Cloudflare 针对 AI 渗透测试智能体提出现代安全防御模型

过去一个月里，基于大语言模型（LLM）的渗透测试与编排框架呈爆发式增长。就在几周前，市面上还只有 ARTEX 这一个框架——这是一款能将攻击性安全工作流自动化的开源智能体渗透测试系统。 而在过去短短三天里，我们就观察到超过 50 个框架家族在尝试扫描全球各地的 Cloudflare 客户。运行这些框架的 IP 地址数量已激增至数千个，且每天还在不断增加。这些框架的泛滥已经彻底打破了网络防御的现有平衡：面对这类自主引导、且具备海量规模特征的攻击，防御方正疲于应对。

10 月 8 日，ARTEX 的开发者 Autumn-27 下架了该项目。（他在中文声明中写道：“恶意利用该工具的行为完全违背了初衷。”） 但在随后这一个月里，ARTEX 的衍生碎片化版本在生态中彻底爆发。目前相关代码仓库已超过 12000 个，其中源自该原始仓库的独立分叉（fork）就有数百个。此外，自 10 月 8 日以来，还涌现出数百个其他类似的智能体编排框架。自 10 月 1 日起，AI 渗透测试与漏洞利用工具的日请求量激增了 30 倍。在某些更复杂的攻击场景中，这些工具甚至开始串联被窃取的客户凭证，用于在整个内网环境中进行横向移动等链式攻击。

我们预计这类框架还将继续泛滥，各家机构和企业都应做好应对这一威胁的准备。为了抵御基于 LLM 的渗透测试框架，我们建议所有组织采用所谓的“现代安全模型”，该模型包含六大核心支柱：

• 筑牢大门防线：部署具备速率限制等高级规则的 Web 应用防火墙（WAF）。
• 在门厅设立安检站：对客户访问的所有 Web 应用进行异常检测。
• 识别虚假访客：部署 Bot 防御（Bot Defense）。
• 拆除后门：对所有高风险的内外部 Web 应用实施身份准入控制（Identity-Gated Access）。
• 检查包裹递送：强制推行模式验证（validated schemas）和明确的安全控制措施。
• 邻里守望相助：接入威胁情报，全面掌握攻击动向。

什么是 LLM 渗透与漏洞利用编排器？

开源渗透测试框架能够编排多个 AI 智能体，规模化执行传统网络杀伤链（Cyber Kill Chain）中的各个阶段。像 ARTEX 这样的工具能够快速接入现有的模型上下文协议（MCP），并以新颖的方式串联起传统的独立渗透测试工具。有些框架甚至允许操作人员指定要完成的任务类型。无论从外部还是内部，这些工具都能对目标环境进行测绘与枚举。ARTEX 及其分叉版本将资产和环境映射到图（graph）中，使多个独立的并行智能体能够以模型推理的速度进行枚举、验证、构建原型和实施攻击。这些工具将系统入侵转化为了一个类似于“爬山算法”的最优化问题，而这恰恰是智能体最擅长的事情。

目前已存在的 AI LLM 渗透测试工具

我们目前正在持续追踪 50 多个大语言模型（LLM）智能体。下表列出了排名前五的 LLM 渗透测试与漏洞利用编排器。它们个个热度极高（GitHub 星标均破千），且完全自主运行。这些智能体的全自主特性，标志着网络进攻能力迎来了战术层面的根本转变：

• 人力技能不再是瓶颈：自动化控制框架接管了 OODA 循环（观察、判断、决策、行动）的每一步——它自主感知环境，研判并优先锁定高价值或存在漏洞的目标，自主制定行动方案，并付诸执行。
• 攻击速度大幅提升：相比单人作战或由 AI 辅助的多人操作，多个智能体协同并行推进目标，效率有了质的飞跃。
• 攻击规模指数级扩大：一名操作员即可同时对多家机构发起攻击，潜在波及范围剧增。
• 细微疏漏无处遁形：自主化框架不知疲倦、系统化地逐一探测暴露在外的一切服务及其配置情况。

来自全球最大网络观察到的动向

截至 11 月 12 日，ARTEX 及其分叉版本在已知 AI 渗透测试编排器中的占比已超过 60%。下方的图表呈现了过去六周这些工具的采纳度走势。自 10 月 8 日 ARTEX 原代码仓库被下架以来，相关流量已暴增逾 10 倍；与 10 月 1 日相比，增幅更是超过 30 倍。

正如前文所示，10 月 8 日 ARTEX 遭到下架（以及随之而来的广泛报道），很可能引发了如同“九头蛇”般的扩散效应：原仓库的关闭不仅没有遏制其传播，反而促使分叉版本与二次改动版本激增。这一点从 10 月 8 日前后独立实例数量的陡峭飙升曲线中可见一斑。

基于身份链的 LLM 漏洞利用

过去八周里，Cloudforce One 团队多次参与应急响应调查，涉及 ARTEX 及其衍生的大语言模型利用框架。我们亲眼看到，攻击者如何将泄露的凭证与基于大语言模型的利用框架串联起来，在与防守方的对抗中占尽上风。
在数起事件中，攻击者先是攻破超大规模云服务商环境获取初始访问权限，随后便直接横向移动至客户的 Cloudflare 环境中。根本原因分析表明，问题普遍出在凭证管理规范的缺失：攻击者反复利用运行在 CI/CD 流水线中长期有效、永不过期的静态令牌，借此跨环境获取该组织在超大规模云基础设施中的广泛访问权限。在大语言模型框架的加持下，客户的 API 密钥被用于横向渗透并接管其他租户环境的概率大幅上升。

ARTEX 实战表现

在一次应急响应调查中，我们的团队发现 ARTEX 拿到了一枚失窃的账户级 API 令牌。该令牌此前用于 CI/CD，既未绑定 IP 限制，也没有速率限制。现有证据表明，这次失窃极有可能始于第三方超大规模云服务商。

我们注意到，攻击者创建了大量全新的 Worker 脚本，命名规律明显，比如 artex-*、artex-pgrecon-*、artex-pgw-* 和 artex-do-*。每个 Worker 脚本的名称都与其执行的特定行为和操作相对应，且末尾通常带有字母数字后缀。这些脚本针对受害者 Cloudflare 基础设施的多个不同节点发起了攻击，频率超过每分钟 69 次请求，一小时内就发出了 400 次数据库转储请求。我们还发现攻击者试图建立持久化机制，并尝试验证其他第三方应用程序的会话令牌。尽管我们推测其中不少操作都有人工操作员在做轻度引导，但这依然充分展现了 ARTEX 及同类框架在入侵后所具备的高速与广度覆盖能力。

我们的建议：现代安全模型

大语言模型大幅提升了威胁行为体针对目标快速遍历整个网络杀伤链的能力。其核心优势在于速度与自动化验证：杀伤链中的每一步都能被即时验证，并作为输入直接驱动下一阶段的攻击。这种级别的协同编排前所未见，彻底打破了传统网络安全模型的防线。要抵御此类攻击，就必须采用现代安全模型。

为了更直观地阐述该模型，我们可以把防护工作比作守卫庄园里的一栋宅邸。以下各节将详细拆解每个步骤对应的防御策略。

加固前门：部署流量控制与带高级规则的 WAF

访客要想踏上草坪，首先得经过外围围栏。

在毫无防备的庄园里，对手可以开着接连不断的诱饵卡车长驱直入，堵死车道并撞破路障（对应 3/4 层容量型洪水攻击和直接针对 IP 的探测）。

而一旦建立起外围大门防线，所有进出流量都会被引导至数英里外庞大、分布式的外部大门。可疑的货运卡车在公路上就会被拦截过滤，试图窃听房产的违规管道也会被彻底切断，最终只有合法访客才能抵达宅邸门前。

网络流量控制在抵御流量型攻击中发挥着至关重要的作用。

门厅安检站：异常检测

访客一旦抵达正门，首先要在门厅接受严格的安全检查。

自动化探测程序不仅会强行破门，还会进行伪装。它们会尝试各种刁钻古怪的手段溜进门内——比如往锁孔里塞纸，或者尝试 //front-door//back-room/ 这类变体，企图骗过锁具机制让大门洞开。

门口的保安执行着严苛的规则：

• 不能在 5 秒钟内狂敲 500 次门。
• 不能企图通过耍花招来伪装自己的路径。
• 不能试图推着巨大的平板手推车穿过前厅，运走房屋的内部设计图（诊断用堆转储）。任何可疑行径都会被立即拒之门外。
• 部署安全密钥以及基于硬件的 FIDO 密钥。

Web 应用防火墙（WAF）通过速率限制与异常检测，成为阻断应用层漏洞利用的关键防御机制。

识别虚假访客：部署 Bot 防护

老练的入侵者绝不会打扮成蒙面劫匪，而是伪装成普通访客。然而，自动化智能体、无头浏览器爬虫以及 AI 侦察工具的行事举止终究与真人不同。

它们从不眨眼，体态僵硬得诡异，节奏呆板机械，出示的“身份凭证”也往往只是对真实访客胸卡的拙劣模仿。

Bot 防护与质询机制犹如隔着单向玻璃观察人群的行为专家。它们能敏锐标记反常的节奏，抓取合成的细微动作，在这些机器还没碰到门把手之前，就悄无声息地将它们请离现场。

封死后门：实施基于身份的门禁与微隔离

以往许多住宅在建造时都会留有侧门或地窖舱口（内部管理面板、/actuator 诊断端点以及远程网关）。即便上了锁，潜行者也能站在人行道上，拿手电筒照着地窖门，动手开始撬锁。

零信任应用访问采取了更为彻底的手段：直接从外墙把门洞彻底砌死，并严格限制访客可进入的房间。

在任何在周边徘徊的人看来，地窖门根本不存在。这里无锁可撬，无把手可晃，屋内也没有透出丝毫灯光。唯一的进入方式是由专人陪同：核验生物识别证件，确认设备健康状况无虞，然后直接将你带入所需的特定房间——宅邸其余区域则完全隐于视野之外。

对于获准进入的人员，还必须确保他们无法溜进相邻房间。微隔离是阻断横向移动极其有效的策略，能防止失窃凭据殃及生产、测试和开发系统。

检查运送物资：强制执行 Schema 验证与显式安全控制

宅邸每天都会接收运送来的物资——日用品、邮件、维修备件。在数字世界中，这对应的就是传入的 API 流量，必须对其进行严密检查与核验。

入侵者往往试图通过发送未经验证的载荷或伪造运送清单，绕过管控，渗透进受限的内部系统。

门禁协议（porch protocol）要求对所有流量进行全面检查与模式验证（schema validation）：

• 每一个进站请求都必须通过 OpenAPI 模式验证 ，确保其严格符合预期的定义与结构。
• 出入人员与信使必须出示经过验证的双向 TLS（mTLS）证书，以建立受信的身份验证连接。
• 任何未通过检查或缺少有效凭证的请求，都会在边界处被立即拒绝。
• 默认拒绝态势：每套积极安全模型（positive security）规则集的末尾，都有一条明确的“全部拒绝”规则作为兜底。

邻里守望：引入威胁情报，洞悉攻击动向

即便高墙坚不可摧，若是犯罪团伙在城另一头开发出了全新的渗透手法，孤立的房产依然可能不堪一击。

威胁情报 就像是你与邻近庄园联手搭建的预警网络。每当不法分子在附近设立新的命令与控制（C2）据点，或开始在辖区内出动动态隧道车时，你就能提前收到一份情报简报。如此一来，你的庄园便能在对方拐进你家街区之前，更新监控名单、重新校准传感器，并将大门紧紧锁死。

如何获取实时协助

ARTEX 以及类似基于大语言模型的框架，对传统网络防御模型构成了严峻挑战。即便是过去侧重于传统网络隔离区（DMZ）的纵深防御模型，在当今复杂的架构面前也显得力不从心。随着编排工具成为新常态，未来的攻击手段只会愈发先进。

要保障遗留设备与本地设备的安全，需要采用基于身份把关的方案，在逻辑上使这些设备在互联网上完全无法被访问。除身份验证外，微隔离的目标则是减缓横向移动，或让攻击者的横向移动暴露更多破绽。该架构强调“遏制优先”的安全策略，这在用户频繁遗失密钥的情况下至关重要。将这些要素融为一体的现代安全模型，正是破解这一棘手难题的良方。

如果你正遭遇安全事件，需要 Cloudforce One 团队现场协助应急响应，或需要威胁情报支持，请立即与我们联系。如果你需要协助落地本文介绍的现代安全模型，请联系我们的解决方案工程团队。