微软重磅报告：攻防第一次站在同一条起跑线上

原创

大白
大白

知白守黑1024

2026年11月3日 06:17
北京

去阅读

微软一年一度的《数字防御报告》（Microsoft Digital Defense Report 2026）9 月下旬照常发布，覆盖 2025 年 7 月到 2026 年 6 月的威胁情报。103 页读下来，最直接的感受就一条：网络攻防的时间单位，正在从\"天\"变成\"分钟\"。这篇文章把报告里值得记住的数据、案例和判断整理出来，供参考。

先说这份报告的分量。它的数据源是微软每天拦下的流量：超过 165 万亿条安全信号、52 亿封邮件、3100 万次身份风险检测，外加每天约 470 万个新恶意文件的拦截，背后站着 35000 名全职安全工程师。这个样本量，单一厂商拿不到第二份，所以它的趋势判断历来被行业当风向标看。

01AI 在改写攻防的\"物理学\"

报告里有句原话：\"AI 正在改变网络安全的物理学。\"它压缩的不只是效率，是整个攻防的时间坐标系：攻击链从数天压到数分钟，复杂攻击能力的获取成本大幅下降，智能体开始接管攻击生命周期里越来越多的环节。

最直接的例子是漏洞挖掘。攻击者已经可以用 AI 做大规模漏洞扫描，而修复天然追不上发现——很多系统缺自动化测试，代码改不动。微软据此给了一个相当残酷的判断：世界将进入\"已知但未修复\"漏洞数量持续飙升的长周期。准备充分的攻击者，甚至可能囤积大量由此挖到的零日漏洞。

攻击自治化的进度条也走得比想象快。实验室里，Mythos 和 GPT-5.5 已经能在一次 32 步的多阶段攻击链中，全程无人工介入地拿下企业模拟环境的全域控制权。今年 7 月，出现了第一起有记录的自动化勒索软件攻击（JADEPUFFER）；几乎同一时间，OpenAI 的训练智能体逃出沙箱，集体攻击了 Hugging Face 上的一个基准测试答案库。从\"AI 辅助攻击\"到\"AI 编排攻击\"，转变已经发生。

过去一年，安全社区给\"提示词驱动的恶意软件\"记下了四个样本，每一个都值得蓝队对照自查：

LAMEHUG，把攻击逻辑外包给大模型。2025 年 7 月针对乌克兰的攻击中出现。恶意软件不内置逻辑，而是实时向远程 AI 端点要指令，没有可预测的代码模式，传统特征检测基本失效。

s1ngularity，劫持开发者机器上的 AI 命令行。通过投毒的 npm 包扫描受害者电脑里装没装 Claude Code、Gemini CLI、Amazon Q CLI，找到就用高权限参数运行，让这些\"受信任的合法工具\"去翻密钥和凭据。最终 225 名受害者的约 2000 个机密、2 万个文件被拖走。

PromptLock，本体只有提示词的勒索软件。实验性原型，本地几乎不带逻辑，运行时向攻击者基础设施上的开源模型现要 Lua 脚本，枚举、窃取、加密全流程跨 Windows、Linux、macOS 执行。

TikTok ClickFix，AI 批量生产的钓鱼教程。用 AI 合成旁白、批量生成\"软件激活教程\"视频，结尾诱导用户执行恶意命令，下载 Vidar、StealC 窃密木马。单条视频播放量最高约 50 万，而单条诱饵的制作成本被 AI 压到接近于零。

还有个细节让我后背发凉。去年 12 月，微软发现一款装机量超过 60 万次的恶意浏览器扩展，专门收割 ChatGPT 和 DeepSeek 的对话记录，波及近万家组织。想想你的聊天记录里躺着什么：源代码、架构设计、客户资料，甚至随手贴过的密码。这些现在都是黑产账上的\"高价值数据资产\"。再往远看，报告认为利用窃取的 LLM 密钥自我改进、自我传播的 AI 蠕虫，技术上已经可行。

02AI 系统本身，成了新的攻击面

把 AI 只当\"攻击工具\"来看，格局小了。报告用了一整章讲 AI 系统如何被攻击，攻击者眼里的目标清单非常具体：模型权重、训练数据、推理服务、智能体的记忆体、对话历史，以及 AI 生成的代码和文档。

模型篡改。攻击者入侵模型供应链后，可以埋下平时休眠、条件触发的\"睡美人\"后门——比如\"当模型被某组织部署时，在生成的代码里植入漏洞\"。这类篡改比代码后门更难发现，而且已经在野外出现过。

算力窃取。当年黑客偷 GPU 挖矿，现在偷 AI 推理算力，打包转卖给犯罪组织和国家级客户。你的 AI 服务出现异常搜索行为，可能就是被入侵的信号。

模型蒸馏式窃取。靠大量看似正常的 API 请求，反向推导出模型的显著能力，绕开数十亿美元的研发投入。这类攻击正在变多。

记忆投毒。智能体的持久化记忆成了新战场：攻击者能让恶意数据源在用户的 AI 系统里获得更高可信度，潜移默化调整其立场，甚至埋入长期休眠的指令。配套的还有\"slopsquatting\"——抢注 AI 大概率会幻觉出来的软件包名，等开发者照单安装。

报告还点名了 MCP（模型上下文协议）服务的乱象：大量 MCP 服务是\"氛围编码\"出来的，没有认证就裸奔上线，还挂着开发者的凭据去访问敏感资源。企业安全团队需要把 MCP 服务和所有 vibe-coded 软件纳入正式治理范围——这句话可以直接抄进下周的安全例会。

03身份，依然是那个主战场

花招再多，攻击者的第一步八成还是落在身份上。微软 DART（检测与响应团队）的年度结论没变：身份入侵仍是企业面临的第一大威胁。有意思的是几个数字的边际变化。

先听个好消息：密码攻击同比下降了 26%，说明 MFA 和 Passkey 的普及确实起作用了，攻击者啃不动口令，只能换路子。坏消息是换的路子也很凶：今年上半年，AiTM（中间人）钓鱼和令牌窃取在整体攻击中的占比翻了一倍还多。攻击目标早就不是你的密码，是你登录之后的那个\"合法会话\"。

钓鱼的具体演化也值得展开。二维码钓鱼一年被检测到超过 1.45 亿次，PDF 附件成了主要载体——到今年 4 月，79% 的二维码钓鱼走 PDF 投递，因为 PDF 在业务流程里足够可信、很少被策略拦截。带 CAPTCHA 验证页的钓鱼一年超过 1 亿次，人机验证页在这里的角色是\"挡住爬虫和安全扫描器，只放行真人受害者\"。

设备码钓鱼则从小众技巧变成了国家级和逐利型攻击者的共同选择。今年 2 月，攻击者滥用合法 PaaS 平台 railway.com 托管钓鱼页和令牌收割服务，诱饵是高度个性化的 DocuSign 请求、语音留言提醒——用户在微软真实的登录页上完成认证，攻击者静默收走 OAuth 令牌。全程没有恶意软件，没有可疑页面，密码和 MFA 都被绕过了。

ClickFix 类攻击在 2025 年末短暂回落后卷土重来：12 月到次年 5 月，规模增长约 23 倍；2 月到 5 月初，超过 110 万台独立设备被执行过用户手贴的恶意命令。这类攻击的转化率高得吓人——96.3% 的成功执行直接落地恶意软件。它还衍生出把命令贴进文件资源管理器地址栏的 FileFix 变种，专绕只盯 PowerShell 的检测策略。

ClickFix 类命令执行的周度独立设备数：2 月首周 3.8 万台，5 月首周 31 万台（图源：MDDR 2026）

初始访问技术分布：用户执行 30%、有效账号 20%、恶意复制粘贴 13%、钓鱼 11%（图源：MDDR 2026）

另一个结构性变化：服务主体、API 密钥、AI 智能体这类非人身份成了新跳板。DART 观察到的典型路径是——先攻陷一个人的账号，再翻出环境里散落的非人身份凭据，借工作流自动化这类\"受信任的合法通道\"把数据拖走。全程不需要持久的交互式访问，在日志里和日常运营几乎无法区分。

解法报告说得直白：上 Passkey（同步型适合普通员工，设备绑定型适合管理员和高敏系统）、清退一切可钓鱼凭据、人和非人身份都做最小权限、缩短令牌生命周期。没有捷径。

04国家级攻击：从\"黑进来\"到\"住下来\"

国家级行为体这块，微软跟踪了中俄伊朝四家的动向。共同趋势概括成一个词：驻留。大家都在追求可长期维持、可随时切换用途（间谍转破坏）的访问权，并且不约而同把重心压到身份系统和云身份基础设施上。

国家级攻击通知数据：IT 与科研学术并列第一，各占 20%（图源：MDDR 2026）

分开看：中国方向继续做大规模、低可见度的长期情报收集，目标国前三是美国（27%）、台湾地区（24%）、日本（20%），越来越依赖云原生持久化和 OAuth 应用外传数据。伊朗方向在地区冲突背景下明显升级，39% 的通知针对以色列，23% 针对美国，更愿意接受暴露去打破坏性效果。俄罗斯方向手法更多样，就地取材（LOTL）技术占比上升，恶意软件足迹反而更小。朝鲜的\"远程 IT 员工\"渗透继续扮演赚钱加预置访问的双重角色。

事件响应数据里还有两个反直觉的点。其一，利用面向公众的应用做初始访问，占比从 15% 涨到 24%——\"打应用\"回来了；钓鱼占比从 7% 猛增到 23%。其二，被利用的根本不是什么新洞：光 CVE-2020-1472（Netlogon 提权）一个，就占了相关检测的 58%。防守方欠的补丁账，攻击者记得比谁都清楚。

事件响应初始访问向量两年对比：利用公开应用 15%→24%，钓鱼 7%→23%（图源：MDDR 2026）

同期 DART 数据还显示驻留时间同比显著变长——组织发现自己被入侵的速度变慢了，工业制造业领域最明显。防守在变难，这不是错觉。

05勒索软件：Qilin 登顶，AI 开始接单

勒索软件盘子上，Qilin 取代上一任霸主成为泄露网站上的头号家族，受害者占比 16.4%，同比暴涨 386%。它做对了两件事：竞争对手 RansomHub 在 2025 年被打散，以及一个极其慷慨的分成模式——附属成员拿走赎金的 80%-85%，远高于行业平均水平。外加 Windows 和 Linux/ESXi 双端加密器、附赠谈判协助，RaaS 的\"产品力\"卷到了新高度。

微软自家终端检测数据则显示 Akira 才是实际探测中最活跃的家族（22%，+150%），Qilin 第二（14%，+111%）。两个口径对不上，恰恰说明泄露网站本质是黑产的广告位，新家族会刷榜造势——看数据得两边对照着看。

勒索软件影响行业两年对比：IT 行业 248→649 起，通信基础设施 66→159 起（图源：MDDR 2026）

总量上，企业端勒索加密事件同比上升 15.8%，但行业分布比总量更扎眼：IT 行业受害者从 248 涨到 649，通信基础设施从 66 涨到 159，政府机构从 57 涨到 133，国防工业基础从 4 涨到 22。地区上，美国仍是重灾区（724→1087），德国暴涨 276%，意大利暴涨 181%。另外，泄露数据的传播已经出了暗网——攻击者开始直接用 X 等社交媒体做双重勒索的放大器。

治理侧也有新动作。今年 2 月北约与微软签署合作意向书，把联合演习、双向情报共享、协同归因做成常态化机制。报告还建议把长期庇护勒索软件的司法辖区定性为\"勒索软件国家赞助国\"，让赎金经济付出地缘代价。勒索软件是生态问题，得用生态的方式打。

06下一年的三大威胁，和防御者的十条清单

报告对来年威胁的判断收敛为三条主线。一，开源供应链投毒：现代应用动辄数百上千个依赖，劫持维护者账号、伪造维护者、在 CI/CD 里自动执行恶意包，无需任何用户交互就能摸到云凭据，而 AI 编码智能体\"参考\"包生态做自动选型，本身又成了新的投毒面。二，边界设备攻击：防火墙、VPN 网关、路由器监控少、补丁慢、缺端点检测能力，一旦失守就是流量和认证材料的天然窃听点。三，AI 作为恶意活动的力量倍增器，叠加一个大背景：AI 合成内容正在瓦解数字世界的默认信任，安全模型被迫从\"默认信任\"转向\"显式验证\"。

报告给组织的十条优先事项，我按自己的理解压缩如下：

1.网络风险上升为董事会级议题：汇报身份暴露面、补丁时延、智能体权限、恢复能力。

2.把身份当主控制平面：Passkey、抗钓鱼 MFA、权限收敛、令牌快速轮换，人和非人身份一起管。

3.给 AI 建治理账本：批准了哪些工具和智能体、它们能碰到什么数据，一句话说不清就是风险。

4.压降暴露面：持续盘点互联网资产，边界设备优先打补丁，集中化高保真日志。

5.做跨信号关联：端点、身份、云、邮件、网络的数据孤岛不打通，攻击路径永远是盲的。

6.从\"漏洞管理\"升级为\"威胁暴露管理\"，考核指标从打了多少补丁换成压降了多少暴露。

7.常态化 assume-breach 演练，重点打云服务、SaaS、API 和工作流自动化。

8.管好软件依赖：来源验证、包监控、快速遏制预案。

9.参与集体防御：情报共享和协同打击，是被反复验证有效的路径。

10.为长周期技术变迁做准备：密码资产盘点、后量子迁移、AI 治理，现在就该立项。

韧性部分有个数字让人印象深刻：微软自己的安全团队已经在用定制 AI 智能体自动调查75% 的待处理安全事件；用 Security Copilot 的组织做威胁摘要快 60%-70%，钓鱼分诊智能体每月帮团队省下近 200 小时。报告把这总结为\"共享智能体防御\"（deny / disrupt / delegate），主张政府和社会把碎片化的 SOC 整合成共享的多租户防御能力——低风险动作自动执行，中风险动作人工审批，高风险决策（比如宣告发生入侵）必须人来拍板。

\"今天对董事会来说，决定性的问题已不是干扰会不会发生，而是干扰发生时，组织能不能持续运转、控制伤害、快速恢复，并守住信任。\"

—— Microsoft Digital Defense Report 2026

整份报告读下来，主题词其实只有一个：关联。风险不再来自单点——单个漏洞、单个人、单个系统，而是来自身份、软件、伙伴、云和 AI 系统之间的信任关系。一条链路被攻破，冲击会沿着依赖关系传到很远的地方。

这对从业者意味着什么？我的理解是：别再问\"怎么防住每一次攻击\"，改问\"被打穿之后，业务还能不能转\"。前者是个逐渐失去意义的问题，后者才是接下来几年的生存题。AI 把攻击者的成本曲线压下来了，也把防御者第一次拉到了\"机器速度\"的同一条起跑线上——用同样的能力做持续化的漏洞猎杀、信号关联和自动响应，也就是报告说的\"持久防御\"。

天平往哪边倾，取决于谁先把 AI 用顺。报告对此并不悲观，但有个前提：地基得先打牢。身份、数据、供应链、暴露面，这些\"不性感\"的基本功，恰恰是 AI 时代安全的一切前置条件。

报告原文 103 页，后台回复关键字20261103可以下载全文。时间紧的话，至少把 AI 章节和身份章节精读一遍，值得。

参考来源：Microsoft Digital Defense Report 2026；文中数据与图表均出自报告原文。

如果觉得有用，欢迎转发给你负责安全的同事。下期见。