AI时代的攻防边界正在发生演变
在传统的网络安全评估中，我们习惯于关注系统是否被入侵、权限是否被提升或数据是否被窃取。然而，随着企业纷纷将大模型（LLM）集成到核心业务中，一种全新的风险形态正在显现。从我们的应急响应经验来看，攻击者往往不需要获取服务器的 Root 权限，仅需通过巧妙设计的输入，就能让 AI 做出违背系统初衷的决策。
近期，业界提出了一套针对 AI 系统的全新渗透测试框架，该框架的核心观点非常明确：AI 渗透测试不应仅局限于基础设施层面的漏洞，更应聚焦于“业务目标违规”。简而言之，如果攻击者能通过恶意指令让 AI 系统在执行任务时“走偏”，即便底层服务器安然无恙，这在业务层面也等同于系统已被攻破。
攻击链的重构：从基础设施到“意图操纵”
在传统架构中，攻击链通常遵循：侦察-漏洞利用-权限提升-横向移动。但在 AI 驱动的业务场景下，这一链路发生了显著变化。
该框架将 AI 渗透测试的攻击链划分为三个关键环节：攻击者影响路径、AI 治理的行为逻辑、以及最终的业务目标破坏。
这一环节是很多企业容易忽视的：攻击者无需修改模型权重，也无需窃取 API 密钥，而是利用“间接提示词注入（Indirect Prompt Injection）”技术。例如，攻击者可以在网页、邮件、日志或知识库中埋藏恶意指令。当 AI 系统通过检索增强生成（RAG）读取这些内容时，它会将这些恶意文本误读为“系统指令”，从而诱导模型执行错误操作。
场景化案例：SOC 助手是如何被“误导”的
为了更好地理解这一风险，我们可以参考安全运营中心（SOC）助手的场景。假设一个外部攻击者无法直接触达 SOC 平台，但他可以控制外部威胁情报源或钓鱼邮件内容。
当 AI 助手在分析这些被污染的日志或情报时，如果攻击者植入的指令成功生效，AI 可能会判定高危告警为“误报”，或者建议关闭关键工单、延迟威胁上报。这种“降级”处理行为，直接导致了安全防御体系的失效。从 Solar 的视角来看，这就是典型的业务目标违规——AI 不再是防御者的助手，反而成为了攻击者的“内应”。
Solar 团队的安全建议与实战经验
面对这种新型威胁，企业不能仅靠传统的防火墙和补丁管理。我们建议安全团队在评估 AI 系统时，应遵循以下思路：
首先，明确业务目标。在测试前，需定义 AI 系统的核心职责（例如：必须拦截恶意攻击、必须如实呈现告警）。所有测试应围绕“该行为是否导致了目标偏离”展开。
其次，建立分层防护机制。不要寄希望于单一的防御手段，建议采取四层防护策略：
- 传统基础设施防御：依然是基础，防止 API 劫持和数据泄露。
- 输入与检索控制：对进入 AI 系统的外部数据进行严格的清洗和边界检查。
- 行为监测：引入工具使用守则（Tool-use Guards）和输出校验，对 AI 的操作指令进行二次审计。
- 业务层守护：对于高风险决策，必须引入“人机协同”逻辑，即关键动作必须经过人工确认，并设置独立验证机制。
类似攻击近年来明显增加，AI 的随机性使得单一测试往往难以覆盖全面。我们建议在测试中采用多次重复实验的方法，记录威胁模型、提示词上下文及业务后果，以确保防御措施的有效性与可落地性。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com