“攻击成本”的神话与现实

在“廉价智能”的时代，为什么成本依然重要

两周前，Anthropic 宣布 Project Glasswing，并向一小组发布合作伙伴（包括 Microsoft、Google 和 CrowdStrike），以及大约另外四十家关键基础设施组织，提供名为 Claude Mythos Preview 的模型的早期访问权限。Anthropic 表示，Mythos 危险到不足以公开发布。在公告前的数周内，它已经在所有主要操作系统和浏览器上浮现出了数千个零日漏洞，其中包括 OpenBSD 中一个已有 27 年历史的漏洞。¹ 市场的反应就像市场对“存在性新闻”所作出的那种反应：由于担心“AI 规模”的漏洞发现会把传统安全工具的工作流程商品化，主要网络安全厂商的股价最多下跌了 10%。² 同一天，财政部长 Bessent 和美联储主席 Powell 把美国最大银行的 CEO 们请进同一间屋子，讨论这件事。³

那么：Mythos 是网络安全行业的终结、还是一个全新时代的开始，抑或是执行得相当到位的 Anthropic 公关作品？我认为都不是。要看清原因，回到二十年前会有所帮助。

防御中最古老的理念

在2000年代中期，我在通用电气（General Electric）的安全团队工作，防守当时全国最大的防务工业基础供应商之一。我们一直围绕一个想法反复讨论，它塑造了我们所做的一切：提高攻击我们的成本。

这个理念属于一代防御者——比如我的同事 Richard Bejtlich 和 David Bianco，以及我后来会加入的 Mandiant 团队。他们认为完美的预防是不可能的，但防御仍然是一场你可以赢的游戏：只要把攻击成本抬得足够高，让你的对手知难而退、转而去做别的事情。⁴ Bianco 的痛苦金字塔⁵ 把这种直觉具体化了。某些入侵指示（IOC）几乎不需要攻击者为“规避它”付出成本；例如文件哈希（file hash）会随着单个字节的变化而改变。其他一些则代价昂贵，迫使攻击者更换工具（retool）、重新训练（retrain）或重建基础设施（rebuild）。你把它们推到金字塔越高的位置，攻击就会越痛苦，因此也就越罕见。

提高成本有很多形式。发布高保真度的指标，迫使攻击者更换工具包。暴露恶意软件家族，让对手不得不编写新的恶意软件。焚毁基础设施，使得命令与控制（command-and-control）不得不被重建。最好的例子是 Mandiant 的 2013 年 APT1 报告：它公开点名并揭露了一个中国的国家支持团体，公开到他们几乎不得不从零开始重新改造。此后多年来，APT1 都是“以经济学为基础的防御”的教科书式案例。

整个思路——快速发现、良好响应，让攻击者付出代价才能再次回来——建立在一个不言自明的假设之上：攻击者的工作很慢，而且依赖人力。侦察（Recon）要花上数周。开发漏洞利用（Exploit development）要花上数月。搭建基础设施需要资金和技术手段。如果你能让其中任何一项变得更昂贵，你就赢了。

Mythos 实际上改变了什么

Mythos（坦白说，过去十八个月里每一个有能力的模型）做的恰恰相反：它不提高成本，而是把成本直接打到地板以下。分析目标软件中的漏洞、探测 Web 应用中的未清理输入（unsanitized input）、搭建命令与控制（command-and-control）基础设施、编写钓鱼诱饵（phishing lure）：攻击者生命周期中每一个过去都要耗费时间和专门人才的阶段，现在都能以模型速度运行。

尽管 Mythos 正在吸引媒体关注，安全公司 Aisle 仍将 Mythos 的展示型（showcase）漏洞在一些小型、廉价、开放权重（open-weights）的模型上进行了测试，结果发现其中大部分基础分析是可重复的。他们测试的全部 6 个模型，都在三项测试中的至少一项里检测到了旗舰级 FreeBSD exploit，其中一款还具备 36 亿（3.6 billion）参数，成本大约是每百万 tokens 五美分（roughly five cents / million tokens）。他们的论点是：AI 网络安全能力是“锯齿状（jagged）”的；它不会随着模型规模平滑增长，而真正的护城河是围绕模型构建的系统与专业知识，而不是模型本身。⁶Mythos 与其说是一个拐点，不如说是对这样一种情况的印证：拐点早已在一代更便宜的模型中悄然发生了。

我觉得这种情况也开始在数据中显现了。基于 2025 年超过 50 万小时的事件响应工作，2026 年 Mandiant M-Trends 报告记录了全球中位数滞留时间从 11 天上升到 14 天——这是在过去十年中从 2015 年的 146 天持续稳步压缩之后，首次出现具有意义的回升。⁷ 更令人震惊的是：初始访问经纪人入侵一个环境之后、并将其交给第二级威胁行为者（通常是勒索软件运营者）的中位用时，从 2022 年超过八小时骤降到 2025 年的 22 秒。22 秒不足以让 SOC 分析师阅读告警，更不用说采取行动了。漏洞利用（Exploits）仍然连续第六年是首要的初始感染向量，占入侵的 32%；他们还记录了诸如 PROMPTFLUX 和 PROMPTSTEAL 这样的恶意软件家族——会在执行过程中途查询大语言模型，以规避检测。QUIETVAULT 凭据窃取器甚至会扫描已被入侵的机器，寻找本地的 AI 工具来对付其所有者。就 Mandiant 的说法而言，他们并没有把这一切都归咎于 AI。相反，他们明确表示，大多数泄露事件仍然来自人的失误和系统性故障，而不是 AI 能力。但随着被入侵成本持续下降，趋势线正在开始移动。

这些模型已经在18个月前后得到广泛应用，但攻击者是人类组织；他们会按照人类的时间尺度进行适应。必须重写作战手册、测试实战技法、对操作人员进行培训。未来几年，而不是过去的18个月，才是我们将看到成熟对手完全内化这些工具之后会发生什么的时刻。

防御者也能使用这些工具，而且他们确实在使用。乐观的解读是：防御者实际上更占优势——他们掌控自己的环境、遥测数据（telemetry）、基线（baselines），并且可以针对已知的良好状态持续运行模型。事实确实如此，这也是我认为 Mythos 不会终结我们的行业的原因。但这还低估了网络安全中一直存在的结构性不对称性——攻击者只需要找到一条通路就能成功；而防御者必须把所有通路都关闭。廉价情报会让寻找通路的成本大幅下降，而要关闭这些通路，仍然需要在人员、流程和技术方面进行协同变更。攻击者的成本曲线下降得比防御者更快。

但更深层的非对称性并不仅仅在于谁拥有更快的模型。关键在于谁能获得练习、迭代和学习的机会——而这正是 LLM 特别擅长的事。拥有廉价且快速“智能”的攻击者可以做到一天迭代一千次。他们可以尝试某种钓鱼（phishing）的变体，稍作调整后再试，探测另一条身份路径，从不同角度重新发起，再继续以机器成本推进、且没有人为瓶颈。他们几乎获得了无限的击球机会（at-bats）。相比之下，防御者主要是从真实事件和有限的仿真中学习。他们没有机会以同等精度在自己的环境中运行数千次现实的攻击，而且在攻击者做完之后，他们仍常常以一贯的方式找到漏洞。攻击者的迭代循环与防御者的学习循环之间的这种差距，正是 AI 最会拉大的地方。

拐点

在我职业生涯的大部分时间里，我们行业的共识大致是这样的：妥协（被攻破）不可避免，因此要投资于检测与快速响应。这是一个很好的理念。它促成了 CrowdStrike 和 Mandiant 这类公司的成长，并且为组织节省了大量资金与声誉。

但我认为，这套理念正在走到尽头。当攻击者的 OODA 循环从数周压缩到数秒时，“检测与响应”就变成了一场防守方无法可靠赢下的竞赛。这并不是因为工具不好，而是因为在人工做出决策之前，时间就已经走到了尽头。需要明确的是，防护（预防）一直都是一个重要的方向：EDR、邮件安全、WAF、MFA、补丁管理等。这里并不是说行业忽视了它。问题在于：防护门槛必须向前推进，从阻断已知的恶意特征，转向通过行为预测攻击者意图——而这属于与我们这个领域迄今尚未完全解决的、另一类工程问题。

这将如何影响我们正在构建的内容

在 Netwrix，我们一直专注于防护（预防），依托业界最强的数据与身份解决方案套件：identity governance、privileged access、directory security 以及 Data Security Posture Management。如今正在发生变化的是，我们如何使用这些产品收集的遥测数据（telemetry）。我们正大力推动预测（prediction）。

下面是它在实践中的样子。我们的 DSPM 平台会对客户环境中的敏感数据进行分类：有哪些数据、哪些数据处于暴露状态、谁拥有访问权限，以及哪些身份（identities）实际上接触过这些数据。在传统模式下，我们会先呈现该资产清单（inventory），然后在事后标记政策违规。

我们所构建的方向有所不同。当包含受监管 PII 或凭据(credentials) 的文件被一个此前从未接触过该数据类别的账户访问时，这种访问会格外显眼。再叠加一个近期升级的权限，或一个其角色本无理由去触及这类数据的身份（identity），那么这种组合就值得在它演变为数据外传（exfiltration）之前立即打断。每个信号单独来看可能都被允许，但合在一起就能描述行为背后的意图（intent）。

行为主体类型（actor type）几乎是次要的。特权管理员会话（privileged admin session）、被攻陷的服务账号（compromised service account），以及获得的权限范围超出其所有者意图的 AI 代理（AI agent），都可能在处理敏感数据集（sensitive dataset）时呈现相同的行为模式。我们的职责是识别这种模式，并在任何内容外流之前采取行动。

这就是我们认为在这个时代，“预测（prediction）”必须意味着的那种信号。要把它做到位，就要为合适的工作使用合适的模型。通用型 LLM（General-purpose LLMs）在对混乱的上下文进行推理方面表现非常出色，而在真正关键的地方，我们会大量依赖它们。与此同时，我们的研发（R&D）团队也在打造为特定使用场景而定制的模型，以贴合我们最擅长的用例。包括：对敏感数据访问是否符合某个身份（identity）的既定模式进行分类；以学习得到的基线（learned baseline）为参照，对异常行为（anomalous behavior）进行评分；在毫秒级别内决定是否撤销令牌（token）。这些任务的关键在于低延迟（latency）、确定性（determinism）以及合适的训练数据，而非仅凭广博的世界知识。两条工作路线都正在推进中。

二十年之后

Mythos 并没有改变“防御（defense）”是什么，但却改变了价格标签。过去对攻击者来说昂贵的事情——寻找漏洞、编写利用程序（exploit）、设计诱饵（lure）——现在都变得很便宜了。过去对防守方来说难到几乎无法做到的事情——在造成损害之前从行为中解读意图（intent）——终于变得有可能了。我们的任务，也就是整个行业的任务，是确保第二条曲线能够跟上第一条曲线。

参考资料

1. Anthropic，“Project Glasswing：为AI时代保护关键软件”，2026年4月。

2. Fortune，“Anthropic 为增强网络安全防御向部分公司提前提供 Claude Mythos 访问权限”，2026年4月7日。

3. The Hill，“Anthropic的 Mythos 让华盛顿特区和华尔街进入高度戒备”，2026年4月。

4. Richard Bejtlich，“面向攻击者工具的完整披露（Full Disclosure for Attacker Tools）”，TaoSecurity，2010年6月。 https://taosecurity.blogspot.com/2010/06/full-disclosure-for-attacker-tools.html

5. David Bianco，《The Pyramid of Pain》，Enterprise Detection & Response，2013年3月。 https://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html

6. Stanislav Fort，《AI Cybersecurity After Mythos: The Jagged Frontier》，AISLE，2026年4月7日。 https://aisle.com/blog/ai-cybersecurity-after-mythos-the-jagged-frontier

7. Mandiant，《M-Trends 2026》，2026年4月。