攻击面转移：从终端到边缘与云端
近期，安全领域发生了一系列值得警惕的态势变化。从我们的应急响应经验来看，攻击者的触角正在加速向“非传统终端”延伸。例如，Chaos恶意软件近期被观察到从传统的路由器和边缘设备，转向攻击配置不当的Linux云服务器。这一趋势表明，攻击者正利用边缘设备作为跳板，深度潜入企业内网。
此外，针对路由器的攻击活动依然活跃，如APT28利用路由器漏洞劫持流量，甚至篡改DHCP和DNS设置。这一环节往往是很多企业容易忽视的盲点，因为许多安全方案仍侧重于端点保护，却忽略了网络基础设施的脆弱性。
零日漏洞与自动化攻击的威胁升级
近期披露的“BlueHammer”Windows本地提权漏洞以及Adobe Acrobat Reader的长期在野利用，再次印证了零日漏洞的高危性。更令人担忧的是，自动化漏洞挖掘工具的发展正在缩短攻击周期。从我们的分析来看，类似Anthropic Claude Mythos这类大模型已具备辅助发现并构造零日漏洞的能力，这使得防御方的时间窗口被进一步压缩。
类似攻击近年来明显增加，攻击者不再依赖人力手动挖掘，而是通过AI辅助实现漏洞发现与利用的流水线化。这种“降维打击”要求企业必须建立更敏捷的补丁响应机制。
AI代理：被低估的“幽灵”攻击面
随着生成式AI在企业中的广泛落地，AI代理（AI Agents）成为了新的安全隐患。研究显示，大量AI代理在从未被使用的情况下仍保留着实时访问凭据，这与被遗弃的“僵尸服务账号”具有相似的风险，且更难被监控。
从我们的应急响应实践来看，企业往往将AI代理视为轻量级的实验项目，缺乏严格的身份治理和权限控制。当这些代理被植入恶意指令或利用提示词注入（Prompt Injection）进行攻击时，其造成的后果往往难以溯源。
供应链与社会工程学的演进
社交工程学依然是突破防线的利器。近期一起针对开源开发者的攻击事件中，攻击者通过模拟公司身份、虚构远程会议，诱导维护者安装恶意软件，进而向下载量巨大的npm包中注入恶意代码。
这种供应链攻击手法精准且极具迷惑性。我们建议企业不仅要关注自身系统的防护，更要对开发工具链、依赖包管理以及员工的日常协作流程进行严格的安全审计。
Solar应急响应团队安全建议
针对当前复杂多变的威胁环境，Solar团队提出以下核心建议：
- 强化边缘设备治理：定期检查路由器、网关等边缘设备的配置，及时更新固件，杜绝默认密码，并限制其管理接口的公网访问。
- 建立AI代理安全基线：将AI代理纳入身份治理体系，实施最小权限原则，并对代理的交互行为进行实时日志审计，防止权限滥用。
- 动态应对自动化攻击：在依赖自动化漏洞扫描的同时，引入“信任但验证”的机制，针对关键系统实施多层防御，不应仅依赖单一的IP声誉或传统特征库。
- 警惕凭据窃取：针对Cookie窃取等信息窃取木马，建议在关键业务端点部署更细粒度的网络监控，并推行设备绑定的会话凭据机制。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com