Anthropic LLM ATT&CK Navigator：832 个恶意账号揭示 AI 正把网络攻击推向 Agentic 编排

一、文章背景：把真实 AI 滥用映射到 MITRE ATT&CK

Anthropic 在过去一年持续调查 threat actors 如何把 AI 用于网络攻击。这篇文章发布了一项新分析：把真实世界中的 AI-enabled cyber attacks 映射到 MITRE ATT&CK framework。MITRE ATT&CK 是网络安全行业常用的攻击者 tactics、techniques 与 procedures 数据库。

Anthropic 表示，这项映射揭示了一些挑战传统安全假设的模式。过去安全团队常用攻击者技术水平、技术覆盖广度等指标评估风险；但 AI 正在改变这些指标的有效性。Anthropic 也与 Verizon 合作，把部分结果纳入 2026 Verizon Data Breach Investigation Report，并在本文中给出更长形式的分析。

二、样本：832 个恶意账号，13,873 次行为，482 个 sub-techniques

本研究分析了 2025 年 3 月至 2026 年 3 月一年间与恶意网络活动相关的 832 个账号。这些账号因违反 Anthropic Usage Policy 被封禁。它们只是 Anthropic 调查并封禁账号中的一个子集；选择这些账号，是因为 Anthropic 对其恶意活动有足够细节，可以把技术映射到 MITRE ATT&CK。

这 832 个账号使用 AI 覆盖了 ATT&CK framework 中全部 14 个 tactics 和 482 个唯一 sub-techniques，从初始侦察一直到最终 impact。Anthropic 总共观察到 13,873 次恶意活动。

Anthropic 还设计了一个风险评分框架 ARiES（AI Risk Enablement Score），用于衡量 AI 对攻击者 planning 和 execution 的帮助程度。最醒目的结果是：被标为 medium risk 或更高风险的 actors 比例，从研究期前半段的 33% 左右上升到后半段的 56% 左右。这说明 AI 正帮助攻击者更容易执行复杂网络行动。

三、三个关键发现

第一，使用 AI 做网络行动的 actors 数量在增长，而且行为风险更高。medium/high risk actor 比例不到一年增长约 1.7 倍。增长集中在 lateral movement、credential dumping、web shells 等危害更大的活动，而不是普通 build-and-obfuscate 工作。传统上，只有技术最成熟的攻击者才能覆盖完整 killchain；Anthropic 发现这一点正在变化。

第二，agentic scaffolding 会让网络攻击变得更自主。随着 AI-enabled cyber techniques 在攻击者群体中普及，仅看他们向模型请求什么，越来越难区分风险水平。真正的差异会来自模型周围的 scaffolding：攻击者围绕模型搭建的代码、架构和工具链，使模型能把多个攻击阶段自主串起来。

第三，MITRE ATT&CK 还没有覆盖让这些 actors 变危险的 autonomous actions。自主 killchain 编排、实时 pivot 决策、无人类介入的 AI-directed execution，目前都没有 ATT&CK ID。Anthropic 的 13,873 条 observations 都能映射到现有框架，但区分最高风险 actors 的行为本身还缺少标准 taxonomy。

四、ARiES：AI Risk Enablement Score 如何构成

Anthropic 开发了 LLM ATT&CK Navigator，用于把观察到的 AI-enabled misuse patterns 映射到 MITRE ATT&CK，并为 actor 分配 ARiES 风险分。ARiES 是一个综合分数，来自三类信号：actor 的 threat profile、模型对请求伤害的贡献、以及观察到或潜在的 impact。

具体包括三部分：Threat 0-35 分，评估意图清晰度、技术成熟度、威胁情报信号和规避检测的 tactics；Vulnerability 0-35 分，评估模型 enable harm 的能力和接口风险，API 与 Claude Code 这类 agentic coding tools 因自动化潜力得分较高；Impact 0-30 分，捕捉真实世界影响，包括安全分类器分数和调查员对 AI 参与后果的判断。

Anthropic 特意采用加法而非传统 Threat × Vulnerability × Impact 乘法。原因是它想回答“哪些 AI-involved actors 和 techniques 最值得 defenders 关注”，而不是预测攻击是否一定成功。加法能保留每一维信号：即使没有明确 intent，模型也可能给潜在攻击提供实质能力；即使还没有受害者，恶意 actor 用 AI 成功开发有害软件也值得早期检测。

五、今天的攻击者如何使用 AI

最常见的 technique family 是 T1587 Develop Capabilities，被 574/832 个 actors 使用，占 69%。其中主要表现为 T1587.001 Malware Development，被 560 个 actors 使用。实践中，攻击者让模型构建和改进自定义脚本、写 DLL injection 代码、实现 canvas fingerprinting evasion 和自动化账号管理。

其他高频 technique 包括 T1027 Obfuscated Files or Information（64.7%）、T1005 Data from Local System（55.9%）和 T1562 Impair Defenses（54.9%）。这些说明，多数攻击者今天仍主要把 LLM 用于攻击前准备：构建 offensive tooling、让工具更难检测、从受害系统收集数据。

相反，攻击者较少在进入目标网络后让 LLM 做实时 adaptive decision-making。例如只有 54/832 个 actors（6.5%）用模型做 lateral movement，少于 12 个 actors 用模型处理 RDP、SSH、SMB 等 remote services。只有 22.5% 的 actors 在 privilege escalation 和 impact 阶段使用 LLM。

六、高风险 actors 的真正特征：post-compromise hands-on-keyboard

虽然 lateral movement 这类 tactics 在样本中不常见，但它们与最高 ARiES 风险分高度相关。使用 AI 做 lateral movement 的 actors，平均风险分比不这样做的 actors 高 10.5 分。这说明，从用 AI 准备攻击，转向用 AI 在真实网络操作中采取行动，是高 AI enablement 的关键标志。

最高风险 actors 最重度使用 AI 的地方，是 post-compromise、hands-on-keyboard techniques：remote services、credential dumping、web shell deployment、internal network and account discovery。具体 technique 层面，T1021 Remote Services、T1078.003 Valid Accounts、T1003 OS Credential Dumping、T1560 Archive Collected Data 和 T1505.003 Web Shell，在最高风险 actors 中出现频率是整体群体的三到五倍。

Anthropic 还发现，传统 threat intelligence 常用的属性——技术水平、接口选择、技术数量——对 AI 带来的 uplift 预测力很弱。技术成熟度与其他风险组件相关性只有 r=0.28；technique breadth 与风险分相关性也只有 r=0.27。80% 的样本滥用 Claude Code，使 agentic tooling 成为默认访问方式，而不是高风险 actors 的专属特征。

七、live exploitation actors 正在增多

研究期后半段，medium-risk 或更高风险 actors 比例从约 33.5% 上升到约 56.1%。Anthropic 承认，改进后的威胁检测技术可能贡献了一部分增长；但同时也观察到，越来越多 actors 要求模型做更 operational、in-network 的工作，而这些过去通常只出现在更少数高风险 actors 身上。

例如，第二个六个月期间，T1087 Account Discovery 出现次数增加 8.9%，T1020 Automated Exfiltration 增加 6.2%。这些 technique 意味着 actor 已经进入网络。Anthropic 的结论是：AI-enabled actors 不仅数量在增长，也在向更高风险活动漂移，而不要求 actor 自身技术水平同步提升。

八、GTG-1002：为什么 technique count 无法解释最高风险

Anthropic 特别分析了 2025 年 11 月披露的 AI-enabled cyber espionage campaign actor GTG-1002。该 actor 风险分达到 100，成功入侵多国政府与关键基础设施目标，并开发 scaffolding，把 Claude Code 当成 autonomous operator 使用，而不是普通代码助手。

有意思的是，GTG-1002 的 MITRE profile——30 个 techniques、13 个 tactics——和一些 medium-risk actors 差不多。许多低风险 actors 也超过 30 个 techniques。因此，technique count 不能解释它为什么成为 Anthropic 观察到的最高风险 actor。

真正差异在 agentic components。GTG-1002 在 Kali Linux 上运行 Claude Code，把开源渗透测试工具作为 MCP servers 集成，几乎把 AI 变成 autonomous attack platform。AI 不只是建议命令或生成脚本，而是执行命令、理解攻击环境、在 reconnaissance 和 internal discovery 中自主决策。

九、Anthropic 如何据此更新防护

Anthropic 表示，这些发现已经改变其检测、调查和中断 AI-enabled cyber misuse 的方式。

第一，更新检测系统。最高风险 actors 往往不是最“吵”或技术数量最多的人，而是能编排 AI 执行完整网络行动的人。Anthropic 正扩展 classifiers 和 probes，捕捉与高 ARiES 分相关的 techniques，也在开发不容易映射到 MITRE 的 agentic misuse signals，如 multistep autonomous execution、AI-directed pivot decisions 和通过 MCP servers 的 tool-augmented operations。

第二，Anthropic 已在最强模型上推出 real-time cyber safeguards，在 request level 自动检测和阻断 ransomware development、mass data exfiltration 等禁止活动；同时把更高风险的 dual-use 活动路由到 Cyber Verification Program，让 defensive practitioners 能继续使用模型。

第三，Anthropic 通过 Project Glasswing 在最强模型开放前研究其 offensive cyber capabilities，以便提前理解 AI cyber capability 的方向，并在滥用发生前设计 safeguards。

十、新时代的 MITRE ATT&CK 与防御挑战

文章最后指出，最危险 actors 正在使用 AI 编排攻击，而不只是构建攻击工具；安全调查者依赖的 framework 还没有跟上。依赖 actor 技术成熟度的传统框架，在低技能 actor 也能构建和操作 expert-level harnesses 时会失效。

Anthropic 认为，MITRE ATT&CK 需要增加新的 cross-cutting categories，帮助威胁调查者识别 agentic、自主、决策型行为如何把多个 techniques 链接起来。

同时，defenders 必须以和 attackers 同样的成熟度与紧迫感使用 AI，组织之间要共享 threat intelligence，并缩短从发现软件漏洞到修补漏洞的时间。Anthropic 承认过渡期会很困难；但如果产业、政府和 civil society 认真对待这一时刻，强 AI 系统长期可能更有利于 defenders：在新代码上线前发现 bug，让社会依赖的系统更安全，减少数字环境中的欺诈和滥用。