获取基础设施 (AML.T0008)

属于 资源开发 (AML.TA0003)

一句话通俗理解

开战之前先置办“产业“——攻击者要打 AI 系统，也得先租一屋子 GPU 当兵工厂、抢注一个过期域名当埋伏点、印一件对抗图案 T 恤当隐身衣、批发一批大模型 API 额度当军需补给；这些阵地用合法渠道租得到、买得起、烧得掉，出事时还查不到人。

难度等级

⭐⭐⭐ Realized（已实现）

官方成熟度评定为 Realized——这是整条攻击链上“动手门槛“最低的技术之一：一张信用卡就能注册域名、租用 GPU，二手市场就能买到攻击用的摄像头与手机，获取环节全部走合法商业渠道。真正构成“难度“的不是获取本身，而是隐蔽与归因规避：如何让基础设施难以物理溯源（匿名注册、多账户分散、用后即毁），以及如何让恶意流量混进正常流量（藏身云厂商子域、借道 AI 服务代理）。真实攻击中已被大规模运用：Anthropic 披露的模型蒸馏活动动用约 2.4 万个账户、1600 万次查询（AML.CS0056）；两名骗徒用摄像头劫持设备绕过人脸识别，从税务系统骗走 7700 万美元（AML.CS0004）。

技术描述

通俗解释

传统网络攻击者要买域名、租服务器，攻击 AI 系统的人开出的“采购清单“要长得多：训练一个攻击用的代理模型需要 GPU 集群（兵工厂），给数据集投毒需要一个过期域名（埋伏地点），骗过人脸识别需要印着对抗图案的贴纸和 T 恤（伪装装备），隐藏 C2 需要无服务器函数（化装成平民的传令兵），大规模“白嫖“前沿模型需要 AI 服务代理（军需黑市）。

这份清单最可怕的地方在于：每一件“武器“的采购环节都完全合法——域名注册商、云厂商、二手市场、打印店。可疑性只体现在“用途“上，而用途恰恰发生在防御者的视野之外。基础设施获取发生在攻击链最前端，此时攻击者尚未触碰目标系统，受害者侧几乎没有任何可观测信号。

技术原理

依据官方描述，攻击者可在攻击行动全程购买、租赁或租用基础设施。可用于承载与编排攻击行动的基础设施种类繁多，包括物理或云服务器、域名、移动设备与第三方 Web 服务；免费资源（如 Google Colaboratory）也可使用，但通常受限。技术要点拆解如下：

1. 物理对抗措施也是基础设施：官方描述明确指出，基础设施还可包括削弱或干扰 AI 组件与传感器的物理组件——印刷品、可穿戴物、伪装物。这是 ATLAS 对传统“基础设施“概念最具颠覆性的扩展：一件印满对抗图案的 T 恤，与一台 C2 服务器同属攻击基础设施；
2. 支撑全流程作战：这些基础设施方案允许对手**暂存（stage）、发射（launch）与执行（execute）**攻击行动——从准备载荷到最终落地，阵地贯穿始终；
3. 混入正常流量：合适的方案能帮助攻击行动混入被视为正常的流量，例如对第三方 Web 服务的访问——企业每天都在访问云厂商与 AI 服务，谁会怀疑其中的恶意回连；
4. 归因困难与快速供给：取决于具体实现，攻击者可使用难以与其本人产生物理关联的基础设施，且这些设施可被快速开通、修改与关闭——用完即焚，追查时灰烬都不剩。

基础设施类型 × 获取渠道 × 在 AI 攻击中的用途：

平台覆盖：Enterprise（企业环境）——本技术面向传统 IT/云基础设施的获取与使用，是攻击的准备性动作，不依赖特定 AI 平台形态。

用途影响

• 攻击能力工厂：昂贵算力把“理论上可行“的攻击变成可运行、可迭代的攻击——没有 GPU 就没有代理模型，没有代理模型就没有离线攻击演练；
• 阵地与跳板：域名与无服务器设施为投毒数据集、钓鱼页面与 C2 通道提供难以归因的立足点，且可随时弃换；
• 规模化引擎：AI 服务代理把“一次 API 调用“放大为千万级调用——蒸馏攻击（AML.T0024）与恶意内容量产（AML.T0102、AML.T0052.000）都以此为基础负荷；
• 物理域延伸：基础设施第一次有了“摸得着“的形态——对抗图案穿在身上、道具拿在手里，直接作用于摄像头与人脸识别终端；
• 攻击链枢纽：官方描述强调这些方案支撑对手暂存、发射与执行行动——资源开发战术的全部产出最终都要“落在“某块基础设施上。

子技术列表

该技术共有 6 个子技术：

注：以上 6 个子技术文档均已完成，点击 ID 直达对应文档。

• AI 攻击适配（AI Attack Staging）：租用的 AI 开发工作区就是攻击实验室——构造对抗数据、训练代理模型、迭代攻击载荷都在这里完成
• 暂存能力（AML.T0079）：抢注的域名、无服务器函数是现成的“弹药库“——投毒数据点、恶意载荷静候受害者上门
• 初始访问（Initial Access）：钓鱼域名、仿冒 AI 服务、投毒数据集（经 split-view 调包）都是迈入目标环境的门
• 命令与控制（Command and Control）：无服务器函数与 AI 服务充当 C2 中转——藏在云厂商与 AI 服务的“正常“域名背后

关键差异：传统 T1583 的基础设施是“给攻击当窝点“，ATLAS 语境下的基础设施还承担制造攻击的职能——GPU 工作区是生产攻击的工厂，对抗道具是贴身穿的装备，AI 服务代理是掩护攻击流量的集市。基础设施第一次既是“阵地“，又是“武器“。

真实案例

以下精选 4 个代表性案例（官方数据共关联 11 个案例研究），全部源自 MITRE ATLAS 案例库。

案例1：Web 级数据集投毒——Split-View 攻击（2024年，AML.T0008.002）

• 时间: 2024年6月
• 攻击者: Google DeepMind、ETH Zurich、NVIDIA、Robust Intelligence 与 Google 的联合研究团队（安全研究）
• 手法: 许多大规模数据集以“指向单个数据点的 URL 清单“形式分发。研究者指出其结构性漏洞：数据集最初收集时抓取的内容与训练时抓取的内容可能不同——攻击者可以买下曾在数据集中出现、现已过期可售的域名，在原 URL 上放置投毒数据。对 10 个流行 Web 级数据集的验证表明，可购买的域名比例足以成功实施投毒攻击。
• 影响: 证明“花小钱买过期域名“就能污染主流训练数据集——数据集的信任有效期，取决于其引用域名的生命周期
• 参考链接: Poisoning Web-Scale Training Datasets is Practical (arXiv)

案例2：摄像头劫持攻击人脸识别税务系统（2018–2020年，AML.T0008.001）

• 时间: 2018 年启动骗局，2020 年披露
• 攻击者: 两名中国籍人员
• 手法: 通过摄像头劫持攻击绕过“活体“人脸识别认证——向系统注入冒用身份的人脸图像，接入上海市政府税务系统；随后注册空壳公司、虚构客户发票，累计骗取 7700 万美元。用于注入图像的摄像头等消费级设备正是攻击基础设施——廉价、易得、难以溯源。
• 影响: 几百块的硬件撬开了上亿资金的大门；物理域认证绕过与系统性税务欺诈的组合
• 参考链接: WSJ: Faces are the next target for fraudsters

案例3：MITRE AI 红队物理域规避人脸识别（2020年，AML.T0008.003）

• 时间: 2020年
• 攻击者: MITRE AI 红队（授权演练）
• 手法: 对一套商业人脸识别服务实施物理域规避攻击，目标是诱导定向误分类。整个行动将传统 ATT&CK 技术（寻找有效账户、经 API 执行代码）与对抗性 ML 攻击交织推进——物理对抗措施（对抗图案等道具）是贯穿行动的“装备库“。
• 影响: 演示了攻击基础设施中的“实物“一环：对抗图案与数字攻击手法组合成完整攻击链，物理道具与人脸识别终端同框出现
• 参考链接: MITRE ATLAS 案例研究 AML.CS0012

案例4：针对 Anthropic Claude 的模型蒸馏活动（2026年，AML.T0008.005）

• 时间: 2026年2月披露
• 攻击者: DeepSeek、Moonshot AI、MiniMax
• 手法: Anthropic 披露三家 AI 实验室通过合计约 24,000 个账户、1,600 万次查询，以模型蒸馏方式在 Claude 的输出上训练自家模型，试图复制其智能体推理、代码生成、工具使用与计算机使用能力。大规模账户与查询由代理性质的基础设施协调，流量混杂难以一键封禁。
• 影响: 蒸馏出的模型缺乏前沿模型的安全护栏，可能被恶意行为者用于生化武器研发、虚假信息、攻击性网络行动与大规模监控等用途
• 参考链接: Anthropic: Detecting and preventing distillation attacks

红队视角

⚠️ 免责声明：以下内容仅用于合法授权的安全测试与教育目的。未经授权获取、使用基础设施或对他人系统进行测试是违法行为。

实战技巧

1. 相似域名与到期域名风险盘点（面向自有品牌） 用 crt.sh 检索组织域名的证书签发记录，用 dnstwist 生成拼写变体清单并逐一核查注册状态；同时盘点组织对外发布的数据集、文档中引用的外部 URL，标记其中已过期或临近到期的域名——回答“如果攻击者现在抢注，能劫持我们什么“。

2. AI 凭证滥用检测验证 在组织中放置蜜罐式 API 密钥（不接真实资源），验证从密钥泄露到异常调用告警的链路是否闭环——对应 LLM Jacking 场景下“被盗凭证流入代理市场“的检测能力。

3. 物理入口韧性演练（需明确授权） 对人脸识别等物理认证入口，在场地与法律双授权下测试照片、屏幕回放、对抗图案的绕过效果，评估活体检测与多模态校验的实际水平。

4. 云算力滥用面评估 检查组织云租户中是否存在无人认领的 GPU 实例、异常的 Notebook 服务与失控的免费额度——这些是内部人员或失陷凭证“借用“组织资源开发攻击的迹象。

常用工具

注意事项

• 授权范围内购置：红队评估中的域名、云资源一律以组织名义注册并打上显著标记（WHOIS 备注、无害 canary），绝不使用匿名或被盗支付渠道
• 物理测试双授权：涉及摄像头、门禁与出入口系统的物理对抗测试，必须同时获得场地授权与法律确认
• 报告聚焦“组织的域名暴露面、凭证监控、物理入口韧性是否有效“，而非证明攻击可行性

蓝队视角

检测要点

1. 域名与证书监控

   • 日志来源：证书透明度（CT）日志、DNS 解析日志、品牌保护服务
   • 关注字段：新注册域名的注册时间、注册人、签发证书的域名
   • 异常特征：与组织域名编辑距离极近的新注册域、向组织数据集 URL 清单中域名新签发的证书、品牌变体域名上线 AI 服务特征（LLM Web 前端、API 网关）

2. AI 服务与云用量遥测

   • 日志来源：云审计日志（CloudTrail 等）、LLM 网关与 API 用量报表
   • 关注字段：账户/密钥维度的调用量、token 消耗、来源 IP 与客户端指纹
   • 异常特征：单账户异常高的模型调用频次与 token 消耗（蒸馏特征）、同一凭证从异常地理与 IP 段使用（LLM Jacking 特征）、系统性覆盖知识面的相似提示词洪峰

3. 物理入口遥测

   • 日志来源：门禁系统日志、人脸识别终端的质量分析
   • 异常特征：识别终端遭遇照片/屏幕反光/图案遮挡的尝试、摄像头固件或线缆的非授权变更（对应摄像头劫持类硬件植入）

监控建议

• 建立数据集 URL 卫生制度：发布 URL 清单式数据集前审计域名存活与归属，长期监控引用域名的注册状态变化——别让攻击者先一步买走你引用的域名
• 对组织自有与易混淆域名做长周期注册 + 自动续费 + 相似域名监控，压缩抢注窗口
• API 密钥按环境隔离、建立用量基线告警，辅以蜜罐密钥验证检测链路
• 高价值物理入口保留人工复核通道，活体检测策略随攻击演进持续升级

检测建议

网络层检测

检测方法： 识别与可疑基础设施的连接模式。

• 对新注册域名（域龄极短）的外连与入站流量保持基线化监控
• 脚本解释器与系统工具进程对无服务器托管域（workers.dev、script.google.com 等）的连接——正常业务不该由 powershell 访问云函数
• 企业资产对已知 AI 代理转售服务域名的访问

主机层检测

检测方法： 监控异常进程的回连行为。

• 非浏览器进程（脚本解释器、系统工具）与 serverless / 脚本托管域的 TLS 连接（CS0029 式渗漏回连特征）
• 文档/表格软件进程意外发起到 AI 服务域名的请求（提示词注入驱动的数据外传常用第三方 Web 服务作中转）
• 摄像头与人脸识别终端的固件、线缆、供电的非授权变更

应用层检测（AI 遥测）

检测方法： 利用 AI 平台与云审计能力发现滥用。

• LLM API 用量异常：token 速率、模型组合、失败模式偏离账户基线（蒸馏与凭证滥用共用此特征）
• 同一 API 密钥出现多 IP、多地域、异构客户端指纹（LLM Jacking 的经典画像）
• 提示词模式分析：大量结构相似、系统性覆盖知识面的查询（Anthropic 报告的蒸馏检测维度）

程序化检测思路（无需 EDR 侧改造）：

两条低成本管线：其一，CT 日志流式订阅 + dnstwist 变体清单比对，每日输出“新出现的相关域名“报告；其二，在 LLM 网关按密钥维度建 token 消耗基线，偏离基线即告警并联动密钥轮换——分别覆盖本技术最痛的两个子面（.002 域名与 .005 代理滥用）。

Sigma 规则思路示例

title: 脚本解释器外连无服务器托管域（serverless C2/渗漏中转）
status: experimental
description: 检测脚本解释器与系统工具进程向无服务器/脚本托管域发起外连，
    可能为滥用无服务器基础设施的回连或 C2 中转（AML.T0008.004）
logsource:
    category: network_connection
    product: windows
detection:
    selection_process:
        Image|endswith:
            - '\powershell.exe'
            - '\cmd.exe'
            - '\wscript.exe'
            - '\cscript.exe'
            - '\mshta.exe'
    selection_domain:
        DestinationHostname|endswith:
            - '.workers.dev'
            - '.pages.dev'
            - '.run.app'
            - '.cloudfunctions.net'
            - '.azurewebsites.net'
            - 'script.google.com'
    condition: selection_process and selection_domain
    timeframe: 5m
level: medium
tags:
    - attack.t1583
    - atlas.aml_t0008

缓解措施

官方数据说明：在 MITRE ATLAS 官方数据（2026.09）中，AML.T0008 及其全部 6 个子技术均未映射任何缓解措施（mitigations 字段为空）——本技术属于攻击前的资源准备行为，主要发生在受害者视野之外，官方框架暂无直接对策条目。企业版 T1583 获取基础设施 亦无官方缓解映射。以下为本库基于技术特性与关联案例整理的防御建议，非官方映射。

优先级1：关键建议 —— 守住域名信任链

数据集 URL 卫生 + 自有域名守护：对外发布 URL 清单式数据集的组织，应维护引用域名清单并监控其注册状态——引用域名一旦过期易主，数据集即面临 split-view 调包风险（案例1）；对组织自有、产品线及高混淆度变体域名做长周期注册、自动续费与相似域名监控，压缩攻击者的抢注窗口。

优先级2：重要建议 —— 收紧 AI 凭证与用量治理

凭证保护 + 用量基线：AI 服务凭证（云 API 密钥、模型访问令牌）按环境隔离并定期轮换，防止被盗后流入 LLM Jacking 式代理市场（对应子技术 .005 与 Sysdig 披露的攻击链）；在 LLM 网关与云审计侧建立账户/密钥维度的用量基线，异常消耗（蒸馏、批量生成）即时告警。

优先级3：建议措施 —— 物理入口韧性

活体检测与多模态校验：人脸识别等物理认证入口升级活体检测（3D 结构、微表情、红外），叠加多模态校验与关键场景人工复核——对抗贴纸、伪装物与摄像头劫持（对应子技术 .003 与 .001）的缓解核心是提高“单点欺骗“的成本；对识别终端的固件与线缆实施物理防篡改管理。

落地优先级一览（本库建议）

说明：以上为本库编辑建议。由于攻击发生在目标视野之外，检测与暴露面收敛比“缓解“更现实——本技术多数子技术的最佳防御窗口在下游战术（暂存能力、初始访问）的入口处。

关联 ATT&CK 技术

• 获取基础设施 (T1583) — 官方 attack_reference 直接映射，同源技术
• 域名 (T1583.001) — 官方映射到子技术 AML.T0008.002
• 无服务器 (T1583.007) — 官方映射到子技术 AML.T0008.004
• 服务器 (T1583.004) — 非官方对应：租用云服务器/GPU 与子技术 .000/.001 的自然衔接点

传统获取基础设施 vs ATLAS 获取基础设施：

一句话总结：T1583 回答“攻击者从哪弄服务器和域名“，AML.T0008 在此之上多答了三件事——去哪弄 GPU 攻击算力（.000）、怎么把对抗图案“穿在身上“当基础设施（.003）、以及怎么借 AI 代理把恶意调用藏进正常流量（.005）。

动手实验

⚠️ 重要提示：所有实验在自有资产与公开数据上进行，不涉及对第三方系统的测试；域名与云资源以组织名义注册并标记用途。

实验环境准备

实验1（初级）：相似域名与证书透明度监控

实验目标： 建立组织域名暴露面的外部视角。

实验步骤：

1. 在 crt.sh 检索自有组织域名，导出历史证书签发记录
2. 用 dnstwist 生成域名变体清单，逐一查询注册状态与证书情况
3. 汇总“已被第三方注册的相似域名“，评估其是否模仿了组织业务
4. 思考：组织的数据集与文档里引用了哪些外部域名？它们的到期时间是什么？

预期结果： 输出一份组织相似域名风险清单与引用域名到期台账。

实验2（中级）：数据集 URL 风险审计

实验目标： 亲测 split-view 攻击面的规模。

实验步骤：

1. 选取一个以 URL 清单分发的公开数据集，抽样数百条记录
2. 批量解析域名存活状态，查询 WHOIS 注册信息
3. 统计“已失效/可购买“域名比例，对照案例1的研究结论
4. 思考：若攻击者买下其中 1% 的域名并在原 URL 放置投毒数据，下游训练会发生什么？

预期结果： 量化理解“数据集信任有效期 = 引用域名生命周期“。

实验3（高级）：无服务器通道特征与检测规则

实验目标： 理解 serverless 基础设施的隐蔽性并验证可检测性。

实验步骤：

1. 在自有云账号部署一个仅返回固定标记文本的无害函数
2. 从测试机用脚本解释器（如 PowerShell）访问该函数，采集流量特征：目标域名归属、TLS 证书、与常规 API 流量的区分度
3. 对照案例：CS0029 中攻击者为何选择 Google Apps Script 承载渗漏脚本（Google 自有域名 + 绕过 CSP）
4. 依据本文 Sigma 思路编写一条检测规则，验证步骤 2 的行为可被发现
5. 评估：若封禁该域名，攻击者重新供给的成本是多少？检测规则应覆盖“行为模式“而非“单一域名“

预期结果： 产出一套“serverless 通道特征 + 可落地检测规则“的攻防对照笔记。

术语解释

参考资料

📚 官方文档

• MITRE ATLAS - Acquire Infrastructure (AML.T0008) - 官方技术页面
• MITRE ATLAS 矩阵
• MITRE ATLAS 案例研究库
• MITRE ATLAS Data (GitHub)

📰 案例报告（真实攻击与安全研究）

• Poisoning Web-Scale Training Datasets is Practical (arXiv 2302.10149) - Split-view 数据集投毒研究（AML.CS0025）
• WSJ: Faces are the next target for fraudsters - 摄像头劫持骗过人脸识别骗取 7700 万美元（AML.CS0004）
• MITRE ATLAS: Face Identification System Evasion (AML.CS0012) - MITRE AI 红队物理域规避演练
• Anthropic: Detecting and preventing distillation attacks - 针对 Claude 的模型蒸馏活动披露（AML.CS0056）
• Sysdig: LLMjacking - 被盗云凭证驱动的 LLM 攻击分析（关联 AML.CS0030）
• Embrace the Red: Hacking Google Bard - 借 Google Apps Script 基础设施渗漏对话数据（AML.CS0029）

🔧 工具与资源

• crt.sh - 证书透明度日志查询
• dnstwist (GitHub) - 域名变体生成与抢注检测
• urlscan.io - 域名历史扫描记录检索
• OWASP Top 10 for LLM Applications - LLM 应用十大安全风险
• NIST AI Risk Management Framework - NIST AI 风险管理框架

🔗 关联阅读

• 获取基础设施 (T1583) - 传统基础设施获取技术，与本技术对照阅读
• 资源开发战术 (AML.TA0003) - 本技术所属战术的概览页
• AI 供应链入侵 (AML.T0010) - 抢注域名调包数据集与投毒制品的下游衔接

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 技术文档 v1.0