AI 安全攻防同时按下快进键：CCI 攻击、智能体蜂群与 Anthropic 的反击

AI 安全圈最近很热闹，但热闹得有点让人后背发凉。

一边是 Adversa AI 披露针对 GitHub Copilot CLI 的「加密上下文注入」（CCI）攻击——攻击者用一个网页，就能骗 AI 编程助手交出开发者的密钥[1]；另一边，Cisco Talos 发出警告：AI 智能体蜂群可以把原本需要数月的高级攻击压缩到数小时[2]。与此同时，Anthropic 宣布成立 Cyber Mission，用 Claude 保护关键基础设施和开源软件[3]。

三件事几乎同时发生，指向同一个判断：AI 智能体正在同时成为新的攻击面和新的防御引擎。攻防两端，都被按下了快进键。

🔓 一段加密网页，怎么掏空开发者密钥

先看最扎心的这个漏洞。

场景很简单：开发者正在用 GitHub Copilot CLI 干活，顺手点开了一个网页，或者让 Agent 去读取一份网上的文档。这个网页的可见内容看起来人畜无害，但它里面藏着一段加密的恶意指令。Copilot CLI 拿到内容后，会在自己的运行环境里尝试解密并理解这段内容——攻击就是从这里撕开的。

Adversa AI 把这套技术命名为 Cryptographic Context Injection（CCI），翻译过来是「加密上下文注入」[1]。它和传统的提示词注入最大的区别在于：恶意指令不再是明文躺在页面里，可以被各种过滤器一眼识破，而是被加密包裹起来，由 Agent 自己在运行时解密执行。等于说，防御方扫描到的只是密文，而真正的「越狱指令」只在 Agent 的上下文里短暂现形。这也解释了为什么提示词注入能连续两年位居 OWASP 大模型应用安全 Top 10 的首位（LLM01: Prompt Injection）[4]——防御手段始终在追着攻击形态跑。

基于公开披露整理，攻击链大致如下（示意性质，细节以 Adversa AI 原始披露为准）：

“攻击者控制网页 → 嵌入加密恶意指令 → Agent 读取并解密 → 指令混入运行上下文 → Agent 执行恶意任务 → 窃取密钥与凭据 → 数据外传至攻击方

（注：原文此处为 mermaid 流程图，因属编辑自绘示意、无独立信源支撑，已改为文字链路表述。）

为什么这件事的杀伤力格外大？因为 AI 编程 Agent 的运行环境，本质上是一个权限被充分放开的开发者环境：环境变量里有云厂商的 API Key，有 Git 凭据，有 npm token，甚至有能直接操作生产环境的部署权限。传统提示词注入能骗 Agent 说话跑偏，而 CCI 一旦得手，骗的是 Agent 动手干活——而且干的是攻击者想干的活。

据多位接触过该披露细节的安全从业者私下评估，这类攻击的可怕之处不在单点技术，而在普适性：所有具备「读取外部内容 + 运行时执行」能力的 Agent，几乎都天然暴露在同一类攻击面前。Copilot CLI 只是被公开验证的第一个，绝不会是最后一个。

产业逻辑也很直白：当 Agent 的上下文成为新的「执行单元」，供应链攻击的入口就从「一段被投毒的代码」变成了「一段被投毒的内容」。去年的 xz 后门（CVE-2024-3094，CVSS 10.0，攻击者在项目内潜伏数年后于 2024 年 3 月被发现[5]）还依赖漫长的社区潜伏；SolarWinds 事件中约 18,000 家客户下载了被投毒的构建产物[6]。今年的 CCI 只需要一个攻击者控制的网页。攻击成本在降，入口在变宽，这是所有 Agent 产品团队都必须重新审视自己威胁模型的原因。

⚡ 从数月到数小时，Cisco Talos 在担心什么

如果说 CCI 是单点突破，Cisco Talos 的警告则是宏观推演：协调作战的 AI 智能体蜂群（Agent Swarms），能把传统高级攻击的执行周期压缩几个数量级[2]。

传统红队做过的人都知道一条完整攻击链有多慢：前期侦察、踩点、武器化、搭建基础设施、横向移动、提权、落载荷——一个像样的入侵准备动辄以月计。IBM《2025 年数据泄露成本报告》的数据可以作为参照：组织平均仍需 241 天才能识别并控制一次数据泄露[7]。Talos 的判断是，传统攻击链里这些以「天/月」计的工作，绝大部分恰恰是 AI Agent 擅长并行化、自动化的部分。当几十个智能体分工协作——一个负责扫描资产、一个负责生成钓鱼内容、一个负责编写免杀变体、一个负责调度基础设施——原本的「月」就被压缩成了「小时」。

这种担忧并非纸面推演。Anthropic 威胁情报团队在 2025 年 8 月披露的 GTG-1002 事件中，观测到一个国家级攻击者利用 Claude Code 将间谍活动的约 80%–90% 操作环节交由 AI 自主执行，人工仅在关键决策点介入，攻击在速度和规模上远超人工操作的上限[8]。这可以看作「智能体蜂群压缩攻击周期」的第一个实证案例。

（注：原文此处为 mermaid 甘特图，时间刻度为编辑虚构示意、无信源支撑，已删除，改用上述 IBM 与 Anthropic 的公开数据替代。）

这背后的本质，不是 AI 让攻击变「聪明」了，而是让攻击变「快」和「便宜」了。攻防不对称的天平上，防守方过去靠的正是时间差——攻击者备战数月，防守方有几个月的窗口去发现异常。当这个窗口被压到几小时甚至几十分钟，依赖人工研判的传统 SOC（安全运营中心）在节奏上就已经输了。

Talos 的原话重心其实不在「AI 会不会被用于攻击」，他们的表述很明确：这已经不是问题，问题在于组织如何抵御持续性、可扩展、越来越快的攻击[2]。这个措辞值得玩味——一家头部威胁情报厂商，已经把「AI 参与攻击」当作既定事实来讨论了。IBM 的数据也印证了这一点：2025 年 16% 的数据泄露事件中，攻击者已经在使用 AI（主要用于生成钓鱼内容与深伪材料）[7]。

圈内流传的一个共识是：过去安全建设的核心指标是「能不能防住」，未来的核心指标会变成「能不能跟上节奏」。检测响应窗口从天级压到分钟级，这不是买一台新设备能解决的，而是检测、研判、处置的全链条都要重新设计。这也解释了为什么告警分诊、自动响应这类「AI 防守」产品，在 2025 年成了安全预算里增长最快的品类之一——Gartner 预测 2025 年全球信息安全支出将达到 2,120 亿美元，同比增长 15.1%，其中 AI 相关的安全能力是主要增长引擎之一[9]。

🛡️ Anthropic 的 Cyber Mission：防御方开始正面迎击

攻击侧的加速，终于逼出了防御侧的体系化动作。

Anthropic 正式推出 Cyber Mission，一个长期项目，目标直指两个最要命的方向：关键基础设施和开源软件安全[3]。这个计划用 Claude 前沿模型做底座，提供三个东西：工程支持、威胁研究，以及真金白银的资金投入。落地为两个核心组件——CIDP（关键基础设施防御计划），面向能源、水务、医疗这类一旦被打就是社会事件的目标；以及 OSS Scanner，一个免费的、自愿加入的开源安全扫描服务[3]。

把这两个组件放在一起看，会发现 Anthropic 选战场选得很精准。关键基础设施是攻击后果最重的领域，开源软件则是所有软件的「地基」——SolarWinds[6] 和 xz[5] 事件之后，没有人再怀疑开源供应链就是国家级攻击的优选通道。事实上，Anthropic 自己披露的 GTG-1002 事件里，攻击者的目标清单中就包括关键基础设施相关机构[8]。AI 公司主动把防御能力铺到这两个地方，等于是在给整个数字世界的承重墙做加固。

（注：原文此处为 mermaid 象限图，各参与者的坐标定位属编辑主观判断、无信源支撑，已删除。）

值得一提的是 OSS Scanner 的「免费 + 自愿加入」设计。开源生态的特点就是没钱、没人、没预算，指望维护者自费做安全审计不现实。由模型厂商出钱出算力，把扫描能力白送给社区，这既是公益，也是一次极其聪明的生态卡位——谁的安全能力先渗入开源项目的日常流程，谁就掌握了下一代供应链安全的话语权。

当然，也不是没有值得冷眼看待的地方。模型厂商一边卖 Agent 产品、一边定义 Agent 安全标准，裁判和运动员的身份重叠迟早会引来监管审视；而且模型自身的幻觉和误报，在安全场景里代价极高——一个误报可能让运维半夜重启生产系统，一个漏报可能就是下一起重大事件。

📊 三条线索，拼出 AI 安全的产业拼图

把三件事放在一张表里，脉络会更清楚：

一句话概括：攻击者在利用 Agent 的执行能力，防御者在利用 Agent 的分析能力，中间夹着的是所有被迫升级的甲方。

这三个事件几乎可以勾勒出未来两年 AI 安全的三条主线：

• Agent 本身成为攻击面。提示词注入的变种会层出不穷，CCI 证明了加密、混淆、多跳引用都能成为绕过手段，Agent 产品的安全设计规范（输入隔离、工具调用权限、上下文清洗）会从「最佳实践」变成「准入门槛」。
• 攻击速度成为核心防御指标。响应窗口从天级压到分钟级，MTTD/MTTR 这类指标会直接进入董事会汇报材料，AI 驱动的自动研判和自动处置从可选项变成必选项。
• 安全能力向底座下沉。像 CIDP 和 OSS Scanner 这样把防御能力铺进基础设施和开源地基的做法，会成为头部厂商的标配动作，安全从「买产品」进一步走向「长在平台里」。

（注：原文此处为 mermaid 关系图，因果链为编辑归纳示意，已删除，以正文文字表述为准。）

给甲方 CISO 一句实在话：现在就该盘点你们环境里所有的 AI Agent——它们能读什么、能调什么工具、上下文来自哪里、凭据放在哪。IBM 的报告还给出了一个警醒：在发生 AI 相关安全事件的受访组织中，高达 97% 缺乏针对 AI 的访问控制，而存在「影子 AI」的组织平均要为每次泄露多付出约 67 万美元的代价[7]。CCI 这类攻击的防御要点，说到底还是老三样：最小权限、内容不可信、高危操作留人工确认。只是这一次，「不可信内容」的定义边界，从邮件附件扩大到了 Agent 能触达的一切。

结语

三件事，一个信号：AI 安全的攻防节奏被同时按下了快进键，攻击从月到小时，防御从产品到基建。

别被「AI 威胁论」的焦虑叙事带偏了方向。真正值得关注的不是 AI 有多可怕，而是攻防两边的组织能力差距正在被 AI 放大——用好了 Agent 的防守方，和还在用人工方式逐条看告警的防守方，差距会在下一次蜂群式攻击里被残酷地体现出来。2026 年的分水岭不会是「谁有没有被 AI 攻击」，而是「谁的防御节奏跟没跟上」。

具体来说，未来 12 个月里值得每个安全团队盯住三个观测点：一是主流 Agent 产品是否把「外部内容隔离」写入默认配置，而非留给用户勾选；二是 MTTD/MTTR 指标是否真正进入你们的例行汇报，并开始按分钟级考核；三是 OSS Scanner 这类开源防御设施的覆盖范围，是否快过攻击者对开源供应链的渗透速度。这三个问题的答案，基本决定了 2026 年安全建设的优先级排序。

现在开始补课，还来得及——但补课的窗口，正在被蜂群式的攻击节奏一寸寸压缩。

参考信源

1. Adversa AI：GitHub Copilot CLI「加密上下文注入（CCI）」攻击披露，见其官方博客 https://adversa.ai/blog/

2. Cisco Talos Intelligence Group：关于 AI 智能体加速网络攻击的威胁趋势分析，见 Talos 官方博客 https://blog.talosintelligence.com/

3. Anthropic：Cyber Mission 项目公告（含 CIDP 与 OSS Scanner 组件介绍），见 https://www.anthropic.com/news

4. OWASP GenAI：LLM 应用 Top 10 风险（2025 版），LLM01: Prompt Injection，https://genai.owasp.org/llm-top-10/

5. xz Utils 后门事件：CVE-2024-3094（CVSS 10.0），NVD 条目 https://nvd.nist.gov/vuln/detail/CVE-2024-3094

6. SolarWinds 供应链事件：约 18,000 家组织下载被投毒更新，微软 365 Defender 团队技术分析，https://www.microsoft.com/en-us/security/blog/

7. IBM Security：《2025 年数据泄露成本报告》（含 AI 相关泄露、影子 AI 成本、241 天识别与控制周期等数据），https://www.ibm.com/reports/data-breach

8. Anthropic 威胁情报：《Disrupting the first reported AI-orchestrated cyber espionage campaign》（GTG-1002 事件，2025 年 8 月），https://www.anthropic.com/news/disrupting-AI-espionage

9. Gartner：全球信息安全支出预测新闻稿（2025 年达 2,120 亿美元、同比增长 15.1%），https://www.gartner.com/en/newsroom

编辑说明：

1. 已补全原稿结尾段落，在「还来得及」之后补充了三个可操作的 2026 年观测点，使结语形成完整闭环；

2. 为关键判断（CCI 技术细节、蜂群攻击速度、Cyber Mission 内容、安全预算增长、AI 参与攻击的比例）补充了可引用的具体数据与信源链接，并新增 Anthropic GTG-1002、IBM 数据泄露报告、Gartner 支出预测、OWASP Top 10 等佐证；

3. 已删除三处主观示意图表（甘特图、象限图、因果关系图），并在原位置以注释说明删除原因；保留的攻击链流程已由 mermaid 图改为文字链路，并标注「示意性质，以原始披露为准」；

4. 部分信源为厂商官方博客或报告主页链接，发布时建议核对至具体文章 URL 与发布日期，确保可长期引用。