Rapid7 第三季度威胁情报报告揭示了漏洞利用速度前所未有的加快：攻击者现在平均在漏洞公开披露后的三天内就会发起攻击，其中 71% 的漏洞在公开披露后的第一周内即被利用。
关键漏洞竞赛与勒索软件的统治地位
数据显示，约 79% 的此类漏洞属于极高危类别，在安全界被称为“圣杯”（Holy Grail），因为它们允许在无需预先凭据或无需本地用户交互的情况下进行远程执行。这种加速使网络安全防御团队在应用更新和修补漏洞方面承受着巨大的时间压力，必须在漏洞演变为大规模入侵之前完成修复。
与此同时，勒索软件继续保持其作为全球最具破坏力和影响力的威胁地位；商业服务、制造业和医疗保健行业位列最易受攻击的目标榜首。美国是受攻击最多的国家，占记录攻击总数的 60%，其次是德国（7%），意大利和加拿大各占 5%。针对政府部门的攻击较上一季度显著增加了 15%。
主要勒索软件团伙与目标分布
在网络犯罪领域，两个主要团伙在成功攻击次数上名列前茅：“The Gentlemen”团伙声称对 342 起事件负责，紧随其后的是“Qilin”团伙，共 339 起。名单上的其他活跃组织包括“INC Ransom”（约 99 起攻击）、“DeadLock”（98 起攻击）以及“Krybit”（95 起已公布的攻击）。
网络行动中人工智能的实际情况
与技术界关于人工智能驱动的攻击者完全占据主导地位的炒作相反，报告结果显示，人工智能工具仅在所追踪的全部事件的 8% 中作为操作要素出现。分析表明，攻击仍由人类直接决策驱动；在所有记录的案例中，人类负责确定目标和执行机制，而人工智能的作用仅限于自动化攻击链的“中间战术阶段”，例如选择合适的技术、筛选目标以及在某一步骤失败时进行自动恢复。
Rapid7 指出，必须区分人工智能在漏洞发现和代码审计中日益加快的使用频率，与将其直接用于执行复杂攻击操作之间的区别，后者在实地数据中尚未表现为大规模现象。在此背景下，攻击者利用诸如多会话提示（Multi-session Prompting）等技巧来绕过人工智能服务模型中内置的保护机制和检测系统。
高级威胁活动与初始访问市场
报告监测到了 15 个不同的高级持续性威胁（APT）组织和网络间谍团伙的活动，主要集中在政府机构，以及国防、交通、媒体和能源部门。这包括与俄罗斯相关的组织（如 Sandworm 和 Void Blizzard）、中国组织（APT31）以及朝鲜的 Lazarus 组织，后者被记录使用了专门针对 Linux 环境且此前未被发现的恶意软件包，旨在攻击韩国的基础设施。
在“暗网”平台层面，初始访问代理（Initial Access Brokers）的活动持续占据主导地位。广告显示，他们提供的入侵路径从完整的银行凭据到企业网络内的永久立足点不等；超过 65% 的监测帖子专注于出售远程桌面协议（RDP）访问权限或内部网络访问权限，这为防御者监测未来的攻击向量提供了重要的早期预警指标。
这对网络防御团队意味着什么？
这一转变要求技术组织内部立即重新调整防御优先级，应对这一局势的要求可总结如下：
- 缩短漏洞处理时间：针对面向互联网的漏洞，每月的补丁模式已不再足够；新的平均时间（3 天）要求自动化应用更新并立即封锁暴露的服务。
- 监控人工智能 API 的使用：追踪网络内来自陌生设备或进程的 API 请求，以便及早发现对智能工具的任何未经授权的使用。
- 加固远程访问点：加强对 RDP 端口的监控并实施多因素身份验证，以防止初始访问代理利用网络并将其出售给勒索软件团伙。