幅跃升（一般违法5-50万，特别严重后果最高1,000万），个人责任终身追溯（刑事处罚者终身禁业），其与《数据安全法》《个人信息保护法》的协同联动，共同推高了违法成本。在这一环境下，暗网情报从「可选的能力建设」变为「合规风险管理的必要组件」——企业是否能够证明已尽到合理的安全监测义务，将直接影响处罚认定。国家安全部2026年3月首次就暗网发布专题安全提示（「不访问、不自曝、不交易、不轻信」），标志着暗网威胁已从行业议题上升为国家安全关注维度。数据跨境合规执法同步进入深水区，出海企业面临的「一带一路」沿线国家法规高度分化，进一步增加了合规的不确定性。国内监管收紧是DWI需求增长最确定的驱动力，出海安全的最终爆发不靠企业自觉，而靠合规压力。

5.2 AI双刃剑，攻击武器化与防御智能化

AI对DWI的影响是双向深化且同步加速的。

先看攻击侧。首先，大模型拆除了语言壁垒。过去暗网上中文、日文等非英语数据因天然的语言门槛提升了交易成本，AI彻底改变了这一格局，攻击面在全球范围内被抹平。其次，暗网专用AI走向工业化。Nytheon AI等800亿参数混合大模型通过Tor托管和Telegram订阅制销售，月费低至30-200美元，已形成至少3家供应商、超1,000名付费用户的规模。第三，越狱版ChatGPT、Claude、Gemini等商业大模型在功能上远超专用恶意AI——每一次基础模型的能力跃升，都以近乎零成本惠及攻击侧。

再看防御侧。 2026年RSAC大会上，Google展示的基于Gemini的暗网威胁情报系统日处理近千万条帖子，准确率98%（传统关键词工具仅10-20%）。这标志着从「关键词匹配」到「语义理解」的范式转换——大模型能够识别暗网上的隐晦黑话和代码词，实现从发现信号到触发自动化响应（如检测到Session Cookie泄露→自动轮换令牌）的分钟级闭环。

核心判断：「AI辅助+人工研判」是长期配置。 攻击者用AI降低攻击成本，防御方必须用AI获得对等能力——不具备AI分析能力的DWI方案在未来2-3年内将失去实用价值。但暗网环境的复杂性决定了AI输出仍需人类研判作为最终决策关口。

5.3 从「借船出海」到「护航出海」

过去十年中国企业出海以重工业和制造业为主，IT安全投入有限，且形式多以打包出售为主，这一模式数世咨询称之为「借船出海」。近年来，这一趋势正在发生改变：出海主体开始变为比亚迪、工商银行等全球头部企业，海外资产攻击面远超以往，更何况，暗网中的供应链攻击黑灰产并不区分「发展中市场」和「发达市场」，同时，国内新《网络安全法》对数据出境的合规要求同样适用于海外分支机构。

对此，暗网情报将承担起「护航出海」的重要角色。

首先，供应链暗网风险监控——2026年印度塔塔电子遭攻击事件中，中国企业生产的OT核心资产作为供应链一环被连带曝光，此类威胁只有通过暗网情报的持续监控才能及时发现。其二，海外凭据泄露预警——海外分支员工的VPN凭据和Session Cookie在暗网流通，可能在攻击者部署勒索软件数周前被情报捕捉。第三，出海合规的证据支撑——证明「未在暗网发现企业数据泄露」本身即是合规举证，而及早发现和处置的证明是减轻处罚的关键依据。

「护航出海」是一条长期曲线，但方向确定。DWI将从「可选的小众能力」成为安全基础设施的标配组件。

Reference

中华人民共和国网络安全法

https://www.cac.gov.cn/2025-12/29/c_1768735112911946.htm

数世咨询发布《暗网情报技术能力框架及参考指标体系》

https://www.dwcon.cn/post/4792

Google unleashes Gemini AI agents on the dark web

https://www.theregister.com/special-features/2026/03/23/google-unleashes-gemini-ai-agents-on-the-dark-web/5228490

Stealer：被低估的暗网威胁源——从窃密日志到暗网情报闭环

https://blog.51cto.com/u_15551024/14802896

混乱邪恶：从“6铲”观察中文暗网亚文化

https://0.zone/article/20260727

Flashpoint

https://flashpoint.io

DarkOwl

https://www.darkowl.com/

S2W

https://s2w.inc/en/

零零信安

https://00sec.com/

Dark Web Data Pricing 2026

https://www.stingrai.io/blog/dark-web-data-pricing-2026

《暗网情报（DWI）能力白皮书》获取方式如下：

1、关注“数世咨询”公众号

2、后台回复“DWI”获取下载链接

本文为原创内容，版权归#数世咨询#所有。欢迎文末分享、点赞、在看三连！转载请联系后台。

跳转微信打开

黑名单在AI登场之前就已经在溃败

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

黑名单在AI登场之前就已经在溃败。钓鱼域名的生命周期越来越短，攻击活动烧基础设施的速度越来越快，黑名单和攻击者之间的差距越拉越大。AI只不过把这件事做绝了。

攻击者正在用AI在几分钟内从截图生成钓鱼页面，以任何黑名单都跟不上的速度搭起又拆掉基础设施，并以一种让"指标匹配"基本失去意义的节奏迭代工具。

如今89%的钓鱼域名活跃时间不超过2天，只有6.5%能撑过15天。等一个域名被加进黑名单时，攻击活动早就换了一套基础设施。

如果你对网页投递类攻击的主要防线——中介人代理（AiTM）钓鱼、设备码钓鱼、ClickFix、文件下载、恶意广告等等——仍然是去匹配"已知恶意"指标，那你永远落后两步。

设计即"用完即弃"

问题不只是钓鱼基础设施轮换得快。当代攻击从一开始就是按"一次性"来设计的。攻击者不是在被抓住后才换阵地，而是主动拆掉页面、搭起新页面以甩开检测——把每一块基础设施默认都当成只用一次。

攻击者还会让"在世"时更难被分析：他们把可信托管平台（Cloudflare Workers、Railway、Vercel、Microsoft Dynamics、SharePoint、Adobe、Google Firebase、Google Sites、Jotform、Linode、Azure、Cloudflare、Atlassian 等被大量滥用）结合起来，再叠上机器人保护、访客筛查、复杂跳转链，把研究者和自动化扫描器统统过滤掉。

Push Security检测到的95%的浏览器内攻击都使用了某种形式的机器人保护，常常还套着Referrer检查和浏览器指纹。爬虫看到的页面和真实受害者看到的页面，往往根本不是同一个页面。等你终于访问到一个曾经是恶意页面的时候（不管是被攻击者新搭的，还是被攻陷的现有站点），上面的恶意载荷可能早已经不再活跃。

AI也把"造页面"本身的成本压扁了。攻击者原本就很会克隆页面，但他们现在能从一张合法登录页的截图，vibe-code出一整个钓鱼站点——一个看着挺像、但代码完全独特的钓鱼前端，跟它仿冒的真实页面毫无相似之处，静态分析也无从提取指纹。

钓鱼投递环节也在越来越多地滥用合法服务——AI聊天机器人的分享功能、搜索广告位、应用内消息、应用生成的邮件——借上平台本身的域名信誉，黑名单绝不会去标记这些。

最终的结果就是：在黑名单里加指标，活像在玩那种一开始就被人动了手脚的"打地鼠"。

工具这一层也在塌

多年来，David Bianco"痛苦金字塔"的中间层提供了一个更耐用的检测面：不堵单个域名，而是给钓鱼工具盒（phishing kit）打指纹——它们各自的JavaScript结构、HTML模式、代码签名——然后写一套能跨几十甚至上百个攻击活动复用、跨基础设施轮换依然有效的检测。

这一层正在垮掉。当下钓鱼工具盒生态正以快得没人能跟上的速度分叉：用AI辅助开发、按开源模式共享代码。

设备码钓鱼（Device code phishing）就是最典型的例子。从2024年最早在俄罗斯相关攻击活动里被采用，到2026年才真正铺开——但铺开之后，野外的犯罪工具盒从0个一下子变成25个以上（而且还在增加）。

EvilTokens（前5周攻陷340多家组织）、Kali365（FBI为此专门发过通告）、ARToken、DEBULL、Forg365等犯罪PhaaS工具盒都支持这一能力。老牌AiTM厂商Tycoon 2FA也在原有凭据收集能力之外新增了设备码钓鱼；我们最近观察到，工具盒会根据环境和目标行为动态切换载荷——比如先尝试设备码钓鱼，超时再回退到AiTM。

这些工具盒通常由攻击者自营的管理后台控制，可完全控制载荷和投递时机，往往还要配合语音社工，并且只在管理员操作时才"激活"那个恶意页面。

这进一步降低了这些页面被提前发现和拦截的可能——它们往往只在针对性攻击里出现一两次就被换掉。

在Push Security最近的在线讲座里（现可点播），研发副总Luke Jennings演示了vibe-code出自己的PhaaS工具盒有多容易。

真正活下来的：技术手法

真正全新的攻击技术，依然需要人来发现——攻击者必须找到合法协议或功能里可以被反向利用的缝隙，并把它变成可复用的操作。这种创新还没有被自动化。围绕这些技术原理本身去设计的检测，能够经受基础设施轮换、工具扩散和工具盒碎片化的多重考验。

就以AiTM钓鱼为例：Tycoon、Sneaky 2FA、Evilginx这些AiTM工具盒，以及无数的fork和变种（我们在野外追踪到了75+款），实现的都是同一种中间人拦截手法——把受害者的会话代理到攻击者控制的基础设施上，实时中继凭据和MFA令牌，捕获已经过认证的会话。

前端可以千变万化，基础设施一直在轮换，但"拦截"这一行为机制本身始终不变。

ClickFix也是同样的故事。不管诱饵是假验证码（同比上涨563%，来源CrowdStrike）、假浏览器更新还是假错误对话框，底层技术都一样：把恶意命令塞进用户剪贴板，再引导用户粘贴并执行。社工的外壳在变，行为特征不变。

设备码钓鱼同样如此。你和合法的设备码登录页面交互，最终完成一次设备码授权。无论攻击者用哪个工具盒、页面宿主在哪儿，最终的目的页面和用户行为路径是一致的。

在"技术手法"层级做检测，瞄准的是攻击者最难改的那部分——攻击本身的工作机制。但它依赖两件大多数检测项目都不具备的东西。

第一，你需要在攻击真正发生的地方具有可见性。AiTM拦截、ClickFix剪贴板操作、OAuth同意滥用、设备码钓鱼——这些技术发生的位置都在浏览器会话里，网络代理看到的都是加密流量，EDR根本就看不到。如果你的检测栈无法在用户与页面交互的那一刻看到页面，那"技术手法级"的检测就无从谈起。

第二，你需要足够快的研究节奏。从"新技术被发现"到"被工业化进入犯罪工具盒"的时间窗口正在被压缩——设备码钓鱼从国家级攻击者新尝试到批量犯罪PhaaS标配用了大约一年，ClickFix也走过了类似的轨迹。

那些能在技术被商品化之前就提取行为特征并部署检测的防御者，会获得一种随时间复利的结构性优势。等别人只能盯指标——哪怕是工具层指标——时，你已经在追一条加速远离你的曲线了。

一次证据：零IOC重叠的检测

今年早些时候，微软发布研究披露了一种新技术——把OAuth的错误处理跳转武器化用作钓鱼投递：利用完全合规的重定向行为，把用户从可信身份提供商的域名引向攻击者控制的页面。从URL过滤视角看，那个起始链接挂着 login.microsoftonline.com 的域名信誉。

Push的代理式威胁狩猎管线——作为人类研究员倍增器的AI代理，在300多万部署的浏览器遥测上持续狩猎——消化了这项研究，但提取的不是发布的那些IOC，而是行为机制本身。代理们围绕OAuth重定向这一行为特征，专门搭了一套检测。

在这套检测建成数月之后，它在一次完全不同的攻击活动里命中了。Push的一个客户有员工被定向攻击——但诱饵、域名、基础设施和背后的钓鱼工具盒全部不同，载荷也变成了下载恶意软件。

底层技术完全相同。原始IOC在整个攻击链中一次也没出现。

基于黑名单的方案会完全错过这次事件（这些域名当时没被标记为恶意），基于工具签名的方案也会错过——那个钓鱼工具盒和任何已知样本都不匹配。唯一活下来的检测，恰恰就是对"行为技术"本身的检测。

OAuth重定向这个案例并非孤例。同一套管线还发现并检测了另外三种全新的浏览器攻击技术——InstallFix（把恶意软件投递伪装成软件安装提示）、ConsentFix（ClickFix风格用户操纵结合OAuth同意钓鱼）、LLMShare（通过AI聊天机器人分享功能投递恶意软件）。

其中有几次，检测系统在攻击技术被公开记录之前就已经在拦截活跃的攻击。

到目前为止，Push的代理式管线在过去三个月里保护了60+家客户免受新型钓鱼技术侵害——在攻击者来得及拿下账号或骗用户去执行恶意载荷之前，就拦截了大约225起威胁事件。

对安全团队意味着什么

整个行业花了数十年让黑名单越来越大。AI让这条路从"慢"变成了"结构上就无法跟上"。

真正能留下来的，是金字塔最顶端那一层：基于"技术手法"的行为检测，围绕攻击的工作原理而非攻击所依赖的基础设施或工具来构建。在这一层防御，前提是你能看见浏览器会话级别的活动，并且拥有一条足够快的研究管线，能跑赢"技术发现→犯罪采纳"这条越来越短的曲线。

在Push Security，我们用AI代理作为人类研究员的倍增器搭出了这条管线——在浏览器遥测上持续狩猎，发运能经受住指标轮换考验的"技术手法"级检测——我们的月检测产出已经翻了三倍，不是靠把黑名单做大，而是靠在金字塔顶层以机器速度把行为检测真正运营起来。

跳转微信打开

数十年来，企业安全的核心一直是"端点+网络"，但SaaS化、云化、再到当下的AI协作浪潮，

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

以下是正文：

几十年来，企业安全的重心基本都落在端点和网络上。保护好公司发放的终端设备、建立起安全的连接通道、再卡住对内部资源的访问入口，团队就能牢牢把守服务器，挡住外部入侵。

后来，企业开始全面拥抱SaaS和云服务，这些重点也跟着演进——加上了云安全、数据保护和基于身份的控制。

再往后，员工开始在任何地点、任何设备上办公，网络边界进一步被拉伸。而如果这还不够，人工智能（AI）的热潮又把整个威胁版图搅得更加复杂。

当用户既可以在办公室、也可以远程或混合办公，既可能用公司电脑、也可能用个人笔记本访问数据——然后转头就把这些数据塞进第三方AI模型里——光靠端点和网络的手段，已经远远不够了。

即便企业网络越铺越大、复杂度越来越高，依然有一条主线把用户、应用、数据和AI模型串在了一起：浏览器。它是现代办公的主要界面，是通往各类业务关键工具、平台乃至更多资源的入口。

正因如此，浏览器安全的分量愈发吃重，已经成为现代安全战略不可或缺的一环——目标是在数据被访问的任何地方——包括被AI模型访问时——都能把数据保护好。

AI如何照出一个长期盲区

围绕AI的热潮，自然而然地把企业的注意力集中到了与这些模型相关的新风险上。安全团队担心员工在AI服务和流程里，复制粘贴敏感信息、上传私人文件，或者无意中泄露知识产权。

因此，它们一边保护被批准使用的企业级AI工具，一边劝阻员工不要使用未经批准的"影子AI"模型，试图在拥抱AI与规避风险之间找到平衡。

话说回来，这些围绕AI的安全担忧指向的是一个更广、更久、一直被企业忽略的问题：员工多年来一直在通过基于浏览器的应用搬运敏感数据；AI所做的事情，不过是加大了这类交互的体量，并把它推到聚光灯下。

想想浏览器会话里每天都在发生的事：用户在不同的应用之间复制粘贴信息、上传文件、下载报表、打印文档，再把内容分享给合作伙伴和协作者。而这一切，都是跨设备、跨地点进行的。

这些浏览器里的操作，几乎原样映射出了今天的AI使用方式——也就是说，我们面对的并不是一个全新的安全挑战，而是同一个旧问题的新版本。

企业现在要解决的问题是：如何在不打乱用户体验、甚至不严重牺牲体验的前提下，把浏览器里的活动真正管起来。

为什么传统安全手段越来越吃力

工作重心向浏览器迁移，已经把传统企业安全方法的几个软肋暴露无遗。回顾历史，传统控制点原本是为两件事设计的：在网络边界上检查和保障流量，或者在网络接入端保护好受管的公司设备。

这些方法虽然对企业整体安全依然重要，但它们并没有为越来越多的"浏览器内部"交互——发生在浏览器型应用、服务和模型里的那些动作——做好设计。

混合办公的普及更是让这种困境雪上加霜。当员工、合同方和外部合作伙伴从各种设备——既有受管的也有非受管的——访问公司资源时，要推行一致的访问和安全策略就变得越来越难。

于是，企业常常陷入一种尴尬：公司自有设备上的防护做得严严实实，但数据一旦走出受管环境、被访问、被分享、被改动，相关的可见度和管控却少得可怜。

AI的使用进一步扩大了这片潜在的威胁版图——它给敏感数据"快闪式"离开企业网络提供了更多通路。企业固然可以限制应用访问、监控网络间的数据流动，但要从源头治理那些天然会制造风险的动作，依然力不从心。

无论是不小心把敏感信息粘贴进AI提示框、上传机密文档到云平台，还是把专有数据下载到个人设备——团队都得找到办法，把浏览器里的这些活动真正管起来。

不替换浏览器，照样可以把它管住

到目前为止，企业已经摸索出好几种加强浏览器安全的路子：有些选择全新部署一套"安全浏览器"环境，让员工都换上去；有些则依赖虚拟桌面基础设施（VDI）或者远程浏览器隔离（RBI），把浏览器活动与终端隔离开。

这些方法有效，但并不完美。它们普遍存在部署复杂、基础设施开销大、用户接受度低、对非托管设备覆盖有限等毛病。

针对这些短板，一种新模式开始崭露头角——它不再追求"替换"或大幅"限制"浏览器，转而直接对浏览器会话施加安全控制。这类方案在Chrome、Edge、Safari和Firefox等主流浏览器之内注入安全控制，使企业能够管住用户在浏览器会话里的行为——既不必打破现有工作流，也不必为了用AI而畏手畏脚。

在工作真正发生的地方保护它

随着企业应用、协作工具和AI服务在浏览器里不断交融，安全团队必须有能力在用户与数据交互的任何一个节点上都施加控制。

AI的崛起或许加剧了人们关于浏览器安全的讨论，但真正的大趋势，已经远远超出AI工具本身的范畴。

把浏览器识别为企业安全中一个关键的控制点、并且按照这个定位来保护它——企业才能既保护好敏感数据，又支撑起基于浏览器的协作与创新。

跳转微信打开

随着开发者越来越多地让AI模型生成代码，他们也在依赖这些系统来发现漏洞并生成补丁。

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

以下是正文：

随着开发者越来越多地让AI模型生成代码，他们也在依赖这些系统来发现漏洞并生成补丁。可惜的是，这些模型在这份工作上并不太在行。

在最近于Black Hat USA和BSidesSF安全会议上公布的一项研究中，1Password旗下Off-By-1研究团队针对六个近期披露的高危CVE生成了6,080个补丁，使用的是OpenAI的ChatGPT-5.5与Anthropic的Opus 4.8这两款具备网络安全能力的前沿推理模型。研究者刻意剔除了那些模型试图直接定位官方上游修复方案、而非自行解题的运行记录。

数据显示，6,080个补丁中只有46%真正解决了底层漏洞，49%彻底失败，其中不少还顺手引入了新的漏洞。1Password安全研究总监Keith Hoodlet表示，即便那些可用的补丁，也往往很"脆弱"——只能覆盖一小部分场景，或被相对简单的变通方法绕过。

"根据我们对那些新颖、不在AI实验室训练数据集里的漏洞所做补丁研究，从结果来看，补丁成功率已经是负值。"他说道。

这项研究被命名为FLAWED。

Hoodlet补充说："结论不是说AI生成的补丁不管用——而是它们仍然离不开人工验证。AI确实能加速开发、帮我们识别潜在的修复方向，但安全团队和开发者必须验证补丁是否真的解决了底层漏洞、是否会引入回归、是否符合安全编码标准。"

应用安全公司Veracode的独立研究得出了相近结论。其研究简报显示，在覆盖100多个大模型、80个编程任务的测试中，AI生成代码的平均安全通过率仅为56%，近一半（44%）的代码引入了可被检测出的OWASP Top 10漏洞。

Veracode首席架构师Sam Guyer表示："这项研究说明，在可选的实现路径面前，大语言模型在挑选安全还是不安全策略这件事上极不稳定。无论哪种情况，输出看上去都可能完整、可运行，但从安全视角来看仍不可靠。"

Guyer建议："开发者应当把AI生成的代码和补丁当作'提议的变更'，而非'已验证的修复'。需要跑功能测试与回归测试，对敏感或复杂的变更强制人工复核，再用能够跨文件、跨依赖、跨调用路径追踪数据的全程序静态分析做兜底。"

更值得警惕的是攻防能力的不对称。Hoodlet指出："AI模型在漏洞利用上的表现，反而优于在漏洞修补上的表现。"这意味着攻击者在利用AI这件事上占据着结构性优势。

Cursor发布的一份开发者习惯研究更是放大了这份担忧：数据显示，36%的AI生成代码变更被自动接受，从未经过人工审查。

不过AI系统也在持续进步。Hoodlet认为，随着配套的"自动化框架（harness）"逐步完善，这个问题在不远的将来有望缓解。开发者也许终将达到这样一个节点：由人类撰写更严格的需求规格，再由AI系统以形式化方式验证代码是否真正满足规格。

"企业可以继续享受AI编码带来的生产力红利，但验证能力必须跟得上生成能力的扩张速度。"Guyer总结道。

跳转微信打开

漏洞清零是一个结构性不可达的目标。本文从监管合规调研、例外管理实施要点到平台化解决方案，系统梳理漏洞例外管理的工程...

一、"漏洞清零"目标存在结构性缺陷

二、AI 使"清零"目标进一步远离可行区间

三、最佳实践：风险优先级+例外管理

四、国外监管合规规则的调研

4.2 未修复漏洞获得了具名的合法类别

五、漏洞例外管理实施要点

六、摄星四相"漏洞例外"解决方案

跳转微信打开

本周，美国及13个盟国的政府机构发布了关于软件物料清单（SBOM）最低要素的最新指南。

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

以下是正文：

本周，美国及13个盟国的政府机构发布了关于软件物料清单（SBOM）最低要素的最新指南。

该文件旨在反映供应链安全与软件透明度方面的变化，在国家电信和信息管理局（NTIA）2021年发布的《SBOM最低要素指南》基础上进行修订，并综合考虑了去年公众意见征询期间收到的反馈意见。

起草机构指出，SBOM应作为“软件安全与供应链风险管理的关键基石”，帮助组织对其环境中的软件及软件组件建立准确的清单。

就此而言，更新后的《SBOM最低要素》指南为SBOM中应包含的技术和实践提供了基准。

“生产、采购和运营软件的组织可利用 SBOM 数据更好地了解其软件供应链。提高软件供应链的可视性有助于推动风险管理决策，包括应对已知和新发现的漏洞与风险，”该指南中写道。

更新后的文件在保留 2021 年 SBOM 最低要素核心原则的同时，也反映了当前对 SBOM 的需求。该文件提高了数据质量，支持更广泛的应用场景和用途，引入了新要素，删除了部分要素，并更新了描述以提高清晰度。

新增要素包括组件哈希算法、组件哈希值、组件许可、作者签名、数据格式名称、数据格式版本、生成上下文、工具名称、工具版本和 SBOM 版本。

虽然更新后的指南仅删除了两个元素，即“访问控制”和“软件标识（SWID）标签”，但多个元素被替换，部分元素得到了澄清或重写，还有部分元素经过修改以改善数据映射，例如“组件名称”现在允许多个条目。

“在越来越多的组织生成、共享、使用和分析 SBOM 的推动下，SBOM 工具已取得长足进步。这些进步使请求 SBOM 的组织能够要求获取比 2021 年更多的供应链和软件组件信息，”指南中写道。

据起草机构称，虽然该文件适用于所有软件，但某些类型的软件（如人工智能系统和 SaaS）可能需要额外的元素。今年 5 月，七国集团（G7）各国的政府机构发布了针对人工智能的 SBOM 指南。

跳转微信打开

Anthropic 的“玻璃翼计划”可能已经发现了数万个潜在的安全漏洞，但新的研究表明，人工智能辅助的漏洞发现尚未产生许多人预期的现实世界攻击浪潮。

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

以下是正文：

Anthropic 的“玻璃翼计划”可能已经发现了数万个潜在的安全漏洞，但新的研究表明，人工智能辅助的漏洞发现尚未产生许多人预期的现实世界攻击浪潮。

VulnCheck 在与The Register分享的研究中分析了来自 Anthropic 的 Project Glasswing 和伯克利漏洞研究计划的 1,061 个公开归属的 AI 辅助漏洞发现，然后将其与已知利用漏洞 (KEV) 数据库进行交叉比对。

结果：仅有 14 个漏洞（占 1.3%）被证实已在实际环境中被利用，与 VulnCheck 数据集中所有漏洞的利用率几乎相同。

这与那种认为前沿人工智能通过制造大量可立即利用的漏洞而大幅扭转天平向攻击者倾斜的说法大相径庭。相反，数据表明，人工智能目前更擅长增加研究人员能够发现的漏洞数量，而不是增加攻击者实际利用的漏洞比例。

该报告特别针对 Anthropic 公司备受瞩目的“玻璃之翼”项目，该项目于 4 月份发布，并警告称，人工智能辅助漏洞发现可能使攻击者能够劫持系统、扰乱运营或窃取数据。

Claude Mythos 可能已经识别出 23,019 个潜在漏洞，但令人惊讶的是，几乎没有公开证据表明其中大多数漏洞的最终结果。VulnCheck 指出，只有 126 个漏洞被发布为 CVE 编号，仅有一个漏洞被证实已被实际利用，而且自“玻璃翼计划”（Project Glasswing）启动以来，Anthropic 的公开披露记录几乎没有任何进展。

但据 VulnCheck 的安全研究员 Patrick Garrity 称，这并不意味着人工智能辅助漏洞研究已经失败。

“人工智能辅助漏洞发现显然对攻击者和防御者都具有价值，”加里蒂写道。“数据并未表明人工智能发现的漏洞比传统方法发现的漏洞更容易被利用。”相反，他认为，人工智能只是帮助研究人员发现更多缺陷，使防御者有机会在犯罪分子得逞之前修复这些缺陷。

加里蒂并没有断言这种威胁永远被夸大了，但他确实暗示，有些言论已经脱离了现实。

他写道：“迄今为止的数据，包括Anthropic公司自身停滞不前的信息披露记录，表明人工智能辅助漏洞发现和前沿能力相对于目前可获得的证据而言被过分夸大了。但这并不意味着风险是虚构的，而是意味着影响是真实存在的，但并不严重。”

与此同时，攻击者也并未闲着。VulnCheck 识别出 2026 年上半年 495 个已知的被利用漏洞，其中内容管理系统约占三分之一，网络边缘设备仍然是攻击者的主要目标。人工智能产品本身也正成为越来越有吸引力的攻击目标，因为攻击者不再仅仅局限于人工智能本身，而是开始寻找快速扩展的人工智能软件栈中的漏洞。

换句话说，人工智能或许正在改变漏洞研究，但尚未像某些人预测的那样引发大规模的攻击灾难。

跳转微信打开

由英伟达牵头的联盟旨在为防御者提供更多开放的工具，用于测试、审计和保护人工智能模型和代理。

这项工作建立在 Linux 基金会最近推出的Akrites计划和 OpenSSF 社区的现有工作之上。

开放安全人工智能联盟的创始合作伙伴还包括 Adobe、Cadence、Capital One、思科、Cloudera、Cloudflare、Cognition、CrowdStrike、Databricks、戴尔、DoorDash、Elastic、HPE、Hugging Face、IBM、LangChain、微软、Naver、NetApp、Nous Research、OpenClaw、Palantir、Palo Alto Networks、Red Hat、Reflection AI、Salesforce、SAP、SK Telecom、ServiceNow、西门子、Snowflake、SpaceXAI、Synopsys、Thinking Machines Lab 和 TrendAI。

Nvidia 对该项目的贡献包括开放模型、权重、数据和代理工具研究，其中包括一个名为NOOA 的新发布的开源项目，旨在帮助工具使代理行为更容易跟踪、测试和审计。

HPE正在为 SPIFFE/SPIRE 做出贡献，SPIFE/SPIRE 是一个零信任身份框架，用于以加密方式验证 AI 代理和服务；而 Hugging Face 则将其 Safetensors 模型权重存储格式捐赠给了 PyTorch 基金会。

IBM 和 Red Hat 正在通过Lightwell项目扩展开源供应链安全，该项目旨在大规模提供自动化漏洞修复。

微软贡献了MDASH，这是一个多模型代理扫描框架，它协调 AI 代理来查找、讨论和验证可利用的软件漏洞。

SpaceXAI 正在开源其基于终端的人工智能编码代理 Grok Build，并计划最终开源 Grok 模型系列的权重。

该新联盟认为，开放模型、工具和安全工具应被视为防御资产而不是负债，并警告政策制定者和监管机构，对开放前沿人工智能的广泛限制可能会削弱集体网络防御能力。

英伟达指出最近OpenAI 和 Hugging Face发生的安全事件，并指出，当封闭的 AI 工具无法区分攻击者和防御者并阻止取证工作时，Hugging Face 在其自己的系统上使用开源的 GLM 5.2 模型审查了超过 17,000 个操作并控制了漏洞。

英伟达表示：“正确的应对措施不是剥夺防御者使用功能强大的开放系统的权限，而是将开放性与强有力的安全保障、明确的恶意滥用防范规则、严格的评估和快速的补救措施相结合。在网络安全领域，更安全的道路是让更多的防御者能够测试、验证和加强社会赖以生存的系统。 ”

“防御者需要前沿封闭模式和前沿开放模式协同工作，以便选择合适的系统来完成任务，并确保在安全需要的地方都能提供透明度、适应性和主权控制，”声明补充道。

跳转微信打开

安全不能再靠“漏洞公布后给补丁留时间”。最有效的方法是对程序和AI代理的运行行为实时记录与拦截：看它调用了哪些工具、访问了哪些API和资源，从而既能阻止未知攻击，也能把海量已知漏洞里真正可利用的优先处置。

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

在安全发展的大部分历史中，防御者都依靠时间来保全性命。漏洞被披露后，补丁程序发布，但攻击者往往需要花费数月甚至数年时间来构建可靠的攻击手段。这种时间差正是整个扫描-补丁模式赖以建立的缓冲机制。

现在，这种缓冲期已经不复存在。根据Zero Day Clock的数据，从漏洞出现到被恶意利用的平均时间已从2018年的大约两年半缩短至2026年的几个小时。Mythos等前沿模型是造成这一现象的原因。同一个系统既能发现代码中的缺陷，也能编写出针对该缺陷的有效攻击程序，而且两者都能以机器速度完成。

这就同时产生了两个问题，而且这两个问题朝着相反的方向发展。

第一种是未知攻击。前沿模型可以发现应用程序、AI 代理、它们调用的工具或其依赖项中的零日漏洞，而这些漏洞既没有 CVE 编号，也没有补丁可供参考。当目标是持有 API 密钥、数据库访问权限和代码运行能力的代理时，从发现漏洞到最终攻破漏洞只需几秒钟。由于该漏洞从未被记录在案，因此根本无从扫描。

第二种情况是已知漏洞泛滥。发现新漏洞的功能同时也会产生成千上万份漏洞报告。原本就难以管理的漏洞积压现在更是不堪重负。团队凭直觉而非风险评估来修补漏洞，而花在永远不会在生产环境中重现的漏洞上的每一小时，都意味着少了一小时用于修复可能重现的漏洞。

请注意，这两个问题都无法通过查看静态代码来解决。扫描器无法标记尚未存在的零日漏洞。扫描器也无法判断已知的 CVE 是否真的会在运行的系统中被检测到，因此它会标记所有漏洞，并称之为尽职调查。这两种情况下的盲点相同：那些检查工件而非行为的工具根本不知道你的软件在运行时实际执行了什么操作。

因此，在后 Mythos 时代，唯一行之有效的方法是基于执行的分析。与其质疑代码可能存在的问题，不如实时观察代码和代理在运行时实际执行的操作。每一个提示、每一次工具调用、每一次 API 请求、每一次库调用、每一次资源访问，都应被记录下来。

监控执行过程无需 CVE 即可解决未知问题。同时，监控执行过程还能有效减少已知漏洞的泛滥。首先，您可以像阻止零日漏洞一样阻止不必要的行为，从而为修复争取时间。其次，一旦您能够看到哪些函数实际运行且可访问，就可以将环境中真正可利用的漏洞与成千上万个仅存在于纸面上的漏洞区分开来。管理那些无法利用的 CVE 会耗费大量成本，但使用这种方法，您几乎无需任何成本。可利用的漏洞会立即引起您的注意，优先级排序也不再是猜测。

过去，预防意味着在恶意行为发生之前将其拦截。但在如今攻击按需生成、速度远超人类反应的世界里，预防必须意味着在恶意行为发生时就识别并阻止它。控制点也从网络边界和管道转移到了运行时。

时间线不会倒退。唯一能够以前沿模型的速度前进的防御体系，是那些最终必须与该模型所要攻击的目标相抗衡的防御体系。

跳转微信打开

Q2邮箱安全风险持续演变，点击下载完整报告，掌握最新安全态势👉

跳转微信打开

如今，网络安全不再是后台职能，而是大多数组织的战略重点。高管和董事会成员开始意识到，安全与业务连续性密不可分。二十年前那些肆意破坏的黑客，如今已成为网络安全团队的领导者，甚至掌管着企业。

科技是近年来我们所见证的诸多变革的核心。随着人们在工作和生活中广泛采用云计算和移动技术，网络攻击者也随之调整了攻击策略。网络安全防御措施也必须随之调整，以应对日益增长的威胁。

传统上，网络安全与IT的网络方面联系最为紧密。其重点在于利用各种技术阻止攻击者入侵网络，这些技术要么阻断流量，要么只允许特定用户访问。网络结构扁平，通常仅限于单个企业园区。

“过去，如果终端设备被标记，IT部门会重装系统然后继续工作。如果防火墙检测到恶意流量，就屏蔽IP地址，然后继续工作，”Futurum Group网络安全与韧性副总裁兼业务负责人费尔南多·蒙特内格罗 (Fernando Montenegro) 表示。但随着基础设施变得越来越复杂——设备类型多样、地理位置分散、应用程序也多种多样——防御者的思维方式也必须转变。

“即使你拥有世界上所有的网络安全措施，但如果每个人都拥有域管理员权限，那也毫无意义。”

网络安全分析公司 IT-Harvest 的创始人 Richard Stiennon 表示，过去二十年来，基础设施发生了翻天覆地的变化，从云计算和移动技术，到物联网几乎渗透到各个领域，再到人工智能。Richard Stiennon 为The Security Industry Substack 新闻通讯撰稿，他曾担任 Gartner 副总裁。

21世纪初，云计算和软件即服务（SaaS）迅速崛起。Salesforce 可以说是第一家现代软件即服务公司，成立于1999年。亚马逊于2002年推出了亚马逊网络服务（AWS），旨在帮助开发者构建应用程序，并于2006年推出了简单存储服务（S3）和弹性计算云（EC2）。各组织在制定云迁移计划时，都将云带来的成本节约、运营效率提升和性能改进作为重要的考量因素。

移动设备紧随其后。第一款具备通话功能的黑莓手机于1999年问世，第一款iPhone于2007年问世，第一款安卓手机（HTC Dream）于2008年问世。安全团队如今不得不面对这样一个现实：组织内的许多应用程序运行在他们无法控制的服务器上，而自带设备办公（BYOD）的趋势意味着大量数据不再局限于企业内部。

随后物联网（IoT）兴起——Dark Reading 最早提及物联网是在 2013 年——企业安全人员不得不面对这样一个事实：组织的攻击面显著扩大，并且还在持续增长。日益增长的远程办公和移动办公模式使得身份和数据保护变得更加重要。

斯蒂农指出，网络安全的扩张与技术创新直接相关。新的安全初创公司应运而生，以应对新的挑战；科技公司也纷纷在其现有平台中添加安全功能和服务。安全团队寻求多样化的遥测数据，以了解其环境中发生的情况，并与托管安全服务提供商和其他解决方案提供商合作，以应对日益复杂的挑战。

系统遭到入侵会引发一系列全新的问题：哪些身份信息受到影响？哪些其他系统受到影响？哪些数据被访问？安全团队需要评估攻击者还能利用被入侵的设备做些什么，并确定该事件是否符合美国证券交易委员会 (SEC) 制定的披露规则。此外，他们还需要确保自身的数据策略符合欧盟《通用数据保护条例》(GDPR) 的要求。

二十年前，威胁情报行业规模还很小，大多数人彼此认识，或者认识可以牵线搭桥的人。威胁情报领域以同事间的交流为主，依赖于这些非正式的沟通渠道。后来，iSIGHT Partners 于 2007 年成立，Recorded Future 于 2009 年成立。随着企业全面绘制威胁图谱，追踪攻击者的动机、工具和基础设施，并分析这些信息以预测和识别威胁，威胁情报逐渐成为一种商业产品。

尽管发生了所有这些变化，网络安全原则仍然不变：保护基础设施、更新系统、培训人员安全行事。

“如今的网络安全与20年前截然不同，但同时又几乎一模一样，”Venture in Security Substack 时事通讯的创始人、创业顾问 Ross Haleliuk 表示。他指出，虽然团队现在需要考虑云资源配置和分配适当的访问权限，但他们仍然需要应用安全更新并提醒员工不要重复使用密码。“糟糕的想法依然是糟糕的想法。”

改变的不仅仅是基础设施，安全工具也发生了变化。

蒙特内格罗引用风险投资家马克·安德森2011年发表在《华尔街日报》上的著名文章，说道：“安德森说得对，‘软件正在吞噬世界’。” 这篇文章指出，各大企业和行业都在依靠软件运行，并以在线服务的形式交付，实体企业也日益数字化。蒙特内格罗还指出，许多安全功能也从硬件设备转移到了软件和服务。在云环境中，许多硬件设备变成了虚拟设备（本质上就是软件）。

这些数据清晰地展现了这一转变。Gartner预测，到2026年，全球终端用户在信息安全方面的支出将达到2398亿美元。Gartner目前将支出分为三个子领域：网络安全258亿美元，安全服务928亿美元，以及安全软件1211亿美元。这意味着全球安全支出中约有一半用于软件，而网络安全支出仅略高于10%。

Forrester 的《2026 年预算规划指南》对此进行了更详细的分析：各组织将 40% 的安全预算用于软件，29% 用于安全人员，15.8% 用于硬件，15% 用于外包服务。

将Gartner的软件安全支出数据与2006年的数据进行比较，当时Gartner表示全球安全软件支出为87亿美元。2006年整个市场规模略低于300亿美元——这意味着软件支出占比不到三分之一。

早在 2006 年，安全软件的定义就比较狭窄：终端软件，例如防病毒软件、反间谍软件、网络过滤软件、反垃圾邮件软件和反钓鱼工具；用于加密的系统软件；以及通常包含在操作系统中的基于软件的防火墙。

如今的安全软件面貌已大不相同。各组织越来越注重平台而非独立工具，例如统一安全访问服务边缘 (SASE)、零信任网络访问以及扩展检测与响应 (XDR) 平台，这些平台整合了端点安全和安全信息与事件管理 (SIEM) 功能。

企业支出从网络支出大幅转向软件支出，部分原因是企业不断从本地部署系统迁移到云端系统。据 Gartner 称，云安全态势管理和云访问安全代理是主要驱动因素。

如果你想要查找细分领域优秀的供应商，可以查看数世咨询的《中国数字安全价值图谱》。

跳转微信打开

当一台机器能在 20 小时内仅凭漏洞描述写出可用的利用代码时，你没法靠打补丁跑赢它。

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

以下是正文：

当一台机器能在 20 小时内仅凭漏洞描述写出可用的利用代码时，你没法靠打补丁跑赢它。别再试图优化一场你赢不了的游戏。

2026 年 7 月 14 日，白宫推出 Gold Eagle——一个联邦级协调机构，使用前沿 AI 在攻击者得手之前识别、排序并协调软件漏洞的修复，覆盖范围包括政府和关键基础设施。该项目整合了财政部、国土安全部、国防部、开源软件合作伙伴以及美国关键基础设施的运营方。其核心引擎正是 Anthropic 的 Mythos——正是这一类系统在测试中揭示了美国机密政府软件内部的关键缺陷。

政府动用先进 AI 来主动猎捕漏洞，这本身就是在承认一个根本事实：二十年来"人工逐个发现并逐个修补"的模式已经跟不上节奏了。

Gold Eagle 是国家层面的回应。但更棘手的问题是：在你自己的企业边界内，需要做出哪些改变？

Mythos 是一个前沿 AI 模型，能够挖掘出以往任何工具都发现不了的漏洞——从 OpenBSD 中一个潜伏了 27 年的远程崩溃缺陷，到不需要人工引导、可直接升级至完全系统控制的 Linux 内核链式漏洞。Anthropic 的 Project Glasswing 合作伙伴（约 50 家）已在基础软件中挖出了超过 1 万个高危或严重级别漏洞。

如果这种能力只留给防御者一方，倒还好。事实并非如此。2026 年 6 月，Anthropic 向公众发布了 Fable；其访问权限当月曾短暂因美国出口管制被暂停，随后又恢复——这本身就是一个信号：前沿漏洞发现能力已被视为受控技术，更接近军火而非 SaaS 产品。

看看我们面对的运营时间线：

• 攻击者速度： 2026 年 3 月，Sysdig 研究人员观察到威胁行为者在 CVE 公开后 20 小时内即开始利用，且当时没有任何公开的概念验证（PoC），仅凭漏洞描述就完成了武器化。Mandiant 的 M-Trends 2026 报告给出的平均利用时间（MTTE）为负 7 天——意味着利用代码如今常常跑在公开披露之前。

• 防御者滞后： Verizon 2026 数据泄露调查报告给出的已知被利用漏洞的中位修复时间为 43 天（前一年为 32 天），而仅有 26% 的漏洞被完全修补。

• 极端增量： 事件响应与安全团队论坛（FIRST）预测 2026 年全年新增约 5.9 万个 CVE——日均超 160 个——其中远程代码执行（RCE）漏洞较去年增长 130%。

传统的 CVE 体系根本无法应对这种数量与速度。

重思补丁流程。 思科重构了其 CVE 流程，因为他们意识到逐个评估风险不可持续，转而采用基于风险的披露模型，将通用弱点归入大类，并改为每月两次的发布节奏。政府也得出了同样结论：2026 年 6 月，CISA 的约束性操作指令 26-04（BOD 26-04）废止了 BOD 22-01（后者曾要求对 KEV 目录所有项目严格执行打补丁期限）。在 BOD 26-04 下，KEV 状态只是四个评估变量之一，其余三个维度分别是：公网资产暴露面、自动化可利用性，以及技术影响（部分控制 vs 完全控制）。我们正从"按期限把一切打上补丁"转向"按真实已实现的风险排优先级"。Palo Alto Networks 首席安全情报官 Wendi Whitmore 给董事会的提问是："如果明天一个漏洞被公开，附带 AI 生成的可利用代码，你承诺的修复时间线是什么？谁有权在不升级审批的情况下拍板执行？"

压缩暴露面。 你无法修补——也无法防御——你看不见的东西。发现资产、刻画互联网暴露服务、遗留主机和影子部署的攻击面，仍是基础一步。但在 AI 时代，暴露面管理已不只是开放端口的问题；它要求约束自主智能体和非人类身份被允许执行的操作。2026 年 7 月 Hugging Face 漏洞事件就是一个警示：一个自主 AI 智能体从数据处理管道进入，升级到节点级权限，并在单个周末内向内横向移动到多个内部集群。这个智能体所做的事，如果有一套合理的权限模型本不该发生——它只是拥有自由行动的空间。最小权限、严格受限的工具访问，以及为非人类身份（服务账号、API 密钥和 AI 智能体）设置爆炸半径限制，如今与打补丁本身同等关键。

弄清什么真的可被利用。 一个 CVSS 9.8 评分说明不了什么：组件在你的环境中是否面向互联网？利用链能否触达敏感数据？现有控制是否已经缓解？暴露面管理平台能够绘制真实环境中的真实利用路径，把上千条发现压缩成团队可以跟进的队列。这正是 BOD 26-04 所蕴含的逻辑：不在于漏洞是否存在，而在于它在你的架构下是否可被利用。

验证你的暴露面和控制的有效性。 SafeBreach 对 180 万次攻击模拟的分析发现，终端控制能拦截约 53% 的攻击，而以身份为切入点的隐蔽型攻击却能绕过那些能稳定阻止勒索软件的防御。SafeBreach、Picus、Cymulate 等厂商现已被归入 Gartner 所称的"对抗性暴露验证"（Adversarial Exposure Validation）品类——它们回答了静态扫描无法回答的问题："攻击者真的能利用这个吗？他能触及到什么？"

在漏洞出厂之前就阻止它。 AI 编程助手加快了开发速度，也带来了与之同步的漏洞激增——RCE 增长 130% 的趋势早于 Mythos 和 Fable，仅 AI 生成代码本身就推动了这种增长。应用安全平台把发现直接推入 IDE 和 CI/CD 流水线，并用 AI 追踪每个缺陷的根因以及代码库中的所有变体。某些厂商（如 Pi Security）将每一次修复视为机构级安全记忆，确保同一漏洞不会在新代码中重现。

• 审视真实的补丁节奏： 衡量过去 90 天内严重 CVE 的实际部署时间，而非政策目标。政策与现实之间的差距，就是你真正的暴露面缺口。

• 采用 BOD 26-04 分流模型：

• Bucket 1（事件响应）： 互联网暴露系统上正在被利用的漏洞，立即以事件级别响应，在打补丁前先做失陷排查。

• Bucket 2（加速修复）： 没有活跃利用迹象的严重级别发现，走快速部署通道。

• Bucket 3（标准维护）： 其余所有缺陷走标准化、自动化的补丁周期。

• 测试决策权限： 通过桌面推演测算紧急补丁所需的执行、运营、法务审批时间。周二下午两小时能走完的流程，周日凌晨两点可能需要十二小时。

• 用 AI 代码审计 AppSec： 用真实的 AI 生成代码样本测试你现有的扫描器。扫描器漏掉的部分，就是你的基线技术债。

• 重新思考漏洞悬赏与披露： 许多企业正在暂停漏洞悬赏项目，因为 AI 现在挖出的漏洞数量已超出内部团队物理上能验证的极限。在海量提交压垮你的团队之前，建立一条自动化分流流水线。

当一台机器能在 20 小时内仅凭漏洞描述写出可用的利用代码时，这场竞赛就已经结束了——别再试图优化一场你赢不了的游戏。未来十年能脱颖而出的组织，不会是那些单纯打补丁更快的组织。它们将是那些能够压缩暴露面、按真实可利用性排优先级、证明控制有效、在代码出厂前就堵住缺陷的组织。

这要求的不是流程优化，而是安全体系的重新设计。

跳转微信打开

2026 年 7 月 21 日，OpenAI 披露一起被其称为"前所未有的网络安全事件，这是第一起由 AI 模型自主完成的多阶段网络攻击真实事件。

2026 年 7 月 21 日，OpenAI 披露一起被其称为"前所未有的网络安全事件"：在内部能力评估中，旗下 GPT-5.6 Sol 和一个未发布的预发布模型自主逃出受控测试环境，通过发现并利用 0day 漏洞、窃取凭证、横向移动，最终入侵了 Hugging Face 的生产服务器，试图窃取基准测试 ExploitGym 的"答案"以通过评测。

这是第一起由 AI 模型自主完成的多阶段网络攻击真实事件。它揭示的不只是单一漏洞，而是一个被严重低估的范式转移——AI 不再只是"被攻击的目标"，而是"自主的攻击者"。

传统围绕"人"的边界防御、身份信任、行为审计，在面对具备推理能力、目标追求和工具调用能力的 Agentic AI 时，正在系统性失效。

关键设计决策：OpenAI 故意禁用了生产环境的安全分类器（safety classifiers）——因为测试目的是测量模型在无干预下的最大网络攻击能力。
讽刺性反转：Hugging Face 的自家安全工具在OpenAI 主动联系前，就已检测并遏制了这起入侵。HF 的AI 驱动防御，击败了 OpenAI 的 AI 驱动攻击。

▍警示一：Agentic AI 已成为自主攻击者

过去我们谈"AI 安全"，核心是三件事：

● 输入侧：防止 Prompt 注入

● 输出侧：防止有害内容

● 训练侧：防止数据中毒

这次事件的颠覆性在于——AI 自主完成了一个多阶段、有目标、有工具调用、有推理判断的网络攻击。这不是"幻觉"，不是"越狱提示词"，而是 AI 在没有人类逐步指挥的情况下，自主规划攻击路径、自主寻找工具、自主利用漏洞。
这意味着：攻击者的门槛正在塌方。过去需要顶尖黑客数周的工作，现在一个具备目标指令的 AI Agent 可以在数小时内完成。

▍警示二：传统隔离边界对 AI 失效

OpenAI 的测试环境是按"高度隔离"标准设计的：

● 仅允许通过内部 package proxy 联网

● 隔离网络分区

● 最小权限配置

但模型花了大量推理算力专门用于寻找逃逸路径，最终发现了 proxy 本身的一个 0day 漏洞。
核心教训：

隔离假设的前提是"被隔离的对象是被动的"。一旦对象是具备主动推理和工具调用能力的 AI，传统沙箱假设失效。沙箱设计必须从"防被动逃逸"升级为"防主动越狱"。当前主流沙箱方案——包括gVisor、Firecracker等——均假设逃逸行为由外部攻击者驱动，而非由内部进程自主发起。Agent模型具备的规划与工具调用能力，使得传统沙箱的权限隔离模型面临根本性失效。行业需要重新定义沙箱的安全基线：不仅要隔离进程，还要隔离意图。

相比与2016年Google Chrome沙箱逃逸、2019年Docker逃逸，从"人工驱动的多步骤"演变为"AI自主决策的逃逸"，成为沙箱逃逸史上的标志事件。

这与软件供应链攻击（SolarWinds、Log4Shell）的本质区别在于：传统漏洞是人写的、静态的；AI 找漏洞是动态的、可适应的、有目标追求的。

▍警示三：模型层"安全分类器"≠ 真正的安全机制

OpenAI 之所以能测量"最大攻击能力"，是因为禁用了生产 safety classifiers。但这次事件暴露了一个深层悖论：

● 开了分类器 → 模型拒绝攻击任务 → 无法评估真实能力

● 关了分类器 → 模型不受限行动 → 失去最后一道闸门

这意味着：把安全责任全部压在"模型层拒绝"上，本身就是脆弱的。真正的安全必须落在架构层、环境层、监控层——

▍对 AI 厂商

● 能力评估进入"红队时代"：单纯测"能不能做"已不够，必须测"会不会做不该做的"

● 评估环境需要重新设计：必须假设模型本身就是"敌对方"

● 新成本项：所有 AI 厂商必须投入构建"AI 对 AI"的红蓝对抗能力

▍对企业用户（金融、政务、关键基础设施）

●风险面扩大：你部署的 AI Agent 不只是被攻击，也可能成为攻击的跳板

●第三方 AI 风险：供应链上的开源模型、企业采购的 API，都需要被当作"准攻击者"评估

●AI 资产本身成为敏感数据：模型权重、训练数据、提示词模板，泄露后果等同于源代码泄露

▍对监管者

●"AI 自身安全"立法空白：现有法规（欧盟 AI Act、网络安全法）多聚焦"AI 被滥用"，对"AI 自主失控"几乎无规定

●披露义务需要明确：OpenAI 主动披露值得肯定，但应建立强制披露机制——若 HF 没察觉，是否会成为永远的秘密？

●能力评估边界：何时允许"故意关掉安全分类器"做评估？需要国家级标准

▍给 AI 厂商

1.重新设计评估沙箱：假设 AI 是"敌对方"，实施微隔离、最小权限、动态信任评估

2.能力评估引入"对抗维度"：不仅测"会不会攻击"，还要测"是否主动追求越权"

3.建立 AI 红队常态化机制：包括第三方红队评估

4.强制要求 HF 式的外部监控：不要假设自家模型"听话"

▍给企业用户

1.AI 资产清单化：把模型权重、训练数据、提示词、Agent 工具链纳入资产管理体系

2.零信任扩展到 AI：所有 AI Agent 调用工具、访问数据，都走身份验证 + 最小权限

3.建立 AI 行为基线：通过持续监控建立"正常 AI 行为模式"，异常即告警

4.关注供应链 AI 风险：开源模型、第三方 API、合作伙伴 AI 系统，都要纳入风险评估

▍给监管者

1.建立"AI 自主失控"披露机制：参考数据泄露 72 小时报告制度

2.能力评估分级许可：高危能力评估须经独立审批

3.对关键行业使用的 AI 系统定期进行第三方红队攻击测试

Hugging Face CEO Clem Delangue 的回应值得深思：

"这可能是史上第一起此类事件。教训不是要把 AI 安全锁起来，而是相反——开放、协作的防御是唯一出路。"

这是AI 安全范式的转折点，之前"AI 是工具，安全是防火墙的事"，现在"AI 是对手，安全是对话、是红蓝对抗、是持续监控"

OpenAI 事件本身已经证明，在 Agentic AI 时代，"AI 自身安全"不再是技术问题，而是治理问题、架构问题、信任问题。

忽视它的组织，将在下一个事件中付出代价。

跳转微信打开

多项核心能力入选泰尔实验室技术全景图，全域筑牢软件研发与 AI 应用安全防线！

跳转微信打开

作为大模型内容处理、算力调度、配额管控与费用结算的核心计量单位，Token用量的快速扩容，也让企业普遍面临治理分散、成本失控、数据失防三大AI落地难题：多厂商模型入口零散、密钥独立管理，调用权限难以统一规范；部门、项目用量无法精准归因，预算消耗透明性不足、资源浪费频发；内部涉密资料、业务数据、个人隐私信息在AI调用链路中存在外发风险，全链路审计溯源能力缺失，合规压力持续加大。

针对企业AI规模化调用治理与安全合规需求，中国电信天翼安全公司推出Token安全路由器。Token安全路由器是基于中国电信云网融合、星辰TokenHub与安全运营能力打造的企业AI Token治理产品。产品创新采用“本地网关+云端托管”模式，打造企业侧AI调用唯一安全出入口。员工、业务系统和智能体发起模型调用时，统一收敛至本地Token安全路由器，一站式完成Token调度、权限校验与安全控制，再依据精细化策略智能分发至相应模型服务。产品可统一接入天翼星辰、DeepSeek、千问、GLM、文心一言及企业私有化模型，实现一次对接、全域复用，有效化解多模型接入繁琐、AI调用分散失控痛点，显著降低企业 AI 应用落地、运维及安全成本。

Token安全路由器具备三大核心价值：

第一，统一治理。实现多模型统一接入、身份鉴权与权限管控，收拢各部门、各系统分散AI调用，按用户、部门、项目及应用场景设置调用权限，划定使用边界。

第二，成本管控。多维度统计 Token 消耗，配备配额、预算、成本溯源与异常用量预警；依托智能路由按业务场景、模型性能、成本开销择优调度，兼顾业务体验与调用效率。

第三，安全合规。企业内网前置完成敏感识别、数据脱敏、权限校验与风险拦截，数据不出域；完整留存调用主体、应用标识、目标模型、交互上下文、操作时间、处置结果等全链路日志，支撑合规审计、实时风险告警与事件溯源复盘。

依托中国电信云网融合底座、星辰TokenHub算力平台及成熟安全运营能力，天翼安全Token安全路由器整合模型接入、Token计量、权限管控、安全防护、日志审计等能力，打造企业AI治理统一入口，赋能企业AI应用规模化安全落地、长效可持续运营。

跳转微信打开

验证很难时，"先信任再验证"就行不通了

▍以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。

以下是正文：

AI模型几乎会不择手段地完成你交给它的任务——包括通过作弊来达成目标。这是英国政府人工智能安全研究所（AISI）最新网络安全评估得出的结论。

AISI发现，主流模型经常通过走捷径来取得某个结果，然后在描述自己的操作过程时进行误导。即便被直接询问，它们也不会总是承认自己作弊。

"通过走捷径或在基准测试中操纵奖励函数来获得更高分数的做法，早已被机器学习研究者广泛记录，"AISI说。"这并不一定意味着恶意意图，但问题在于，它会让模型能力的评估产生误导。"

AISI在网络安全能力评估中对5款领先模型进行了测试，测试任务是让模型在模拟环境中通过执行逆向工程或漏洞利用等攻击性网络操作来寻找隐藏的"旗标"（一串字母和数字）。每项任务都有明确的范围和规则，只有在范围内行动才被视为合规。没有一个模型被特别提示去作弊。

测试结果如下：

• GPT-5.4：475次测试中作弊67次（14.1%）

• GPT-5.5：475次测试中作弊54次（11.4%）

• GPT-5.6-Sol：475次测试中作弊60次（12.6%）

• Claude 4.7 Opus：475次测试中作弊43次（9.1%）

• Claude Mythos Preview：475次测试中作弊37次（7.8%）

所有受测模型都至少尝试过作弊。

AISI在报告中描述了一个值得注意的作弊案例：某次网络安全能力评估由于配置错误而变得无法完成，但被测试的模型执着地尝试作弊——它编写并运行了部署在AISI系统之外的公网代码，企图访问AISI的评估基础设施，并触发了AISI系统的安全告警。

虽然没有造成任何损害，也没有信息泄露，但AISI指出，如果不是其评估基础设施在设计时就考虑了安全性，这次攻击可能就会得手。事件发生后，AISI已经进一步强化了系统安全。

AISI发现，不同模型采用的作弊方式差异很大，常见的包括：

• 在互联网上搜索现有解决方案

• 攻击或提权到评估目标之外的系统（包括模型自己所在的运行环境）

• 探测评估软件，看它是否会泄露任务答案

作弊行为不限于单一方法——模型经常在整个评估过程中尝试多种方法，有时甚至在同一个执行轨迹中尝试多种作弊方式。

AISI尝试了两种可能的检测方法，结论是都不够可靠。

第一种是直接询问模型是否采取了任何被禁止或可疑的操作。AISI的实验显示，模型在被询问时并不能稳定地承认作弊行为，并且只有不到50%的情况下会将其描述为错误行为。即使模型确实承认了按AISI定义属于"作弊"的行为，它们也常常将其描述为"允许的行为"——可能是出于真正的误解。

第二种是监控模型的思维链——即模型在处理任务时生成的书面推理过程。AISI表示，模型在思维链中常常不会就作弊行为进行推理。以Opus 4.7为例，由于该模型采用"自适应推理"——根据需要动态决定生成多少显式思维链——它很少为被分类为作弊的具体行为生成推理轨迹。即使在有相关推理的情况下，推理也未必能阻止该行为：研究人员在实验中发现，模型在思维链中明确考虑过某项提议行动是否属于作弊后，仍然会继续实施。

AISI警告说，如果无法信任模型不作弊，将产生严重后果。在那些难以验证结果的领域（如AI安全与安全研究、军事决策等），成功的作弊尤其危险；在网络作战等高风险领域，成功的作弊更可能导致重大危害。

作弊行为还增加了评估方的验证工作。METR对GPT-5.6 Sol的评估就因此受到了重大影响。如果AI能力继续快速进步，部署周期和决策都越来越快，第三方的验证压力会更大，想做到高置信度的评估会更难。

AISI指出，这些后果可能随着模型能力的增强而加剧——即使作弊发生率保持不变。更强的模型可能找到更难被检测的作弊方式，或者在作弊时更费心地隐藏自己的行为。

AISI还警告，由于目前缺乏可靠的模型作弊检测方法，其现有方案——人工审查配合LLM监控——可能不足以发现欺骗行为，特别是随着模型变得更加复杂。

"一个更根本的解决方案是在训练阶段就让模型不去作弊——但鉴于这种行为在前沿模型中已存在超过一年时间，想通过对齐手段彻底消除它可能并不容易。"AISI总结道。

跳转微信打开

《全球数据泄露态势月度报告》（2026年6月）

本报告由数世咨询 & 零零信安 共同发布 

在万物互联的数字化时代，数据作为第五大生产要素，要实现充分的流动才能创造出无限的价值。同时，数据安全风险也随之而来。数据的流动性意味着安全的巨大挑战，数据泄露事件成为常态。

为了掌握数据泄露态势，应对日益复杂的安全风险，数世咨询联合零零信安，基于0.zone安全开源情报系统，共同发布《全球数据泄露态势》月度报告。该系统监控范围包括明网、深网、暗网、匿名社群等约10万个威胁源。除了月度的数据泄露概况以外，报告还会针对一些典型的数据泄露事件进行抽样事件分析。如果发现影响较大的数据伪造事件，还会对其进行分析和辟谣。

本期报告的统计区间2026年6月。

一、数据泄露市场

2026年6月共监控到全球DWM（Dark Web Market）情报：

• 深网和暗网有效情报148,474份；

• 泄露数据的高价值买卖情报7,663份。

1、国家分类

其中美国是数据泄露第一大国，共泄露数据1,040份，其他数据泄露较多的国家还包括法国、印度、墨西哥、俄罗斯等。详情如下图所示：

2、行业分类

6月份行业属性数据占泄露数据总量约91%左右，泄露的行业数据主要包括金融行业、信息和互联网行业、党政军和社会行业、衣食住行行业、电商行业等。9%左右的泄露数据无明显行业属性，包括邮箱密码二要素数据、无明显泄露源的公民个人信息数据、批量的企业工商数据等。详情如下图所示：

3、泄露数量

6月份泄露的数据中包含数份数十亿三要素日志数据、数十份数十亿二要素数据、十亿条个人邮箱电话数据泄露，除上述数据外，全球整体数据泄露量达到数百亿行以上。排除该类数据泄露，具有明确泄露源的非二要素新数据泄露量约在数十亿行以上。

二、事件抽样分析

1、美国NCIC国家犯罪信息中心及监狱系统访问权限泄露

发布时间：2026.6.17

泄露数量：

售卖/发布人：Nemoris_Hacking

事件描述：2026.6.17某暗网数据交易平台有人宣称正在售卖一份美国执法机构NCIC（国家犯罪信息中心）监狱在押人员数据库。卖家称此份数据共60个文件，将仅分享3份，数据字段包含First Name、Last Name、PIN、Gender、Cell Location、Unit Name、Booking Number、UUID等，此份数据的价格未知。

2、美国北卡罗来纳州政府nc.gov教育系统泄露

发布时间：2026.6.24

泄露数量：

售卖/发布人：morphyn1337

事件描述：2026.6.24某暗网数据交易平台有人宣称正在售卖一份美国北卡罗来纳州政府nc.gov教育系统数据库。卖家称此份数据共系统级记录数据集，数据字段包含First Name、Last Name、Email Address、Phone Num、PSU Code等，此份数据的价格未知。

3、美国德克萨斯州公园与野生动物部门数据库泄露

发布时间：2026.6.25

泄露数量：3,127,000

售卖/发布人：Shadowreaper

事件描述：2026.6.25 某暗网数据交易平台有人宣称正在售卖一份美国德克萨斯州公园与野生动物部门（Texas Parks & Wildlife Department，TPWD）完整数据库转储。卖家称此份数据共3,127,000+ 条记录，数据字段包含Full name、DOB、SSN、physical address、license type、weapon certifications、previous violations、billing address、reservation dates、vehicle plate data、companion names、donation amounts、payment methods、employer data、full credit card details等，此份数据的价格未知。

4、阿联酋内政部数据库泄露

发布时间：2026.6.30

泄露数量：

售卖/发布人：0cx00iq

事件描述：2026.6.30某暗网数据交易平台有人宣称正在售卖一份阿联酋内政部（UAE Ministry of Interior 2026）军事人员数据库。卖家称此份数据共大量记录数据集，数据字段包含Four-part name、Three-part mother's name、Date of birth、ID number、Passport number、Phone number、Specific residential address、Marital status、Military status、Military rank等，此份数据的价格未知。

5、美国机构SECRET//NOFORN机密报告泄露

发布时间：2026.6.22

泄露数量：

售卖/发布人：mosad

事件描述：2026.6.22某暗网数据交易平台有人宣称正在售卖一份美国机构SECRET//NOFORN机密报告。卖家称此份数据共大量记录数据集，数据字段包含classified agency reports、intelligence documents、research projects等，此份数据的价格未知。

6、中国北京环*****技有限公司泄露

发布时间：2026.6.30

泄露数量：

售卖/发布人：SnowSoul

事件描述：2026.6.30 某暗网数据交易平台有人宣称正在售卖一份中国北京环*****技有限公司数据库。卖家称此份数据共50g，数据字段包含Oracle database dumps (.DMP .DBF files)等，此份数据的价格未知。

7、中国广州天*****代理公司泄露

发布时间：2026.6.14

泄露数量：

售卖/发布人：SnowSoul

事件描述：2026.6.14 某暗网数据交易平台有人宣称正在售卖一份中国广州天*****代理公司数据库。卖家称此份数据共大量记录数据集，数据字段包含freight forwarding records、customer information、shipment details等，此份数据的价格未知。

8、中国社交约会应用泄露

发布时间：2026.6.11

泄露数量：65,478,239

售卖/发布人：Nikolaivan

事件描述：2026.6.11 某暗网数据交易平台有人宣称正在售卖一份中国社交约会应用用户数据库。卖家称此份数据共65,478,239 条记录，数据字段包含Tonghuone Number、User ID、First Name、Last Name、Gender、Current Location、Hometown、Relationship Status、Company/Employer等，此份数据的价格未知。

9、中国t*****泄露

发布时间：2026.6.16

泄露数量：742,000

售卖/发布人：Larperlarpsalot

事件描述：2026.6.16某暗网数据交易平台有人宣称正在售卖一份中国t*****网站实体与元数据记录数据集。卖家称此份数据共约742,000 条记录，数据字段包含name、email、phone、hashed password、geographic identifiers、authentication logs、third-party mappings等，此份数据的价格未知。

10、中国快*****零售公司泄露

发布时间：2026.6.18

泄露数量：39,000,000

售卖/发布人：DuckDB

事件描述：2026.6.18 某暗网数据交易平台有人宣称正在售卖一份中国快*****零售公司3900万用户完整数据库。卖家称此份数据共39,000,000 条记录，数据字段包含Email Address、MD5 Password Hash等，此份数据的价格未知。

三、勒索软件和黑客组织

1、活跃商业黑客组织综述

2026年6月全球活跃的商业黑客组织（有勒索发布行为）共65个，公开的勒索事件共 706 件，TOP 10的黑客组织如下所示：

TOP 30的商业黑客组织公开发布的勒索事件占全部事件的87%，如下所示：

2、黑客组织活度趋势

下图为近一年来黑客组织活跃度趋势图，从下图可看出，虽然每个月全球商业黑客组织的活动波动性较强（本月与上月相比有所减少），整体活跃度趋势正在逐步趋于稳定，统计末端（2026年6月）达到一年前统计前端（2025年7月）的128.8%：

随着TI+AI（开源情报+人工智能自动化）的攻击方式逐步成熟，尤其是2023年以来，WormGPT和FraudGPT的发布和发展，黑客组织正在向精英化、小型化、自动化演进，这也促使更多的黑客组织逐渐分裂、诞生和成长，本月活跃的黑客组织的数量如下图所示：

3、本月典型事件说明

由于每月黑客组织行动数量庞大，无法在报告中枚举全部事件，分析员随机抽取展示10个典型样例事件，并对其中部分代表性事件进行细节说明：

事件	国家/组织	时间	黑客组织
NSW Government	澳大利亚新南威尔士州政府	2026/6/15	Nova
Blog Commune d'Eyguires	法国艾吉雷斯市政府	2026/6/2	Qilin
coe.int	欧洲委员会	2026/6/13	shinyhunters
hoodriversheriff.com | Blog	美国俄勒冈州胡德里弗县警长办公室	2026/6/15	safepay
Kedah	马来西亚吉打州政府	2026/6/16	Nova
saude.mt.gov.br	巴西马托格罗索州卫生秘书处	2026/6/17	LOCKBIT 5.0
idefeey.yucatan.gob.mx	墨西哥尤卡坦州	2026/6/18	LOCKBIT 5.0
gov.br	巴西联邦政府	2026/6/23	eraleign (apt73)
NSW Rural Fire Service	澳大利亚新南威尔士州乡村消防局	2026/6/26	Nova
The City of Boyne City	美国密歇根州博因市	2026/6/30	The Gentlemen