区分高低风险的，不再是技术，而是编排

这篇里满是 T1587、横向移动、相关系数这种行话。不是安全背景也没关系，先记住下面这四个，后面全看得懂。

这事不是闭门自嗨。其中一部分结果已经写进了 2026 年的 Verizon DBIR（数据泄露调查报告，安全行业的年度权威报告）。样本是 2025 年 3 月到 2026 年 3 月这一年里，因为违反 Usage Policy 的网络安全条款被 Anthropic 封掉的账号；映射到当时在线的 MITRE ATT&CK V18 版本。

每个账号还被打了一个 0–100 的风险分，用的是新方法 ARiES（AI Risk Enablement Score）。数据已匿名化。

ARiES 把三路信号合成出来：攻击者的威胁画像、模型对「所请求的危害」贡献了多少、观察到的或潜在的影响。它综合一个账号在 Claude.ai、Claude Code、API 上的全部活动，配合安全分类器加内外部威胁情报算出来。分越高，这个被 AI 赋能的攻击者越危险。

威胁看意图明确度、技术老练度、威胁情报信号、躲检测手法（技术老练度由 Claude 根据 prompt 和工具使用打分）。脆弱看模型有多大能力促成危害、用的接口风险多高——程序化接口（API）和 Claude Code 这类 agentic 编码工具得分最高，因为最能自动化执行。影响看真实世界后果，由安全分类器加调查员评估。

为什么故意用加法，不用传统的乘法

传统网络风险公式是「威胁 × 脆弱 × 影响」，反映「这次假想攻击成不成」。乘法的毛病是：只要任何一项是零，整个分就归零。可红队想回答的是另一个问题——哪些涉 AI 的攻击者和技术，最值得防御方关注？

把 13,873 条观测铺开看，攻击者最常找 AI 帮的三件事很清楚：造攻击前的进攻工具、让工具更难被发现、从已攻陷的系统里捞数据。出现最多的技术家族是 T1587（能力开发，574/832 账号，其中恶意软件开发 560 个）。防御规避（defense evasion）是单一最大的 tactic 类别，出现在 84.4% 的账号行为里。

一个清晰的格局：早期用得重，进了网络反而不用

一旦真打进目标网络、要随现场环境随机应变，攻击者反而很少拿 LLM 做实时决策了。后期的几类 tactic 加起来才占全部观测的 8.7%，比单独一个「防御规避」还少。这个格局一整年都稳定。

后半年有个微妙偏移：造独立恶意软件少了（能力开发 −12%、钓鱼 −8.6%），帮具体作战阶段的多了——越来越多账号在让模型干「意味着已经进了网络」的活。

上面那些 T 编号到底是什么动作？下面把全文出现的攻击术语，一个个用大白话讲清。看不懂哪个，回这里查。

横向移动这类技术虽然占比很低，却跟最高的 ARiES 分高度相关。最高风险的那批账号，恰恰也是最可能拿模型干攻击后段活的人——远程服务、凭证窃取、部署 web shell、内网摸排。从「用 AI 备战」跨到「用 AI 在活的网络里动手」，是高 AI 赋能的关键标志。

这篇最反直觉的结论：威胁情报最爱用的几个指标，全是弱预测因子

威胁情报团队平时最爱用来评估攻击者的那几个属性——技术水平、用什么接口、用了多少招——都是「AI 给这个攻击者多大助力」的弱预测因子。

一句话总结：从 AI 那儿拿到最多助力的恶意分子，不一定技术更老练，也不一定用编码工具、不一定在 killchain 多个环节都用 Claude；他们只是单纯地把 Claude 用在了更多「上手操作型」的技术上。照这个趋势，这些作战型技术明天就会变成基线，到时候得换一套新办法去衡量最危险的攻击者。

红队复盘了 2025 年 11 月那起 AI 网络间谍战的攻击者，代号 GTG-1002。它成功攻陷了多国的政府和关键基础设施目标。但光看技术数量或 tactic 类型，根本解释不了它为什么是迄今观察到的最高风险账号——它的画像跟数据集里几十个中风险账号差不多。

最危险的攻击者现在是在用 AI 编排攻击，而不只是造能促成攻击的工具；而威胁调查员追踪威胁靠的那套框架，还没跟上。MITRE ATT&CK 捕捉的是单个技术，但区分最高风险账号的那些行为——对整条 killchain 的 agentic 编排、自主选目标——这套分类法还装不下。

红队认为下一步是给 ATT&CK 加跨技术的新类目，帮调查员识别那些「把多个技术串起来」的 agentic、自主、决策型行为。这些发现也已经在反过来改 Anthropic 自己的防护，四条：