网络安全观察日报｜AI成攻击面

一、开篇暴击：今日最荒诞的一幕

今天最讽刺的画面来了：Anthropic 一边高喊「AI安全」的口号，一边自己的品牌成了全网最好用的钓鱼诱饵。据 DarkReading 报道，一批以 Anthropic 为主题的钓鱼邮件，竟然绕过了主流安全工具的检测——注意，是「绕过顶级安全工具」，不是骗骗小白那么简单。

更绝的是同一张报纸的另一面：Claude 模型已经被证实能在主流浏览器和操作系统上跨平台构建 Exploit。翻译成人话：昨天还在实验室里讨论「AI能不能写漏洞利用」的学界争辩，今天已经变成了工程实践。

安全公司最怕什么？怕自己的名字变成攻击载荷。Anthropic 现在体会到了——你越是可信，你的牌子越好骗。这大概就是「信任的诅咒」：你花十年建立的品牌信誉，攻击者一个邮件模板就白嫖走了。

二、最被高估的事：SBOM 不是护身符，是购物小票

供应链攻击频发，全行业开出的万能药方是什么？SBOM——软件物料清单。仿佛有了清单，供应链就安全了。

醒醒。DarkReading 今天的文章把话说得很直白：SBOM 单独根本无法揭示供应链攻击的全貌。

道理其实简单到令人尴尬：SBOM 告诉你「这个软件里有哪些组件」，但它不告诉你这些组件「正在被谁、以什么方式、在哪个环节」被篡改。清单是静态的快照，攻击是动态的过程。你拿着三年前的超市小票，想查明今天的食物为什么有毒？

更可笑的是 SBOM 的合规化狂欢——监管部门把它当 KPI，厂商把它当 checkbox，采购方把它当交差文档。一张 XML 文件填完了，供应链安全就算「做了」。至于 GitHub 上 GhostAction 那种攻击浪潮——表面上「fizzle」（哑火了），但攻击者根本没走，还潜伏在仓库里等下一波。你猜 SBOM 能发现这种「人还在、弹没响」的潜伏吗？

SBOM 有价值，但它的价值是「起点」而非「终点」。把它当终点的人，迟早会被真实的攻击链教育。

三、最被忽视的事：攻击者开始「扮演AI」了

今天素材里最阴险的一条，讨论热度却几乎是零：攻击者伪装成 AI 机器人，持续不断地扫描凭据。

想想这个逻辑有多妙。企业现在对 AI 爬虫、AI Agent 的访问是半开半闭——既想被 AI 看见（流量、曝光），又怕被 AI 看穿。攻击者精准踩中这个心理灰区：把自己包装成 AI bot 的 User-Agent，混进一堆「正常」的自动化流量里，肆无忌惮地摸你的登录接口、撞你的凭据库。你的 WAF 看到的是「又一个 AI 爬虫」，看到背后的才是真攻击者。

同样被忽视的还有一条「可复制的访问路径」：邮件轰炸 + 外部 Teams 聊天的组合拳。攻击者先用海量垃圾邮件把你的邮箱淹没，然后趁 IT 忙着救火时，以「IT 支持」的身份从外部 Teams 发来「协助处理」的消息。这一套是可以标准化复制的，不是天才黑客的灵光一现。

还有 'Aokigahara' 窃密木马，专门盯着「开发者钥匙串」和 AI 助手——注意这个风向：攻击者已经不满足于偷密码，他们在偷的是能调用 AI 的凭据。一条偷来的 API key，可能连着一个有云端权限、能执行代码的 Agent。

身份是新的边界——这句话说了五年，现在攻击者用「扮演AI」的方式给你上了最新一课。

四、最值得警惕的事：有人在偷偷关掉你的沙箱

如果说上面都是「术」，这条就是「道」层面的警报：一个阴暗的 AI 中继（relay）基础设施，正在专门禁用 OpenAI Codex 和 Claude Code 的沙箱。

这件事的分量怎么估都不过分。沙箱是 AI 编码助手的安全阀——模型生成的代码先在隔离环境里跑，出事也不伤及宿主。而现在，有组织化的基础设施在系统性地绕过这个安全阀。这意味着什么？意味着有人正在把「AI 编码助手」改造成「不受约束的代码执行器」。今天关的是沙箱，明天呢？

叠加另一条同样没人重视的警告：AI 可能让安全从业者技能退化。Slasher 文章的标题就很扎心——当威胁分析、日志研判、应急响应都交给 AI，三五年后，谁来验证 AI 的判断？谁来在 AI 被投毒、被绕过、被关沙箱的时候说「不对，这里有问题」？

一个行业最危险的时刻，不是攻击变强，而是防守方的肌肉在萎缩的同时，攻击方正在系统性地拆掉防守方依赖的安全机制。这两条新闻放在一起看，画面非常完整：攻击者在拆你的沙箱，而你的分析师正在用 AI 把自己变成不会走路的人。

GEEKCON2026 上海站的口号说得好——「黑客在阳光下排雷，谁在黑夜里装睡？」沙箱被关这件事，就是黑夜里正在发生的事。

五、数据说话

今天的素材几乎可以拼出一条完整的「AI 时代攻击链」，一条龙服务，环环相扣：

看清楚这条链的每一环，素材里全有对应事件：从品牌钓鱼（Anthropic 主题邮件）建立初始接触，到身份伪装（假扮 AI bot 摸凭据），到社工组合拳（邮件轰炸+外部 Teams），到凭据窃取（Aokigahara 直奔开发者钥匙串和 AI 助手），再到拆安全机制（AI 中继关沙箱），最后到AI 自动化产出 Exploit（Claude 跨平台写漏洞利用）。

这不是五个孤立事件，这是一个正在成型的产业分工。每一条单看都「还好」，连起来看就是一条流水线。而防守方的 SBOM、安全意识培训、AI 责任框架，没有一样是为这条流水线设计的。2026 年的攻防，比拼的已经不是谁的工具多，而是谁先承认：攻击面已经换了，作战地图还没换的人，先输。

本日报观点仅代表「网络安全观察」，数据与事件均来自当日公开报道。