过去一年，我们一直在调查威胁行为者如何利用人工智能实施网络攻击。今天，我们分享一项新的分析，将这些真实世界的攻击映射到 MITRE ATT&CK® 框架——一个包含网络攻击者所用策略与技术的数据库。这样做揭示了一些模式，挑战了关于网络安全的传统假设——例如，威胁行为者带来的风险水平可以通过技术复杂度或技术广度等指标来评估。我们与 Verizon 合作，将其中部分结果纳入了 2026 年 Verizon 数据泄露调查报告（DBIR），并发布本报告，对我们所观察到的、由人工智能驱动的网络行动趋势进行更深入的分析。[1]
主要发现
在本研究中，我们分析了 2025 年 3 月至 2026 年 3 月一年间与恶意网络活动相关的 832 个账户。Anthropic 因这些账户违反我们的使用政策而禁止其使用 Claude。本分析中的账户只是我们在此期间调查并封禁的账户中的一部分；我们选择它们，是因为我们有足够关于其恶意活动的细节，能够将其技术映射到 MITRE ATT&CK 框架上。
我们分析的这 832 个账户，在框架涵盖的所有 14 种策略和 482 种独特子技术中都使用了 AI 模型，范围从最初的侦察到最终的影响阶段。[2] 我们还开发了一个风险评分框架（本文后面会介绍），用以评估 AI 辅助对这些行为者策划攻击的帮助程度。最引人注目的是，我们发现，在一年中的上半年和下半年之间，被标记为中等风险或更高风险的行为者比例从 33% 跃升至 56%。这表明，AI 正在帮助攻击者更轻松地实施日益复杂的网络行动。
我们的分析得出三个关键发现：
- 使用人工智能进行网络行动的行为者数量正在增长，他们的行动也带来了更高的风险。如上所述，中高风险行为者的比例在不到一年的时间里增加了约1.7倍，从我们研究窗口前半段的33%上升到后半段的56%。这种增长主要集中在那些利用人工智能进行最具危害性活动的行为者身上，包括横向移动、凭证转储和Web Shell——这些活动在我们的评分中具有最高的单个行为者风险权重，而非主导其余人群的普通构建与混淆工作。传统上，只有技术最精湛的行为者才能在整个杀伤链（即网络攻击的各个连续阶段）中行动。但我们的分析发现，情况已不再如此。他们访问模型的平台（例如API或像Claude Code这样的智能体编码平台）也与他们行动的风险高低无关。真正区分最高风险行为者的，是他们要求模型提供哪些技术。
- 智能体脚手架将使网络攻击能够实现更高程度的自主化。随着人工智能驱动的网络技术在这一群体中变得越来越普遍，根据行为者要求模型做什么来区分其风险水平将变得更加困难。相反，区分因素将变成脚手架——即行为者在模型周围构建的、使AI模型能力更强的外围代码、架构和工具——以便他们能够自主地将攻击阶段串联起来。这一点在我们于2025年11月挫败的网络间谍活动中表现得尤为明显，该活动的风险评分高达100，但所使用的技术数量却仅与中等风险行为者相当。那次攻击之所以与众不同，并非因为其采用的技术数量，而是因为攻击者如何利用一个AI智能体来协调这些技术。
- MITRE ATT&CK 框架目前尚未涵盖那些使这些攻击者如此危险的自主行动。自主杀伤链编排、实时决策转向，以及无需人工干预的 AI 驱动执行，在 ATT&CK 框架中还没有对应的 ID 编号。我们的报告包含了 13,873 条恶意活动观察记录，所有这些记录都能映射到该框架所设定的类别中——但那些区分最高风险攻击者、并决定其行动速度与规模的行为，目前还没有这样的 ID。现代威胁情报所依赖的分类体系需要发展，才能将这些行为纳入其中。
虽然 Claude Mythos Preview 展示了前沿 AI 网络能力的未来发展方向——即模型能够以接近最熟练人类研究人员的水平发现并利用漏洞——但这份报告告诉我们的是，威胁行为者如今是如何滥用通用可用模型的。同时，它也是一份指南，揭示了威胁行为者在不久的将来可能如何滥用能力日益增强的模型，从而让防御者有机会抢占先机。
我们从本次分析及其他分析中获得的经验，直接塑造了我们构建 Claude 以防止此类滥用的方式。例如，我们更新了内置于 Claude 中的分类器，以检测最高风险的攻击者，并扩展了我们的探针检测范围，以覆盖本次分析所揭示的高风险行为指标。这些发现描绘了一幅图景：低风险与高风险攻击者之间的分界线已不再是技术能力，而是编排能力；同时，我们所有人赖以依靠的防御措施、检测手段以及共享框架，都需要与它们所描述的威胁一样快速演进。
关于数据集
本报告中的发现基于 832 个账户，这些账户因违反我们使用政策中与网络相关的条款，于 2025 年 3 月至 2026 年 3 月期间被 Anthropic 封禁。我们通过自动化安全防护措施和威胁情报团队的调查相结合的方式识别出这些账户。针对每个账户，我们生成了所观察到的活动摘要。随后，我们提取了这些摘要中描述的战术、技术与流程（简称 TTPs），并将其映射到当时生效的 MITRE ATT&CK 框架版本（V18）上。总体而言，我们观察到了 13,873 个行为，涉及 482 种独特技术和全部 14 种 ATT&CK 战术。
我们根据一种新开发的方法论——即下文所述的 AI 风险赋能评分（ARiES），为每个行为者分配了 0 到 100 的风险评分（0 代表风险最低，100 代表风险最高）。我们对数据进行了匿名化处理，因此在后续分析中无法识别出具体的行为者身份。
LLM ATT&CK Navigator 与 ARiES 风险评分
作为本次分析的一部分，我们开发了 LLM ATT&CK Navigator：一个交互式框架，用于将观察到的 AI 赋能滥用模式映射到 MITRE ATT&CK 框架上，并为行为者分配 ARiES 风险评分。ARiES 是一个由三个信号构成的综合评分：行为者的威胁画像、模型对所请求危害的贡献程度，以及观察到的或潜在的影响。该评分基于行为者在 Claude.ai、Claude Code 以及我们 API 上的活动进行计算，并利用了我们的安全分类器以及开源和内部的威胁情报指标。评分越高，表明该 AI 赋能行为者的风险越高。
我们的框架从三个维度对单个技术和账户进行评分：
- 威胁（0–35 分）：评估行为者意图的清晰度、其技术复杂程度、威胁情报信号，以及该账户为逃避检测所采用的战术。技术复杂程度由 Claude 根据行为者的提示词和工具使用情况进行分级，衡量所需的专业知识水平、操作者技能、定制化与通用化工具的使用情况，以及能力深度。
- 脆弱性（0–35 分）：评估模型促成所请求危害的能力，以及所用接口的风险特征。程序化接口（即 API）和像 Claude Code 这样的智能体编码工具因具有自动化操作的潜力，得分最高。
- 影响（0–30 分）：通过我们的安全分类器分配的分数，以及调查人员对因 AI 参与操作而产生的实际或潜在后果的评估，来捕捉用户行为在现实世界中的影响。
综合来看，这些组成部分会产生一个从 0 到 100 的总风险评分，使我们能够将威胁行为者和技术分为低、中、高和严重风险等级。
关于评分公式的说明
网络威胁行为者如今如何利用 AI
我们对 13,873 种已观察到的技术进行的实证分析，揭示了对手在整个攻击生命周期中利用 AI 的清晰模式，以及当前模型最常被用于哪些常见技术。
AI 辅助的能力开发
我们观察到的最常见技术系列是 ATT&CK ID T1587（开发能力），在我们分析的 832 个行为者中，有 574 个使用了该技术，占比 69%。这种行为主要表现为 T1587.001（恶意软件开发），有 560 个行为者使用。在实践中，我们观察到威胁行为者滥用模型来构建和完善自定义脚本以运行、编写带有详细实现指导的 DLL 注入代码，以及进行画布指纹识别规避和自动化账户管理。
其次最普遍的技术是 T1027（混淆文件或信息），被 64.7% 的威胁行为者采用；T1005（来自本地系统的数据），被 55.9% 的威胁行为者采用；以及 T1562（削弱防御），被 54.9% 的威胁行为者采用。这些顶级技术共同表明，威胁行为者最常寻求大语言模型的帮助，以构建接触前的攻击工具、使这些工具更难被检测，以及从受感染系统中收集数据。
另一方面，行为者在进入目标网络后，使用大语言模型进行实时、自适应决策的可能性要低得多。例如，在 832 个威胁行为者中，只有 54 个（6.5%）使用模型进行横向移动，而使用模型进行 RDP、SSH 和 SMB 等远程服务的行为者不到 12 个。只有 22.5% 的行为者将大语言模型用于权限提升和影响阶段。
一些在现实网络攻击中常见的技战术系列——例如活动目录利用、Kerberos 票据攻击、云基础设施操控（AWS、Azure、GCP）以及容器逃逸——在该数据集中的代表性明显较低。
在我们研究的一年期间，顶级技战术以及行为者使用它们的频率变化不大。在该期间的前半段和后半段，模型被用于的技战术数量中位数均为 16。在一年期的后半段，我们观察到一个微妙的趋势性转变：威胁行为者使用模型来构建独立恶意软件或混淆脚本的情况减少，而更多地用于协助网络攻击中的特定操作阶段，以及用于目标上的发现和收集技战术。具体而言，我们观察到 T1087（账户发现）的出现次数增加了 8.9%，T1020（自动外泄）增加了 6.2%，同时 T1587（开发能力）减少了 12%，T1566（钓鱼攻击）减少了 8.6%。
人工智能辅助的防御规避战术
防御规避是数据集中最大的一类战术，存在于我们研究的 84.4% 的行为者行为中。MITRE 在“防御规避”下定义了 64 种技战术（涵盖其企业级和移动端专用框架）；我们在数据集中观察到了其中的 32 种技战术：25 种针对企业环境，7 种针对移动端。
在该战术类别中观察到的主要技战术包括：
- T1027（混淆文件或信息）。我们样本中 64.7% 的威胁行为者使用人工智能来实现诸如 XOR/base64 编码、多态变体和反检测封装等技术，以规避基于签名的检测。
- T1562（削弱防御）。54.8% 的受研究威胁行为者使用人工智能来绕过、禁用或篡改端点安全工具。
- T1055（进程注入）。30.3% 的攻击者使用 AI 编写可注入合法进程的恶意代码，例如进程镂空和 DLL 注入，从而在受信任的进程内存中执行载荷。
使用频率较低的战术包括影响（2.8%）、数据窃取（2.8%）、权限提升（2.4%）和横向移动（0.7%）。这些战术合计仅占所有观测数据的 8.7%——甚至低于防御规避一项。这些行动均发生在攻击生命周期的较后阶段，表明威胁行为者更多在攻击早期阶段使用模型，而在后期阶段使用较少——也就是说，一旦他们渗透进网络并在实时环境中适应情况后，使用量就会下降。在我们研究的一年期内，这一模式保持稳定。
高风险攻击者及其战术
尽管横向移动等战术在我们的数据集中出现频率低得多，但它们与最高的 ARiES 风险评分高度相关——这意味着风险最高的攻击者也是最有可能在网络攻击后期阶段使用模型的那批人。使用 AI 进行横向移动的攻击者，其风险评分平均比未以这种方式使用 AI 工具的攻击者高出 10.5 分。这表明，从使用 AI 准备网络攻击到使用 AI 在实时网络操作中采取行动，是 AI 赋能程度高的关键标志。
总体而言，风险评分最高的攻击者最密集地将 AI 用于入侵后的手动键盘操作技术，例如远程服务、凭证转储、Web Shell 部署以及内部网络和账户发现。横向移动是高风险攻击者最显著的标志：我们数据集中使用横向移动的 54 名攻击者，其平均风险评分为 56.4，比均值 46.8 高出近 10 分。没有其他技术具备如此强的预测能力。
在技术层面，最高风险行为者最常使用的技术是 T1021（远程服务：SSH/SMB）、T1078.003（有效账户）、T1003（操作系统凭据转储）、T1560（归档收集数据）和 T1505.003（Web Shell）。与整体人群相比，这些技术在最高风险行为者中的使用频率高出三到五倍。
与此同时，最普遍使用的战术（如防御规避和资源开发）以及通用技术（如凭证填充和鱼叉式网络钓鱼）在最高风险和最低风险行为者中的使用频率大致相同，考虑到这些战术极为常见，这一点并不令人意外。综合来看，数据表明，大多数威胁行为者正在攻击的准备阶段使用 AI 构建恶意代码等工件，而最高风险行为者则在攻击的准备阶段以及入侵网络后的实际操作中都在使用模型。
我们还发现，威胁情报团队通常用来评估威胁行为者的属性——例如其评估的技术能力、选择的界面或使用的技术数量——对于预测 AI 模型能为特定威胁行为者带来多大提升作用甚微。技术复杂度在从综合评分中剔除以避免循环论证后，与其余风险组成部分的相关性仅为 r = 0.28。事实上，完全移除这一特征后，排名前六的行为者顺序保持不变（在所有 832 个行为者中，斯皮尔曼相关系数 ρ = 0.96）。高风险尾部并非技术复杂度这一组成部分的产物。
技术覆盖广度与风险评分之间的相关性也仅为弱正相关（r = 0.27）。大多数行为者使用模型仅涉及少量技术——事实上，我们数据集中行为者的中位数部署了 16 种不同的 MITRE ATT&CK 技术——这种广度在五年前可能意味着一个资源充足、技术成熟的操作。
最后，界面选择也揭示了类似的情况——本研究中80%的行为者误用了Claude Code，使得智能体工具成为默认访问模式而非区分性特征，而仅限于对话界面、API或智能体编码工具的行为者，其风险画像在统计上趋于一致，无显著差异。
这告诉我们，从AI获得最大提升的恶意行为者，并不一定比其他行为者技术更精湛，也不一定使用编码工具或在杀伤链的多个环节使用Claude；相反，他们只是将Claude用于更多实操性技术。
实时利用行为者数量上升
如上所述，在AI赋能方面获得中高风险评分的行为者比例，从研究前六个月期间的约33.5%增长到后六个月期间的约56.1%——在不到一年内增长了1.7倍。这两个时期之间，该群体比例变化了约22.6个百分点：前六个月期间大多数行为者风险评分较低，而后六个月期间大多数行为者风险评分达到中等。
虽然威胁检测技术的改进可能促成了这一增长，但我们还看到越来越多的行为者要求模型执行更多操作性、网络内部的工作，这类工作过去仅出现在规模小得多的高风险行为者群体中。在研究后六个月期间，我们看到更多专业化行为者利用模型构建利用工具、C2基础设施和远程访问木马——但同时也看到更多低技能和中技能行为者不仅将模型用于准备性任务，还用于实时操作。我们从第一个六个月期间到第二个六个月期间观察到的T1087（账户发现）技术增长8.9%和T1020（自动外泄）技术增长6.2%，与此一致：频率增加的技术正是那些暗示行为者已进入网络的技术。
这对防御者意味着：具备 AI 能力的行动者群体不仅在扩大，而且在我们框架内正朝着风险最高的活动方向偏移，而行动者自身并不需要变得更熟练。如果这一趋势持续下去，这些操作技术将不再是一个区分因素，而会成为未来的基线——届时我们将需要找到新的方法来衡量风险最高的行动者。在下一节中，我们将讨论未来如何做到这一点。
AI 智能体时代的新颖性与复杂性
审视我们风险最高的威胁行动者也凸显出，仅基于攻击技术的数量、类型或广度来计算 AI 赋能网络行动的风险是不够的。我们还需要一种方法来理解威胁行动者能够构建的“脚手架”，以便将这些技术串联起来用于实时操作，从而使他们能够利用 AI 模型在无需人工干预的情况下自主执行网络攻击的绝大部分环节。
我们分析了策划我们于 2025 年 11 月报道的、代号为 GTG-1002 的 AI 赋能网络间谍活动的威胁行动者的行为。我们发现，该行动者达到了最高风险评分 100，成功入侵了多个国家的政府和关键基础设施目标，并开发了一套“脚手架”，将 Claude Code 用作自主操作者而非顾问。然而，其整体的 MITRE 档案——涵盖 13 种战术的 30 种技术——与该数据集中数十个中等风险行动者相当。中等风险行动者部署的技术中位数为 16 种；几个低风险行动者也超过了 30 种。换句话说，仅凭技术数量或战术类型无法解释为何 GTG-1002 成为我们迄今观察到的风险最高的行动者。
解释该行为体高风险评分的原因，在于其使用的日益智能化的组件：他们能够编排并串联多种技术手段，以达成自身目标。GTG-1002 将运行在 Kali Linux 机器上的 Claude Code 武器化，集成了作为 MCP（模型上下文协议）服务器的开源渗透测试工具——这实际上将 AI 从一个代码编写助手转变为一个自主攻击平台。AI 不仅建议命令或生成攻击脚本，还自主执行这些命令，并对攻击环境进行推理。他们“智能体化”程度的一些迹象，通过我们追踪的技术类型间接体现出来；GTG-1002 采用了诸如 T1021.004（远程服务：SSH）、T1210（远程服务漏洞利用）和 T1560（归档收集的数据）等操作技术。但主要的区别在于：
- 阶段内的自主执行：GTG-1002 部署了运行在 Kali 机器上的 Claude Code，自主编排了数十个 MCP 工具操作——在侦察阶段扫描并映射数十个面向互联网的服务，进入网络后则发现内部管理门户、数据库、日志服务器以及时间工作流系统。AI 不仅建议命令，还执行了这些命令，在无需等待操作员输入的情况下，就下一步探测目标做出战术决策。
- 实时漏洞利用与横向移动：在 GTG-1002 的框架内运行，AI 利用面向公众的 Web 服务器中的 SSRF 漏洞，将命令代理到内部云环境中；从内部基础设施中收集 SSH 私钥，并从云元数据服务和 AWS Secrets Manager 中获取服务账户令牌；然后利用这些收集到的凭证，在受害者的云环境中进行横向移动。这些操作阶段（发现 → 凭证访问 → 横向移动）在我们的数据集中较为罕见。
- 人类意图，AI执行：GTG-1002提供战略方向，而AI负责战术实施。该AI在侦察和内部发现阶段自主运行，在遇到容器镜像签名工作流和服务账户身份等未预料到的基础设施时调整了自身方法，并对数万条专有工作流记录和内部架构文档进行打包压缩以准备窃取。最终的数据提取——通过curl MCP工具调用下载至攻击者机器——由人类指挥，这表明操作者在将操作工作委托给AI的同时，保留了对关键决策的控制权。
GTG-1002的活动具有新颖性，因为它利用AI智能体自主地将网络攻击生命周期的多个阶段——侦察、利用、横向移动和数据窃取——串联成一次连贯的行动，并实时决定下一步行动以及收集哪些数据。这是技术频率表格无法捕捉的AI赋能提升维度，也是我们预计随着智能体工具日趋成熟而变得最为重要的维度。
我们如何利用Navigator来指导安全防护措施
本报告中的发现已经影响了我们检测、调查和阻断AI赋能网络滥用行为的方式。
首先，我们的风险评分显示，风险最高的行为者并不总是最引人注目或最活跃的——他们在所采用技术的类型和数量上往往显得普通，其区别在于如何编排AI来执行整个网络操作。我们正在相应更新检测系统，扩展分类器和探针以捕获与高ARiES评分相关的技术。同时，我们也在开发针对智能体滥用模式的检测信号，这些模式无法直接对应到MITRE框架，例如多步骤自主执行、AI驱动的转向决策，以及通过MCP服务器和类似接口进行的工具增强型操作。
第二，我们已在最先进的模型上部署了实时网络安全防护措施，能够在请求层面自动检测并拦截被禁止的活动（例如勒索软件开发或大规模数据窃取）。同时，我们现在将风险较高的双重用途行为——即网络攻击者和防御者都可能采取的行为——纳入我们的网络验证计划（CVP），使防御从业者能够继续在工作中使用我们的模型。
第三，通过“玻璃翼计划”，我们在向公众广泛发布最先进模型之前，先研究其网络攻击能力，以便在威胁行为者利用这些能力之前，了解AI网络能力的发展方向，并在此类滥用发生之前设计防护措施。
最后，继我们与Verizon合作完成《2026年数据泄露调查报告》之后，我们目前正与MITRE积极讨论，探讨ATT&CK框架应如何演进，以纳入我们在本次分析中观察到的AI原生操作行为。我们还持续与政府和行业合作伙伴共享技术指标、威胁行为者使用的战术、技术与程序，以及调查发现。
MITRE ATT&CK的新时代
最危险的攻击者如今正在利用AI来编排攻击，而不仅仅是构建支持此类攻击的工具，但威胁调查人员用于追踪威胁的框架尚未跟上这一变化。当低技能攻击者也能构建、指挥和操作专家级的攻击工具时，那些依赖攻击者具备高超技术能力的传统框架将失效。
从过去一年对此类活动的映射工作以及与Verizon的合作中，我们得出一个明确的教训：必须扩展我们共同的威胁词汇。MITRE ATT&CK框架记录了攻击者执行的单个技术手段，但那些区分最高风险攻击者与其他攻击者的行为——例如对整个攻击链的智能体编排，或自主选择目标——尚未被该分类体系所涵盖。
我们认为下一步是在 ATT&CK 框架中新增跨领域类别，帮助威胁调查人员识别那些将多种技术串联起来的智能体行为、自主行为以及决策行为。这将为防御者提供一套能够跟上攻击者在现实世界中运用 AI 工具步伐的术语体系。
与此同时，防御者显然需要以与攻击者同等的复杂程度和紧迫感来运用 AI，在组织之间共享威胁情报，并缩短从发现软件漏洞到完成修补的时间。作为整个行业，我们必须对不安全代码采取零容忍态度。过渡期将是艰难的。但是，如果行业、政府和社会各界以应有的紧迫感来对待当前时刻，我们相信，从长远来看，能力强大的 AI 系统对防御者的益处将超过攻击者：在新代码发布前发现漏洞，并让社会所依赖的系统更加安全。其结果可能是基础设施得到更好的防护，数字环境中的欺诈和滥用行为大幅减少。随着威胁形势的演变，我们将继续分享我们的发现。
脚注
[1] 对于 DBIR，我们提供了对 11 个月威胁行为者数据的分析，并在本报告中将其扩展为 12 个月的数据。
[2] 我们观察了来自 MITRE 的企业技术矩阵和移动技术矩阵中的子技术。企业技术占观察结果的 99%。