蓝队视角：攻击者如何利用AI与一次性基础设施

攻击者使用AI的真实方式

如果你负责维护Cloudflare WAF，每天大部分时间都在看来自不受控IP地址的请求——扫描器、机器人、测试登录表单的人，还有一小部分试图真正闯入的攻击者。许多蓝队成员都会问同一个问题：攻击者到底如何利用AI、本地模型和廉价云基础设施来攻击一家公司？

先给出核心结论：攻击者根本不需要复杂的AI流水线就能攻破一家公司。大多数成功的入侵仍然始于暴露的服务、弱认证、被盗凭证、存在漏洞的软件或可信第三方。AI改变的是某些环节的经济账——它能帮助操作者汇总侦察结果、生成钓鱼内容变体、推理工具输出，并以更少的人工步骤重复工作流。但AI无法消除对暴露面、有效身份或可利用漏洞的需求。

理解这个问题，可以用攻击者成熟度的三个层级来构建心智模型。

攻击者成熟度的三个层级

第一层：机会主义攻击者

这类攻击者追求最小投入、最快结果。他们可能租用一台VPS，搭配脚本、公开扫描器和一小组字典。如果用AI模型，通常跑在自己的笔记本或VPS上。

其基础设施极其简单：

[攻击者机器或VPS] --> [目标公司]

他们只关心能否得到响应，不关心构建持久化的作战环境。VPS可能用加密货币支付，但账户、邮箱、支付模式和访问习惯仍然可能留下指向真人的线索。

从防御角度看，这是最容易检测的画像。你通常会看到大范围扫描、反复登录尝试、异常请求速率、明显的工具指纹，以及来自托管商或数据中心ASN的流量。这一层级的有效控制措施包括：认证和敏感端点的速率限制、托管WAF规则和机器人管理、已知恶意基础设施的黑名单和信誉源、强MFA和凭证填充防护、扫描模式与异常请求量的告警。Cloudflare WAF在此特别有用，因为它可以在请求到达应用之前降低噪音——关键在于把WAF规则视为一层防护，而不是整个安全计划。

第二层：有组织的攻击者

这类攻击者更有耐心，也更有作战纪律。他们将自己的个人身份与攻击所用的基础设施分离，可能使用临时VPS实例、独立账户和用后即弃的基础设施。常见的概念分离如下：

[攻击者工作站：AI模型和工具]
        |
        | 加密或匿名访问
        v
[一次性VPS：网络中继或攻击主机]
        |
        v
[目标公司]

攻击者可能在本地运行AI模型，仅将VPS作为网络中继。或者，直接在VPS上运行较小的量化模型——尤其是当工作负载不需要GPU时。选择取决于成本、速度，以及他们希望自己的终端设备在多大程度上保持隔离。

这一层级的攻击者清楚：删除一台VPS并不能抹去所有痕迹。提供商记录、支付数据、上游网络日志、备份和ISP记录仍然存在。因此他们会尽量减少真实身份与攻击基础设施产生交集的节点。

对蓝队而言，源IP作为主要指标变得不那么可靠了。同一操作者可能使用不同地址，而不同行为者可能共享相同的托管网段。更有用的信号包括：来自不同源IP的相似请求序列、一致的TLS/HTTP/自动化指纹、侦察后针对登录/API/管理面的定向尝试、聚焦范围狭窄的短生命周期会话、技术上有效但上下文异常的凭证使用。在这个阶段，行为检测比静态黑名单更重要——你需要关联身份、设备态势、网络来源、请求模式和业务上下文。

「量化模型」指将训练好的神经网络权重从高精度浮点（如 FP16、FP32）压缩为更低比特表示（如 INT8、INT4）的技术。量化后模型体积显著缩小、内存占用下降、推理速度提升，代价是精度可能出现一定损失。对于有组织的攻击者而言，量化的意义在于：原本需要 GPU 才能运行的模型，经过量化后可以在普通 VPS 的 CPU 上以可接受的速度运行，从而避免租用昂贵的 GPU 实例，也降低在托管平台上留下明显算力采购痕迹的风险。这正是文中提到「直接在 VPS 上运行较小的量化模型——尤其是当工作负载不需要 GPU 时」的技术基础。类似的本地推理工具（如 llama.cpp、Ollama）进一步降低了部署难度，使得 AI 能力不再是资源雄厚者的专属，蓝队应将其视为常态化威胁环境的一部分。

第三层：成熟行为者

成熟行为者把基础设施视为一次性消耗品，把身份视为独立问题。他们不依赖单一VPS、单一支付方式或单一访问路径，可能使用并非直接拥有的基础设施，包括被入侵系统、通过中介获取的租用资源，或让归因更难的服务。其模型更接近：

[隔离操作环境]
        |
[中继或中介基础设施]
        |
[攻击主机或被入侵系统]
        |
[目标公司]

AI组件可能帮助分析、编排或文档化，但不是入侵的核心。核心仍然是耐心、有效访问、存在漏洞的依赖项，或者一个可以被欺骗的人。

这类行为者产生的明显指标更少。流量可能更慢、量更低、更具选择性。他们可能使用有效凭证、合法工具和看起来正常的协议。单条WAF规则几乎不可能阻止他们。最好的防御是结构性的：减少面向互联网的服务数量、对特权访问要求抗钓鱼MFA、实施最小权限和短生命周期凭证、监控身份异常而不仅是网络异常、在WAF/身份提供商/终端/邮件/云平台之间保持集中化日志、围绕行为链构建检测（侦察→认证→权限变更）。成熟攻击者并非不可见，只是通过单一孤立信号更难捕获——你需要跨越时间、系统和身份的上下文。

「抗钓鱼 MFA」指能够抵御实时钓鱼与中间人攻击的多因素认证机制，典型代表是基于 FIDO2/WebAuthn 标准的硬件安全密钥（如 YubiKey）或平台通行密钥（passkey）。传统基于 TOTP 验证码或推送通知的 MFA，在攻击者搭建反向代理钓鱼页面时可以实时转发验证码或诱导用户批准，从而被绕过。抗钓鱼 MFA 将认证绑定到具体网站的源（origin），攻击者的钓鱼域名无法获得有效的签名挑战响应，因此即使凭证被窃取，攻击者也难以完成认证。这也是成熟行为者最难突破的控制之一——当身份层被强绑定到硬件或平台密钥时，单纯窃取密码和会话令牌的攻击链会被打断，攻击者不得不转向终端入侵或供应链等成本更高的路径。

MCP和AI Agent在其中扮演什么角色

AI agent框架可以将语言模型连接到外部工具。在合法的安全场景中，这能帮助渗透测试人员执行侦察、整理发现并自动化重复工作。但在错误的人手中，同样的模式可以让操作者更快地处理工具输出和重复任务。

对防御者而言，关键点是：AI模型不是攻击本身，而是围绕攻击的加速器。如果你的应用没有暴露的弱点、没有薄弱的身份控制、没有值得窃取的数据，AI agent能做的也很有限。这就是为什么AI不应让你从基本功上分心——补丁管理、身份加固、最小权限、安全默认值、日志记录和事件响应仍然决定大多数结果。

MCP（Model Context Protocol）是 Anthropic 于 2024 年底提出并开源的协议，旨在为语言模型提供一种标准化方式来调用外部工具、数据源与服务。它把模型与工具之间的接口抽象为「客户端—服务器」模型：AI 应用作为客户端，工具或数据源以 MCP 服务器形式暴露能力（如文件读取、HTTP 请求、数据库查询、代码执行）。对攻击者而言，这意味着原本需要为每个工具单独编写胶水代码的流程，可以通过统一协议快速挂载各类能力，从而降低编排门槛、提高自动化程度。对防御者而言，MCP 服务器本身可能成为新的攻击面——它继承了挂载工具的权限，若配置不当（如过宽的凭证、可被提示注入劫持的工具调用），模型就可能被诱导执行非预期操作。因此围绕 AI agent 的安全审查，不仅要看模型输出，也要审计其可调用的工具集与授权边界。

对Cloudflare WAF工作的实际意义

WAF在减少自动化噪音和边缘执行规则方面表现出色，但作为对抗使用有效凭证和看起来合法流量、有耐心的攻击者的唯一控制手段，效果有限。务实的做法是把WAF用在其擅长的领域：过滤明显的自动化滥用、执行速率限制和机器人控制、保护已知的易受攻击路径、在合理场景应用地理/ASN/信誉规则、生成高质量日志供下游分析。

然后把这些日志连接到检测栈的其余部分。一个被阻止的请求有用；但一串被阻止的请求、失败登录、新设备注册和特权访问尝试的模式要有用得多。

比“这个IP背后是谁”更好的问题

对蓝队成员来说，最有生产力的问题通常不是“谁拥有这个IP”，而是：这串活动试图达成什么目标，哪个控制本应阻止它？

IP可以被更换，VPS可以被删除，AI模型可以在本地运行。但糟糕的身份卫生、暴露的服务、过度的权限和缺失的日志仍然是持久的弱点。集中精力让这些弱点变得昂贵到难以利用——这才是你的杠杆所在。