文章总结： 本文探讨AIAgent时代，防御方通过控制攻击者的探索结果（如端口误判、蜜罐、伪造banner）来影响其决策链，从而改变攻击路径。核心是争夺攻击者对环境的解释权，通过隐藏、替换、延伸、收敛四种干预方式，使攻击行为发生在隔离可观测环境，保护真实资产并获取防御证据。技术难点在于保持协议、状态、语义等一致性。建议衡量真实资产暴露减少、诱饵交互深度等指标。 综合评分： 85 文章分类： 红队,网络安全,安全建设,安全运营

---

AI Agent 时代，一次误判如何改写整条攻击路径

百晓Phil 百晓Phil

百晓安全

2026年7月14日 11:16 北京

在小说阅读器读本章

去阅读

过去，安全行业谈蜜罐、欺骗防御、协议伪装和攻击面隐藏时，常常把它们理解为几种不同的技术分类。

它们当然有不同的部署位置、运行方式和工程难点。

但 AI Agent 出现之后，这些技术有了一个更值得重视的共同点：

它们都能够影响攻击者的探索结果。

一次端口识别错误，可能让扫描报告里多出一个服务；

一次伪造 Banner，可能让攻击者多花一点时间；

一个蜜罐，可能捕获一轮自动化探测。

但对于能够长期记忆、持续规划、调用工具并根据结果调整策略的 AI Agent，探索结果不再只是一次扫描的输出。

它会成为下一步决策的输入。

于是，一个被防御方设计的误判，可能不只影响一次探测，而是逐步改写一整条攻击路径。

防御方设计一次扫描误判，为什么会变得更重要

欺骗、防护路由和攻击面隐藏并不是 AI 时代才出现的技术。

AI Agent 改变的是探索结果的作用方式。

一次扫描误判，过去可能只意味着报告里多出一个错误服务或漏洞。对于能够持续规划的 Agent，同一个误判还可能影响：

• 接下来调用哪个工具；
• 哪个接口值得深入分析；
• 哪组凭据值得尝试；
• 哪个节点适合作为横向移动入口；
• 是否继续投入更多轮次完成利用。

错误结果一旦进入环境模型，后续动作又可能产生新的结果，为原来的错误判断提供更多支持。

这也是围绕探索构建防御的关键价值：

防御方不只干扰一次探测，而是在影响攻击者如何解释后续所有探测。

这种能力对扫描器、自动化脚本和人工攻击同样有效，只是在具备长期记忆、任务规划和工具调用能力的 AI Agent 上，影响更容易沿决策链累积。

一个简单的循环就能说明这种差异：

观察结果 -> 更新环境模型 -> 生成下一步计划 -> 调用工具
    ^                                            |
    +---------------- 新的观察结果 ---------------+

传统扫描器也会根据反馈调整探测，但它通常止步于一组发现。AI Agent 则会把发现组织成“这是什么系统”“哪里更值得投入”“下一步如何接近目标”的判断。

防御方真正能够争夺的，正是这个循环的输入。

场景：一个 443，如何把 Agent 带向另一条路径

设想一个对外暴露的 443 端口。

TLS 握手正常，证书和 HTTP 响应都符合企业业务系统的特征。首页并不暴露敏感信息，但它足以让探索者得出一个初步判断：这里不是简单的静态站点，而像是一个值得继续理解的业务入口。

接下来，AI Agent 的每一个决定，都可能被第一次观察结果影响。

第一步：它选择什么工具

如果 443 看起来只是一个普通 Web 页面，Agent 可能只做一次基础枚举后转向其他资产。

但如果响应中呈现出合理的登录边界、服务标识和接口线索，它会更倾向于继续调用应用层发现、接口枚举、认证流程分析等工具。

这时，防御方影响的不是“请求是否被允许”，而是 Agent 对目标价值的初始排序。

它把原本可能被快速略过的入口，提升为了一个值得投入更多工具调用和推理轮次的对象。

第二步：它决定深入哪个接口

随着探索继续，/api、/swagger 或管理入口返回了看似相互关联的信息。

未认证访问得到合理的拒绝；公开的接口描述、版本信息和错误响应使用一致的资源命名，不同入口又指向同一组业务对象。

对 Agent 来说，这些并不是彼此独立的页面。

它会逐渐形成一个判断：这里存在一套可以被理解的业务系统，继续枚举接口是有收益的。

于是，第一次对 443 的判断，又影响了第二次资源投入。

第三步：它认为哪组凭据值得尝试

在这个诱饵业务中，公开接口示例、前端静态资源或错误信息可能指向一个服务账号、发布环境或内部组件。

这些线索不需要是真实生产凭据，也不应该接触真实生产系统。它们只需要在隔离环境内保持合理的业务关系。

当某个诱饵身份能够进入一个权限受限的后台，或者访问一个看似属于开发环境的接口时，Agent 会获得新的证据：此前的系统判断是正确的。

这一步很重要。

因为它不只是让 Agent 看到一条线索，而是让它用一次“验证成功”强化了原来的环境模型。

第四步：它如何规划横向移动

继续探索后，Agent 发现了内部 API、消息队列、缓存服务、管理后台或构建节点。

这些节点可以运行真实的协议实现，也可以只对有限操作提供受控反馈。但它们的身份、数据、信任关系和拓扑意义由防御方构造，并与真实生产网络隔离。

Agent 会据此推断：

公网入口 -> 业务后台 -> 开发服务 -> 内部组件 -> 更高价值资产

它确实绘制出了一张拓扑。

只是这张拓扑描述的不是生产网络，而是一条由防御方设计的、可观测且隔离的探索路径。

第五步：它是否继续投入验证预算

如果 Agent 在诱饵环境中发现一个疑似漏洞点，并得到符合上下文的延时、报错或查询反馈，它通常不会把这件事当作孤立现象。

它会把该结果与此前的业务、身份和拓扑判断关联起来，认为自己正在接近一个高价值目标。

于是，它会继续投入工具调用、验证轮次和规划预算。

对防御方来说，价值不只是让对方消耗更多 Token。

更重要的是：攻击路径已经被带离真实资产；防御方可以在隔离环境中观察工具链、Payload、行为顺序和攻击意图；生产系统没有因为这次“成功”而承受真实副作用。

防御方影响的，是 Agent 的行动选择

从这个场景回看，防御方并没有凭空让 AI 产生幻觉。

它做的是更具体的事：控制 Agent 每一步可以获得的证据，并让这些证据影响后续行动选择。

一条探索结果，至少可以从四个方向被防御方干预：

隐藏：让真实分支不进入视野

真实资产、管理入口或关键接口不必对所有探索者呈现相同的可见性。

这里改变的是探索结果的完整性。Agent 不一定得到错误结论，但它得到的是一张缺少关键节点的地图。

替换：让探索指向隔离目标

协议路由、应用路由和蜜罐转移可以让同一个入口在不同条件下指向不同的运行环境。

这里改变的是探索结果的正确性。Agent 获得的服务、接口和数据都可以真实可交互，但它们不代表真实生产资产。

延伸：让错误分支具有继续探索的价值

一个孤立的假页面很容易被丢弃。

更有效的方式是让诱饵系统具备能够被继续验证的业务关系、身份边界和资产连接，使 Agent 在每一次成功验证后都更愿意沿同一方向投入。

这里影响的是探索结果的置信度。

收敛：把攻击动作留在可观测环境中

当攻击者已经沿着诱饵路径深入，防御重点不再是立刻中断，而是限制其对真实资产的可达性，并完整保留行为证据。

这让防御从“阻止一次访问”，变成“控制攻击路径最终在哪里结束”。

真正的技术难点，是让证据链不崩塌

让一个端口开放并不难，让一个页面看起来像管理后台也不难。

困难在于：当 Agent 连续访问、横向关联和反复验证时，诱饵环境是否还能自洽。

至少需要处理五类一致性：

1. 协议一致性：握手、Banner、证书、状态码和协议细节能够相互匹配。
2. 状态一致性：登录、Cookie、权限、对象状态和操作结果能够跨请求延续。
3. 语义一致性：接口、数据、错误信息和业务关系能够彼此解释。
4. 时间一致性：系统状态会随操作和时间合理变化，而不是每次访问都回到固定模板。
5. 跨通道一致性：端口、域名、协议和带外信息不会轻易暴露相互矛盾的身份。

AI Agent 也会识别欺骗。

它可以更换来源、重建会话、比较证书和时延、通过第三方信息交叉验证，也可以用真实副作用检验某项操作是否真的发生。

所以，探索型防御的目标不应是“让 AI 永远无法发现”。

更现实的目标是：

• 降低它对真实环境判断的置信度；
• 增加验证每个结论所需的成本；
• 延长它抵达高价值资产的路径；
• 让更多攻击行为发生在隔离且可观测的环境中。

不要只衡量消耗了多少 Token

“让 AI 多消耗一点算力”是一个容易理解的收益，但不是最重要的收益。

真正值得衡量的是：

• 真实资产和真实服务的暴露是否减少；
• 有多少探索行为被引导到诱饵环境；
• 攻击者在诱饵环境中的交互深度和停留时间；
• 它为了确认结论重复验证了多少次；
• 防御方捕获到了哪些工具、Payload、身份尝试和路径意图；
• 合法用户被错误引导的比例是否可控；
• 诱饵环境是否始终没有对生产系统产生副作用。

最终目标不是让攻击者在假目标上停留得越久越好。

而是同时做到三件事：

保护真实资产、控制攻击路径、获得更多可用于防守的证据。

AI 时代，争夺的是攻击者对环境的解释权

AI Agent 会让攻击流程变得更加自动化，但更深刻的变化在于：它会把每一次观察结果带入下一轮计划。

这意味着，欺骗防御、蜜罐、反测绘、攻击面隐藏和动态路由的价值，不再只体现在拦住了什么、捕获了什么。

它们还可以持续影响攻击者如何理解目标，以及它接下来认为哪条路径最值得走。

攻击者发出的是请求。

真正塑造攻击路径的，是它收到并相信的证据。

当 AI 开始理解目标时，防御方需要争夺的，不只是一次访问的控制权，而是探索结果的控制权。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：百晓安全 百晓Phil 百晓Phil《AI Agent 时代，一次误判如何改写整条攻击路径》