Cisco Talos警告称，自主AI Agent将不再局限于高噪声的漏洞扫描，转而成为隐蔽、持久的攻击者。外界的担忧并非仅停留在AI能更快发现安全缺口这一层面。
真正的风险在于，多组Agent可学会隐藏行踪、共享探测结果，持续渗透直到触及核心敏感系统。
在10月7日发布的分析报告中，Cisco Talos研究人员Jerzy “Yuri” Kramarz指出，AI攻击正从类似常规渗透测试的高可见度活动，转向以隐蔽为核心特征的攻击模式。
本次预警重点聚焦攻击者筹备、指挥Agent的方式，并非公布新的恶意软件家族，也不是确认已有攻击活动完整运用了报告中提及的所有技术。
Cisco Talos研究人员指出，自主Agent已经对公共基础设施发起过攻击，涉及目标包括Hugging Face、DSEWiki和RubyGems。
不过本次报告并未识别出特定的恶意软件样本。Kramarz认为，当前的AI攻击通常会产生足够明显的异常，容易被防御方察觉，但如果攻击者为Agent植入规避检测的指令，这类攻击的可见度会大幅降低。
Part01
Agent可开展隐蔽协同渗透
简单下达入侵企业的指令，和预置完备的攻击工作流存在本质区别。Talos指出，攻击者会为Agent提供工具映射、攻击性提示词、Markdown操作指南、agents.md文件，以及面向特定任务的skills。这些资源可帮助Agent选择合适的工具，研判探测结果与新获取的访问权限价值。
这种模式与此前曝光的自主AI凭证窃取事件逻辑一致：在该事件中，攻击者预置的操作手册引导Agent完成扫描、敏感信息收集、故障排查、地址修改等全流程动作。这起独立事件证明了预置指令的实际作用，但并不能说明Talos预测的高隐蔽性攻击已经大规模普及。
Talos梳理了Agent可能的入侵路径，包括伪造员工身份资料、提交虚假入职申请、利用未修补漏洞、发送钓鱼发票等。多个Agent可同时沿这些路径发起渗透，互相共享探测到的信息。它们还能根据环境变化动态调整攻击策略。Kramarz指出，这种模式可将原本红队需要数月完成的工作压缩到数小时，不过报告并未提供受控环境下的性能基准测试数据支撑这一结论。
这类攻击与此前活动的核心区别在于隐蔽性。Talos表示，此前针对RubyGems的攻击活动特征非常明显：滥用平台注册机制、植入恶意软件包、发送垃圾邮件，短短几天就会引起防御方注意。而红队攻击的目标是在不触发安全运营中心告警的前提下，获取持久访问权限。如果攻击者训练Agent时将隐蔽性置于攻击速度之上，就会大幅减少防御方当前依赖的检测信号。
目前自动化AI渗透测试工具已经证明，软件可以自主串联资产探测、漏洞验证、报告生成全流程。Talos本次预警针对的是这类技术的恶意用途：攻击者将类似的自动化能力用于获取隐蔽访问权限、实现持久化控制，而非在约定范围内开展经授权的安全评估。
Part02
防御需突破网络边界局限
Talos建议企业制定经过演练的事件响应预案，明确各环节负责人、决策权限、备用通信渠道，以及对接法务团队和执法机构的流程。安全团队还应开展专项演练，覆盖凭证窃取、AI模型权重被盗、Agent通过邮件和社交平台冒充员工等场景。
防御方需要梳理完整的攻击路径，不能仅关注对外开放的端口。Talos举了一个典型攻击路径示例：攻击者从外部交换机切入获取初始立足点后，可逐步渗透服务器、应用、数据库、Active Directory及用户账号。这一攻击路径的最终目标是获取企业存储的客户数据。开展失陷假设演练，可以帮助企业明确攻击者在获取初始立足点后能触达的范围，包括滥用Windows设备组策略实施横向移动的风险。
身份管控范围不能仅覆盖VPN访问，还要延伸到内部应用、单点登录系统和Linux设备。Talos建议优先采用FIDO2安全密钥或通行密钥（passkeys），替代短信验证和推送验证方式。这种管控方式的目标，是避免单个凭证被盗后导致整个环境失陷，同时支撑对受影响用户和系统的快速隔离。
可见性建设必须覆盖端点、内网流量、DNS活动，以及可访问企业数据的AI应用。针对恶意AI Agent skills的相关研究解释了为什么这类扩展组件需要重点审查：受信任的编码Agent可能继承恶意指令，在拥有本地敏感信息访问权限的情况下执行恶意代码。
早期检测仍然十分关键。Talos指出，当前阶段，Web攻击和脚本化请求的突发增长是有效的告警信号。随着Agent行为不断演化，安全团队需要关联身份、端点和网络三类证据，不能仅依靠攻击流量规模判断威胁。
失陷指标（IoCs）：
注：文中涉及的IP地址与域名均已做去尖处理（例如将.替换为[.]），防止意外解析或跳转。仅可在MISP、VirusTotal或企业内部SIEM等受控威胁情报平台中恢复原始地址。
参考来源：
Cisco Talos Warns Autonomous AI Agents Could Turn Pentests Into Stealthy Red Team Attacks
https://cybersecuritynews.com/autonomous-ai-agents-2/