获取公开 AI 制品 (AML.T0002)

属于 资源开发 (AML.TA0003)

一句话通俗理解

攻击者还没动手，先把你家公开挂出来的“AI 底牌“统统搬回家——你在模型仓库发布的权重、在官网上开放的数据集、随手提交到代码仓库的智能体配置文件，在他们眼里既是情报（摸清你的 AI 在做什么、怎么部署），也是原料（直接拿去演练和定制攻击）。

难度等级

⭐⭐⭐ Realized（已实现）

官方成熟度评定为 Realized——本技术已在多个真实事件与安全研究中被实际运用：Clearview AI 因源码仓库配置失误导致制品与凭证外泄、布朗大学研究人员凭公开制品复制 GPT-2、UC Berkeley 用公开数据集复刻商业机器翻译系统，都是直接见证。实施门槛极低：绝大多数制品躺在公开渠道里，下载即得。真正的“难度“不在获取本身，而在判断制品与目标生产环境的关联度——官方描述特别指出，攻击者最感兴趣的是受害者组织自己发布或与之关联的制品，因为它们往往代表该组织生产环境中实际使用的东西。此外，部分制品的获取需要注册账户（提供邮箱或姓名）、AWS 密钥甚至提交书面申请，攻击者可能需要先建立账户（AML.T0021）；而托管在受害者自有基础设施上的制品，会让受害者看到“谁访问了什么“——这是防御方难得的可见性窗口。

技术描述

通俗解释

传统攻击者要偷图纸，得翻墙撬锁；AI 时代的攻击者往往什么都不用撬——因为很多组织自己就把“图纸“公开发布了：为了开源声誉发布预训练模型、为了学术复现开放数据集、为了协作把智能体配置文件提交进代码仓库。每一次公开发布，都在向全世界回答三个问题：你的 AI 在做什么任务、用什么方法做、靠什么资源跑。

对手把这些公开制品搬回家，就能在完全不接触目标系统的前提下，把攻击“预演“无数遍：用你的模型搭一个一模一样的替身来调试攻击参数，用你的数据集推断业务数据的分布特征，用你的智能体配置摸清系统提示词、工具清单乃至硬编码的凭证。这正是本技术被归入资源开发而非侦察的原因——它不只是“看“，而是把制品弄到手，变成后续攻击的弹药库。

技术原理

依据官方描述，攻击者通过搜索公开来源识别并获取 AI 制品，公开来源包括云存储、面向公众的服务、软件或数据仓库。制品覆盖三类核心对象：

1. 数据集（AML.T0002.000）——目标组织使用的训练/测试数据，或能代表其数据分布的公开数据集，存放于云存储或组织自有网站，部分需要账户才能下载；
2. 模型（AML.T0002.001）——目标组织使用的模型或代表性模型，包括模型架构（YAML、Python 配置文件）与预训练权重（ONNX .onnx、HDF5 .h5、Pickle .pkl、PyTorch .pth、TensorFlow .pb/.tflite 等常见格式）；
3. AI 智能体配置（AML.T0002.002）——公开可访问的智能体配置文件，包括系统提示词、工具配置（如 mcp.json、claude_desktop_config.json 等 MCP 配置，.claude/settings.json、.vscode/tasks.json 等 IDE 配置）、技能与工作流定义、环境与部署配置；拿到配置后，攻击者可进一步发现智能体配置（AML.T0084）或从中收割凭证（AML.T0083）。

官方描述给出的四条关键链路：

• 制品定位：攻击者通常先经由其他资源找到制品仓库——搜索受害者自有网站（AML.T0003）、搜索开放技术数据库（AML.T0000）是官方点名的两条前置路径；
• 代理模型搭建：获取的 AI 制品可帮助攻击者创建代理 AI 模型（AML.T0005），在离线环境反复演练攻击；
• 对抗数据构造：若制品包含生产模型的实际组成部分，可直接用于构造对抗数据（AML.T0043）；
• 访问门槛：部分制品要求注册（提供邮箱、姓名等）、AWS 密钥或书面申请，攻击者需先建立账户（AML.T0021）。

AI 制品暴露面一览：

值得注意的可见性差异：制品若托管在第三方公共平台（如 Hugging Face），受害者几乎无法感知谁下载了什么；若托管在受害者控制的基础设施上，受害者则能掌握访问者信息（官方描述明确指出这一点）——发布渠道的选择直接决定防御方的检测能力。

平台覆盖：Predictive AI（预测式 AI）/ Generative AI（生成式 AI）/ Agentic AI（智能体 AI）三类平台全部适用；其中智能体配置（AML.T0002.002）仅适用于 Agentic AI。

用途影响

• 摸清 AI 任务与方法：制品直接暴露目标 AI 系统的任务类型、模型架构、数据特征与部署形态，让后续攻击从“盲打“变成“定制“；
• 支撑代理模型攻击：获取代表性模型后可离线搭建替身，反复调试对抗样本与越狱提示词再迁移到真实目标；
• 直取生产片段：若制品含生产模型组成部分，攻击者可绕过黑盒限制直接构造对抗数据；
• 波及凭证安全：智能体配置文件中常包含外部服务凭证与 API 密钥，获取配置可能直接等同于拿到钥匙；
• 全程不触碰目标：绝大部分获取行为发生在公开渠道，目标组织的边界防御完全无感。

子技术列表

该技术共有 3 个子技术：

注：以上 3 个子技术文档均已完成，点击 ID 直达对应文档。

• 技术细节：枚举目标组织名下的模型与数据集（版本、格式、下载量、更新时间），检索配置文件（mcp.json、.claude/settings.json、系统提示词文档），评估每件制品与目标生产环境的关联度——官方描述强调，受害者自有的制品最有价值。

3. 评估访问门槛并建立账户

   • 通俗描述：免费的直接拿，要登记的先办“读者证“。
   • 技术细节：多数制品可匿名下载；需要注册（提交邮箱/姓名）、AWS 密钥或书面申请的制品，攻击者先通过建立账户（AML.T0021）准备身份，部分场景还可用账户注册信息反向社工。

4. 获取并分析制品

   • 通俗描述：搬回家，逐页研读。
   • 技术细节：下载权重与配置文件后做静态分析——模型结构可视化（架构、输入输出约束）、配置与提示词文本审阅（工具清单、行为规则）、数据集统计分析（类别分布、样本形态）；配置文件中的凭证与密钥单独提取归档。

5. 转化为攻击能力

   • 通俗描述：把图纸变成武器。
   • 技术细节：用获取的模型创建代理模型（AML.T0005）离线演练；含生产模型片段时直接构造对抗数据（AML.T0043）；基于智能体配置设计提示词注入与工具滥用路径，或直接使用收割到的凭证（AML.T0083）。

与其他战术的衔接：

• 前置·侦察：搜索开放技术数据库（AML.T0000）、搜索受害者网站（AML.T0003）产出的“组织 AI 资产地图“正是本技术的输入
• 同战术·资源开发：建立账户（AML.T0021）解决受限制品的访问门槛；获取能力（AML.T0016）的攻击工具库与本技术获取的“原料“互为补充
• 后续·AI 攻击适配：代理模型（AML.T0005）与对抗数据（AML.T0043）都在此环节把制品加工成攻击载荷
• 后续·凭证访问：智能体配置中的密钥经 AML.T0083 收割后可直接用于初始访问

关键差异：传统资源开发（如购买漏洞利用）获取的是“通用武器“，本技术获取的是针对目标量身定制的攻击原料——对手用你自己的公开制品打磨针对你的攻击，命中率和隐蔽性都远高于通用弹药。

真实案例

以下精选 4 个代表性案例（官方数据共关联 13 个案例研究），全部源自 MITRE ATLAS 案例库。

案例1：Clearview AI 源码仓库配置失误——制品与凭证一锅端（2020年4月，AML.T0002）

• 时间: 2020年4月16日
• 攻击者: spiderSilk 安全研究人员
• 手法: Clearview AI 的人脸识别工具以公开照片搜索匹配闻名。其源码仓库虽有密码保护，却因配置失误允许任意用户注册账户——研究人员注册后直接进入这个私有代码仓库，拿到生产凭证、包含 7 万视频样本的云存储桶密钥、应用副本与 Slack 令牌。官方指出：拿到训练数据访问权的恶意行为者，可以让部署中的模型产生任意错误分类。
• 影响: 完整演示了“注册账户→获取制品→威胁生产模型“的攻击链；证明 ML 系统安全必须建立在传统安全基线（最小权限、MFA、审计监控）之上
• 参考链接: TechCrunch 报道

案例2：GPT-2 复制——公开制品拼出“危险模型“（2019年8月，AML.T0002.000 / AML.T0002.001）

• 时间: 2019年8月
• 攻击者: 布朗大学研究人员
• 手法: OpenAI 担心 GPT-2 被滥用于冒充他人、生成假新闻与垃圾内容，采取分级发布策略：只放出较小的模型与技术描述，扣留完整训练权重。布朗大学研究人员仅凭 OpenAI 已发布的信息与开源 ML 制品（公开数据集与模型组件），在官方放出完整模型之前成功复制出 GPT-2。
• 影响: 证明具备足够技术与算力的恶意行为者，可以赶在防御社区准备好之前，用公开制品复制出“被扣留“的强大模型并用于有害目的
• 参考链接: Wired 报道、OpenGPT-2 复制过程博客

案例3：机器翻译服务模仿攻击——公开数据集复刻生产系统（2020年4月，AML.T0002.000 / AML.T0002.001）

• 时间: 2020年4月
• 攻击者: UC Berkeley AI 研究团队
• 手法: Google 翻译、Bing 翻译、Systran 等机器翻译服务提供公开界面与 API。研究团队利用这些公开端点，配合公开数据集训练出质量接近生产水平的复刻模型（模仿攻击）；随后在复刻模型上构造对抗样本，并成功迁移到真实生产服务——在 Google 翻译与 Systran 网站上造成定向词语替换、输出粗俗内容、整句丢失等效果。
• 影响: 证明黑盒系统的知识产权可被功能性窃取，且公开制品训练出的复刻模型足以充当对抗样本的“演练场“
• 参考链接: Imitation Attacks 论文 (arXiv)

案例4：OpenClaw 提示词注入 C2——智能体配置成为攻击面（2026年2月，AML.T0002.002）

• 时间: 2026年2月
• 攻击者: HiddenLayer 研究人员
• 手法: 研究人员演示了一个网页如何通过间接提示词注入，让 OpenClaw 智能体静默执行恶意脚本；脚本随后把持久化的恶意指令植入后续系统提示词，攻击者得以持续下达命令，把 OpenClaw 变成一个命令与控制（C2）植入体。官方将本案例关联至 AML.T0002.002——攻击者正是掌握了智能体配置（系统提示词结构与工具体系）的工作方式，才能构造出有效注入并把指令固化进配置层。
• 影响: 单次间接提示词注入即可让 LLM 智能体变成持久化、自动化的 C2 植入体；智能体配置文件从“部署细节“升级为“高价值攻击面“
• 参考链接: HiddenLayer 研究报告

红队视角

⚠️ 免责声明：以下内容仅用于合法授权的安全测试与教育目的。公开不等于可以随意滥用——对第三方平台与仓库的访问须遵守其服务条款，对目标组织的测试须有书面授权。

实战技巧

1. AI 制品暴露面盘点 以目标组织（或受权评估的自有组织）为对象，枚举其在模型托管平台的组织页面（模型、数据集、应用清单及版本历史）、官网下载入口、代码仓库中的配置文件。产出一张“制品—生产关联度“矩阵：哪些是生产同款、哪些是代表性制品、哪些只是实验废料。

2. 配置文件检索演练 在授权范围内对自有代码仓库做“配置泄露“演习：检索 mcp.json、claude_desktop_config.json、.claude/settings.json、.vscode/tasks.json、系统提示词文档与环境变量文件，评估智能体配置的可发现性与泄露后果。

3. 制品关联度分析 对获取的公开模型做结构可视化与输入输出约束分析，评估其与目标线上服务行为的相似度（可对比公开 API 的响应特征）；对数据集做分布统计，判断其与目标业务数据的代表性——这决定代理模型演练的有效性。

4. 访问门槛验证 验证“需要登记才能下载“的制品其门槛是否形同虚设：一次性邮箱能否注册成功、AWS 密钥申请是否有速率与身份核验。这是 AML.T0002 与建立账户（AML.T0021）衔接的实战结合点。

常用工具

注意事项

• 授权边界：对目标组织制品的获取与分析仅限授权评估范围；对第三方公共平台，遵守服务条款与速率限制，禁止批量爬取与转售
• 隔离分析：下载的模型文件可能在加载时执行代码（pickle 等序列化格式），一律在隔离虚拟机中分析，禁止在生产环境直接加载
• 报告口径：重点输出“组织公开发布的制品暴露了什么、与生产关联多深“，为制品发布治理提供依据，而非演示攻击本身

蓝队视角

检测要点

1. 自托管制品的访问监控

   • 日志来源：官网下载服务、自有数据服务器、私有仓库（配置失误转公开的）访问日志
   • 关注字段：访问者 IP/UA、注册账户信息、下载对象与体量
   • 异常特征：新注册账户随即批量下载、单一来源高频枚举全部制品、匿名爬虫式的顺序遍历

2. 公开平台仿冒监控

   • 日志来源：模型托管平台组织页面、证书透明度日志、新注册域名告警
   • 关注字段：组织名/项目名的相似变体
   • 异常特征：以组织名义发布但非官方账号的模型/数据集、与内部项目代号一致的包名

3. 配置泄露持续扫描

   • 日志来源：代码仓库审计（含历史提交）、公网泄露情报源
   • 关注字段：mcp.json、IDE 配置、系统提示词、环境变量文件
   • 异常特征：新提交中包含智能体配置与硬编码凭证、历史提交中曾泄露并需轮换的密钥

监控建议

• 建立AI 制品公开清单：登记组织已公开发布的全部模型、数据集与配置类信息，每次新发布前评估“该制品向对手暴露了什么“
• 自托管制品服务启用注册门槛 + 访问审计：即便公开数据集，也保留“谁在什么时候下载了什么“的日志（官方描述确认这是受害者可见性所在）
• 对生产相关制品做关联度标注：与生产同款/高度相似的制品列为最高敏感级，发布走额外评审
• 用自动化看门狗监控公共平台上组织名义的新制品与相似命名，纳入品牌保护类告警流程

检测建议

网络层检测

检测方法： 监控制品下载与枚举流量的异常模式。

• 出口侧：非数据科学岗位主机出现对模型仓库、数据集存储域名的批量下载（模型权重通常数百 MB 起）
• 入口侧（自托管制品）：单一 IP 对制品目录的顺序遍历、新注册账户短时间内拉取全部对象
• 云存储侧：对象存储的 ListObjects/GetObject 请求量激增，尤其是针对大体积对象

主机层检测

检测方法： 监控开发终端上的制品获取与配置外带行为。

• 命令行工具（huggingface-cli、git clone、脚本化下载器）在非工作时间的批量拉取
• 大体积模型/数据集文件落盘后随即被压缩或上传到外部网盘的“收集+外带“组合行为
• 配置文件（mcp.json、.env、提示词文档）被批量复制出代码仓库目录

应用层检测（AI 遥测）

检测方法： 利用托管平台与仓库服务的审计能力。

• 模型托管平台的组织审计日志：异常下载量、异常 API token 调用模式（全量枚举接口）
• 代码仓库的审计日志：对历史提交中配置文件的异常检索式访问
• 注册流程风控：一次性邮箱、异常 UA 的批量注册（对应“先建号再搬运“路径）

程序化检测思路（无需 EDR 侧改造）：

在自托管制品服务前置一层访问日志分析：按“账户/IP“维度统计单位时间内的对象枚举数与下载体量，超过基线即告警——正常研究者按需下载单个制品，搜刮者按目录全量拉取，两者的访问形状差异显著。配合注册接口的风控（邮箱域名信誉、验证码、注册-下载间隔），即可低成本覆盖本技术最主要的两条获取路径。

Sigma 规则思路示例

title: 对象存储制品被批量枚举与下载（公开 AI 制品搜刮）
status: experimental
description: 检测单一来源在短时间内对制品存储桶执行高频列举与
    大体积对象下载，可能为公开 AI 制品的批量获取（AML.T0002）
logsource:
    category: cloud_audit
    product: aws
    service: s3
detection:
    selection_listing:
        eventName:
            - ListBuckets
            - ListObjects
    selection_download:
        eventName: GetObject
    filter_internal:
        source_ip|cidr:
            - '10.0.0.0/8'
            - '172.16.0.0/12'
            - '192.168.0.0/16'
    condition: 1 of selection_* and not filter_internal
    timeframe: 10m
level: medium
tags:
    - attack.t1588
    - atlas.aml_t0002

说明：思路示例聚焦“列举+下载“的访问形状；生产化需按账户基线增加聚合阈值（如 10 分钟内 GetObject 超过 N 个大对象）并联动注册风控。

缓解措施

优先级1：关键措施

AML.M0000 限制公开技术信息发布（Limit Public Release of Information）

限制对外发布组织产品或服务中 AI 技术栈的技术信息——技术知识可被攻击者用于目标锁定与攻击定制。落地要点：建立制品发布评审流程，公开前评估“该制品是否与生产环境同款或高度代表生产环境“；同时限制可间接推断技术细节的组织信息公开（研究员姓名与研究方向、部门结构、物理位置都可能成为检索入口）。对本技术而言这是治本之策：发布面收敛一分，对手的原料库就少一分。

AML.M0001 限制模型制品发布（Limit Model Artifact Release）

限制公开生产环境所用的（或能代表生产环境的）数据、算法、模型架构与模型检查点等技术项目细节。落地要点：区分“研究展示“与“生产复现“两级发布口径——论文可以讲方法，但生产同款权重、检查点与完整训练数据不随附公开；确需开放的代表性制品，评估其可否直接用于代理模型演练与对抗数据构造。

优先级2：建议措施

AML.M0014 验证 AI 制品（Verify AI Artifacts）

对所有 AI 制品校验加密校验和，确认文件未被攻击者篡改。该措施挂载于子技术 AML.T0002.001（模型），价值在消费侧与发布侧双向成立：发布方公布校验和可让下游用户发现被篡改的“照牌“制品；组织内部下载公开模型/数据集时执行哈希登记，防止“以为拿到的是目标原版制品、实际是对手调过包的版本“——后者会让后续的代理模型演练建立在被误导的基础上。

MITRE ATLAS 缓解措施映射

优先级为本库基于缓解措施特性给出的落地建议：两项 Policy 类措施解决“该不该公开、公开到什么粒度“，是源头治理；制品校验解决“拿到的和发布的是否一致“。子技术 AML.T0002.002（AI 智能体配置）官方未挂载专属缓解措施，可参照 M0000/M0001 的发布治理思路管理智能体配置文件的公开面，并对配置中的凭证遵循最小化与轮换原则。

关联 ATT&CK 技术

官方数据中本技术（含全部子技术）没有 attack_reference 映射——获取公开 AI 制品是 ATLAS 独有的技术：传统 ATT&CK 中不存在“搜刮目标组织公开的模型/数据集/智能体配置“这一对象类别。以下为同一攻击逻辑在传统矩阵中的主题类比：

• 获取能力 (T1588) — 同属资源开发战术的“获取“逻辑：购买/下载现成能力用于攻击。区别在于 T1588 获取的是通用能力（漏洞利用、工具），AML.T0002 获取的是与目标生产环境关联的 AI 制品
• 搜索开放网站/域名 (T1593) — 官方描述点名的制品定位前置路径：从目标网站与公开渠道找到制品仓库的入口
• 搜索开放技术数据库 (T1596) — 另一条官方点名的前置路径：论文库、代码托管等开放技术数据库是 AI 制品的天然集散地
• 建立账户 (T1585) — 对应“获取受限制品需先注册“的环节：官方描述明确部分制品要求注册或书面申请，攻击者需先建立账户（AML.T0021）

传统获取 vs 获取公开 AI 制品：

一句话总结：T1588 是“去黑市买通用武器“，AML.T0002 是“把目标自己晒出来的图纸搬回家造专门打它的武器“。

动手实验

⚠️ 重要提示：所有实验以自有组织或公开教学资源为对象，遵守平台服务条款；下载的模型文件一律在隔离虚拟机中分析，禁止直接加载执行。

实验环境准备

实验1（初级）：盘点自有组织的 AI 制品暴露面

实验目标： 体验攻击者视角的“制品清单“（对应 AML.M0000/M0001 的评估输入）。

实验步骤：

1. 用模型托管平台的组织页面/API，枚举自有（或指定的开源示范）组织名下全部模型与数据集
2. 逐项标注：是否与生产同款、是否包含权重文件、下载是否需要登记
3. 检索组织代码仓库中可公开访问的配置文件（mcp.json、.claude/settings.json 等）
4. 换位思考：若你是攻击者，清单里哪三件制品最有价值？为什么？

预期结果： 产出一份带“生产关联度“标注的制品暴露面清单。

实验2（中级）：公开模型与配置的静态分析

实验目标： 掌握获取制品后的基础分析流程。

实验步骤：

1. 下载一个小型公开模型（选 ONNX 或 PyTorch 格式），用 Netron 查看架构、输入输出约束
2. 提取随模型发布的配置文件与 tokenizer 信息，还原该模型的任务类型与部署形态
3. 用 picklescan 扫描权重文件，理解“模型文件也可能是代码“的风险面
4. 对照案例3思考：这个模型能否充当某个线上服务的“演练替身“？

预期结果： 能仅凭制品本身还原出模型的任务、架构与部署线索。

实验3（高级）：智能体配置审计与攻击面复盘

实验目标： 理解 AML.T0002.002 的攻击面并落地配置治理。

实验步骤：

1. 在自有代码仓库全历史中检索智能体配置文件（MCP 配置、IDE 配置、系统提示词文档）
2. 用 gitleaks 扫描这些文件与相关提交，列出泄露过的凭证及其轮换状态
3. 针对每份配置回答：暴露了哪些工具入口？系统提示词透露了什么行为规则？
4. 对照案例4（OpenClaw）复盘：攻击者拿到这些配置后能设计出什么注入路径？
5. 将发现整理为组织的智能体配置发布规范（什么能公开、凭证如何治理）

预期结果： 输出一份可执行的智能体配置治理清单，覆盖发布评审与凭证轮换。

术语解释

参考资料

📚 官方文档

• MITRE ATLAS - Acquire Public AI Artifacts (AML.T0002) - 官方技术页面
• MITRE ATLAS 矩阵
• MITRE ATLAS Data (GitHub)

📰 案例报告（真实攻击与安全研究）

• TechCrunch: Security lapse exposed Clearview AI source code - 配置失误导致制品与凭证外泄的事件全景
• Wired: OpenAI Said Its Code Was Risky. Two Grads Re-Created It Anyway - GPT-2 公开制品复制事件
• Wallace et al.: Imitation Attacks and Defenses for Black-box Machine Translation Systems - 公开数据集复刻生产系统的模仿攻击研究
• HiddenLayer: Exploring the Security Risks of AI Assistants like OpenClaw - 智能体配置与系统提示词沦为攻击面的演示

🔧 工具与资源

• Hugging Face Hub 文档 - 模型托管平台的组织资产枚举与安全机制
• Netron - 多格式模型结构可视化工具
• gitleaks - 仓库与配置文件的凭证泄露扫描
• OWASP Top 10 for LLM Applications - LLM 应用十大安全风险

🔗 关联阅读

• 资源开发战术 (AML.TA0003) - 本技术所属战术的概览页
• 获取能力 (T1588) - 传统资源开发中同属“获取“逻辑的技术，对照阅读
• 搜索开放技术数据库 (T1596) - 官方点名的制品定位前置技术

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 技术文档 v1.0