人工智能已不再是网络攻击中的边缘工具；Google威胁情报小组于2026年5月发布的一份报告称，生成式人工智能正以工业化规模融入攻击者的工作流程，其使用如今几乎出现在攻击的大多数阶段。根据ITmedia AI Plus发布的文章，该小组首次发现，有威胁行为者试图使用一项在人工智能帮助下开发的零日漏洞利用。
该漏洞被用于尝试攻击一款开源网页管理工具，并会导致绕过双因素认证。更重要的是，它并非源于内存损坏等传统的执行错误，而是应用程序设计中的高级逻辑缺陷。这表明，能够读取上下文并进行推理的大型语言模型，可能有助于发现传统漏洞扫描工具一直无法察觉的逻辑错误。
问题不只在于人工智能，还在于获取人工智能的容易程度
文章称，已观测到的攻击主要依赖被接管或遭滥用的封闭模型商业账户。但开放权重模型的普及从另一个角度改变了这一局面：下载模型权重后，其使用受到开发方监控的程度会降低，发布者也很难撤回模型或在之后对其施加控制。
埃森哲日本网络安全业务负责人藤井大辅表示，封闭模型与开放权重模型之间的基本差异，在于开发者能够控制使用方式的程度。封闭模型通常结合了安全控制、账户记录、使用条款和活动监控。而开放权重模型可以被修改或重新训练，以削弱其拒绝有害行为的倾向，包括生成被称为“无审查”的版本。
攻击者并不一定要拥有当时最好的模型。据藤井介绍，即使是性能低于Anthropic和OpenAI封闭模型的模型，也能发现大量漏洞。而发现数十年来未被发现的深层漏洞可能需要更先进的模型，但以牟利为目的的犯罪分子通常更偏好能够快速、低成本攻击的目标。
对机构而言，实际发生了哪些变化？
这些发展并不意味着攻击会立即转变为完全由机器管理的全自主行动。藤井认为，目前占主流的使用方式仍是辅助人类，因为大规模运行先进模型需要图形处理单元以及有限且昂贵的服务器资源。目前更现实的用途是加速侦察：确定潜在网站、扫描大量目标，并找出能够迅速发动攻击的系统。
不过，侦察成本的降低可能会扩大目标清单。过去在经济上似乎不值得攻击的系统，如果能够自动收集相关信息，可能就会变得可以被攻击。其中包括金融和加密货币行业，以及人工智能公司自身。GTIG报告指出，人工智能同时已经成为先进的攻击驱动因素和高价值目标；研究人员发现了针对人工智能软件供应链的攻击，包括在人工智能代理的定制技能包中植入恶意代码，以及入侵连接多个大型语言模型的网关。
防御从假设入侵成功开始
文章最重要的实际结论是，将阻止每一次攻击作为保护计划的基础，已经不再现实。藤井建议采取入侵后减少损害的措施，例如制定业务连续性计划、保留数据备份，并通过微分段将网络划分为更小的区域。这些措施无法阻止每一次入侵，但旨在限制攻击者的扩散并加快业务恢复，这些都是应对勒索软件的已知原则。
减少公开暴露的信息也变得更加重要。模型能够收集细小的信号，例如在公开活动中披露的技术，或网页源代码的细节，然后拼接出关于机构环境的推测。藤井提出，防御性欺骗，即提供虚假信息以误导攻击者的推理，是一种可行选项。
管理补丁债务并谨慎使用人工智能
文章还指出了“补丁债务”问题：由于测试更新、制定流程以及应用后验证存在困难，未被处理的漏洞不断累积。藤井表示，日本企业可能尤其容易受到系统复杂性以及安装补丁前后流程所需时间的影响。他提到的趋势包括通过迁移到云端来减少需要打补丁的系统范围，以及使用人工智能加速测试和验证。
然而，使用人工智能进行防御也伴随着相应风险。如果机构将源代码或其环境数据发送给供应商，而该供应商随后遭到攻击，那么保护工具可能会转变为向攻击者提供信息的来源。因此，在构建利用人工智能进行漏洞扫描的环境之前，应确认数据存储地点，以及数据是否会被用于训练。文章称，在埃森哲客户中，对主权人工智能的关注正在增加；这种人工智能将工具置于机构自身的控制之下。
certi.news的编辑解读是：真正的变化并不是出现了完全自主的攻击，而是寻找可攻击目标和可利用漏洞的成本下降。这提高了运营韧性和减少信息暴露面的价值，同时也提高了主动扫描、渗透测试和红队演练的重要性。消息源确认，防御者拥有一项重要优势，即他们对自身环境有更广泛的了解；但能否利用这一优势，将取决于数据质量、信息共享控制，以及机构在攻击者抢先行动之前处理所发现问题的能力。