XIA LEI 
为什么 AI 智能体改变了安全格局
传统攻击者会疲倦、会犯错，一次只能盯住少数目标。AI 智能体则不同。它们能设定目标、浏览网页、调用工具、编写代码，并不断尝试直到成功。这让它们成为出色的助手——但落入坏人之手，也会成为不知疲倦的攻击者。
在之前的文章中，我讨论了云端的 AI 对决 AI，以及智能体如何被用于攻击政府。本文是实用的续篇：一份真正可以落地的防御指南，无论你经营小企业、开发软件，还是只想保护自己的账户。
> 本文面向防御者，仅在高层次上说明攻击方式，重点在于预防。
AI 智能体的四种攻击方式
1. 极速侦察
智能体可以在几分钟内摸清一家公司：社交媒体上的员工姓名、邮箱格式、暴露的登录页面、旧子域名、泄露的密码和过时的软件版本。
2. 个性化钓鱼与语音诈骗
每条信息都可以独一无二，语气恰到好处，还会提到真实的项目或同事。语音克隆更让"老板紧急来电"类骗局真假难辨。
3. 自动化探测与撞库
智能体会用泄露的密码反复尝试登录、测试表单漏洞，并在被拦截后调整行为——更换地址、放慢速度，伪装成真人。
4. 劫持你自己的 AI 智能体
这是最新的威胁。如果你使用的 AI 助手会读取邮件、网页或文档，攻击者可以在这些内容中藏入指令——这种手法称为提示词注入。助手可能因此泄露数据、发送信息，或执行你从未要求的操作。
第一层：锁好大门（身份安全）
大多数 AI 驱动的攻击最终仍要面对登录界面，让它成为最难攻破的一环。
- 使用通行密钥或防钓鱼的多因素认证（安全密钥、验证器应用）。短信验证码聊胜于无，但可能被拦截。
- 绝不重复使用密码。 密码管理器让这件事变得轻松，并能有效抵御撞库。
- 限制登录尝试次数，失败后逐步增加等待时间。
- 对异常登录发出警报——新国家、新设备、不可能的行程。
- 及时删除旧账户，员工或承包商离职后立即处理。
第二层：缩小攻击者能看到的范围
智能体的能力取决于它能收集到的信息。
- 审查你的公开足迹：被遗忘的测试网站、旧管理页面、公开文件链接和暴露的文档。
- 保持软件更新。 智能体会优先扫描已知漏洞，因为这是成本最低的突破口。
- 在公开页面隐藏版本号和详细错误信息。
- 留意员工公开分享的内部工具和流程信息。
第三层：识别并减缓自动化流量
你无法拦截所有机器人，但可以让攻击变得昂贵。
- 限制频率：登录、注册、联系表单、搜索以及任何高成本功能。
- 使用网站防火墙或机器人管理服务，依据行为而不仅仅是 IP 地址进行判断。
- 关注人类不会产生的模式：数百次表单尝试、完全规律的时间间隔、按顺序抓取每个页面。
- 保护高成本操作（发送邮件、生成 AI 内容、创建账户），增加额外校验，防止攻击者让你的账单暴涨。
第四层：让你自己的 AI 智能体更安全
如果你的企业使用 AI 助手或将其集成到产品中，请把它当作一位乐于助人却极易上当的新员工。
- 最小权限。 只给智能体真正需要的权限。负责总结邮件的助手不应能够转账或删除文件。
- 把智能体读取的一切视为不可信。 网页、邮件、PDF 和用户上传的文件都可能藏有指令。
- 高影响操作需人工批准。 付款、删除数据、对外发送邮件和修改权限都应由人点击"批准"。
- 在 AI 之外执行规则。 不要依赖一句"不要泄露客户数据"的提示词，真正的限制应放在系统本身——权限、数据库规则，以及允许访问的网站白名单。
- 让密钥远离模型。 API 密钥和密码应保存在服务器端，绝不出现在对话中。
- 记录智能体的每一个操作，以便审查和回滚。
- 像攻击者一样测试它——在别人之前先尝试诱骗它。
第五层：针对 AI 时代的骗局培训员工
技术有帮助，但人始终是最后一道关卡。
- 通过第二渠道核实紧急请求。 如果"CEO"来电要求转账，先挂断，再拨打已知号码回电。
- 与家人或团队约定暗号，用于紧急情况，以识破语音克隆。
- 当信息制造紧迫感时，放慢节奏。 紧迫感是攻击者最爱用的工具。
- 举报，而不只是删除。 一封被举报的钓鱼邮件可以保护整个团队。
第六层：为万一失守做好准备
假设迟早会被攻破，并尽量缩小影响。
- 备份重要数据，并至少保留一份离线副本，定期测试恢复。
- 隔离系统，让单个被攻破的账户无法触及一切。
- 制定简单的应急预案：联系谁、如何锁定账户、如何通知客户。
- 也用 AI 来防御。 现代安全工具利用 AI 发现异常行为，速度远超任何人工团队。
快速清单
| 领域 | 本周就做 | |
|---|---|---|
| 账户 | 在所有地方开启通行密钥或应用式多因素认证 | |
| 密码 | 改用密码管理器，消除重复使用 | |
| 网站 | 为登录和表单添加频率限制 | |
| 软件 | 安装所有待处理的更新 | |
| AI 工具 | 检查每个助手能访问什么，并移除多余权限 | |
| 人员 | 约定紧急付款请求的核实流程 | |
| 恢复 | 测试从备份中恢复 |
结语
AI 智能体并没有发明全新的攻击方式，而是让旧手法变得更快、更便宜、规模更大。好消息是，同样的基本功依然有效：牢固的身份认证、更小的攻击面、合理的限制、对自有 AI 的谨慎授权、警觉的员工，以及经过测试的恢复计划。
现在就建立这些防线，攻击型智能体会发现你是一个缓慢、昂贵且毫无回报的目标——这正是你想成为的样子。
