AI 攻击适配 (AML.TA0001)

一句话理解

攻击者把 AI 当作“军火改造厂“——将通用能力、情报和目标知识加工成针对性的攻击武器：高仿代理模型、对抗数据、深度伪造、恶意提示词，甚至让 AI 智能体自主规划与编排攻击。

战术概述

AI 攻击适配是 MITRE ATLAS 框架中 ATLAS 特有的战术，编号 AML.TA0001，位于 ATLAS 矩阵第 03 位。传统 MITRE ATT&CK 矩阵中没有与之对应的战术——它是 AI 时代攻击准备工作发生质变的产物。

官方定义（意译）： 攻击者将可复用的能力、通用攻击方法、目标知识与高层目标，加工转化为针对特定目标或当前作战条件的“攻击就绪“（attack-ready）产出。

通俗解释： 如果说资源开发是“造武器“，AI 攻击适配就是“把武器改造成适合眼前这一仗“——把通用弹药改装成打击特定目标的定制弹。而且这个战术有双重含义：

1. 针对 AI 系统做适配：为攻破目标 AI 模型而构造对抗数据、训练代理模型、离线验证攻击效果；
2. 利用 AI 做攻击适配：把 AI 能力当作生产工具，生成深度伪造、构造恶意提示词、污染检索内容、动态生成恶意命令，甚至让 AI 智能体自主规划攻击路径并协同执行。

典型产出物：

• 代理模型 / 被操纵的模型——高仿目标模型的“替身“，或被植入后门的模型工件
• 对抗数据——人眼看不出异常、模型却会中招的输入
• 构造的提示词或检索内容——绕过 LLM 防线、滥用 RAG 信任链的内容
• 深度伪造——以假乱真的合成音视频与文本
• 生成的恶意命令 / 代码——由 LLM 动态生成、签名不断变化的攻击载荷
• 自主智能体的任务指派——面向 AI 智能体的目标、行动序列与工具指令

在攻击中的作用与时机： AI 攻击适配可能发生在初始访问（AML.TA0004）达成之前，并在整个行动过程中反复出现——攻击者每获得新情报、新访问或新条件，都可能回到这个战术重新加工攻击产出。攻击者在此阶段会综合利用：

• 侦察（AML.TA0002）与发现（AML.TA0008）获得的目标知识
• AI 模型访问（AML.TA0000）获得的模型访问权
• 资源开发（AML.TA0003）建立的可复用能力

与资源开发的边界： 资源开发负责“创建或获取“可复用能力；AI 攻击适配负责把这些能力“应用或改装“到特定目标、特定目标条件或当前作战环境中。一个造枪，一个校枪。

战术在攻击链中的位置

攻击链全景图

下图展示 MITRE ATLAS 全部 16 个战术在典型攻击链中的推进顺序（编号即本知识库的战术目录序号）：

graph LR
    A["01 侦察"] --> B["02 资源开发"]
    B --> C["03 AI攻击适配<br/>AML.TA0001"]
    C --> D["04 初始访问"]
    D --> E["05 AI模型访问"]
    E --> F["06 执行"]
    F --> G["07 持久化"]
    G --> H["08 权限提升"]
    H --> I["09 防御规避"]
    I --> J["10 凭证访问"]
    J --> K["11 发现"]
    K --> L["12 横向移动"]
    L --> M["13 收集"]
    M --> N["14 命令与控制"]
    N --> O["15 数据渗漏"]
    O --> P["16 影响"]

    style C fill:#ff6b6b,stroke:#333,stroke-width:2px,color:#fff

当前战术的角色

AI 攻击适配是 ATLAS 攻击链的第三阶段，位于资源开发之后、初始访问之前。但它与线性推进的战术不同——适配是一个反复发生的动作：攻击者在行动全程中不断将新的知识与能力转化为新的攻击产出物。

这个阶段的重要性在于：它发生在攻击真正落地之前。如果蓝队能在此阶段发现异常（例如推理 API 出现模式化的高频查询、RAG 知识库混入来源不明的内容），就能在攻击发起前抢占先机。

前置战术

• 侦察（AML.TA0002，第 01 阶段）：攻击者需要先了解目标的 AI 系统架构、使用的模型与供应商，才能确定适配方向。
• 资源开发（AML.TA0003，第 02 阶段）：攻击者需要先获取可复用的能力（算力、模型、工具、数据集），适配阶段才能将其加工成攻击产出物。
• AI 模型访问（AML.TA0000，第 05 阶段）：对目标模型的直接访问（如推理 API）既是部分适配技术的前提，也可能是适配的成果。

后续战术

• 初始访问（AML.TA0004，第 04 阶段）：适配产出物就绪后，攻击者即可发起正式攻击——用深度伪造实施冒充、用对抗数据欺骗部署在边界上的 AI 防御。
• 执行（第 06 阶段）：AI 生成的恶意命令与自主智能体任务指派将在目标环境中落地执行。

技术索引表

难度依据官方 maturity 映射：⭐⭐⭐ Realized（已实现）/ ⭐⭐ Demonstrated（已演示）/ ⭐ Feasible（可行）。本战术技术均为 ATLAS 特有，官方数据中暂无直接 ATT&CK 技术映射。

子技术索引

子技术难度继承其主技术的官方 maturity 等级。

统计信息

• 战术编号：AML.TA0001（ATLAS 矩阵第 03 位）
• 技术总数：11 个
• 子技术总数：14 个（分属 4 个主技术）
• 难度分布：⭐⭐⭐ 已实现 8 个 · ⭐⭐ 已演示 3 个 · ⭐ 可行 0 个
• 文档状态：0 篇已完成 · 25 篇计划中（11 主技术 + 14 子技术）
• ATT&CK 映射：本战术为 ATLAS 特有，官方数据暂无直接 ATT&CK 战术映射

推荐阅读顺序

第一阶段：直观感受“AI 武器化“（入门）

适合零基础的 AI 安全爱好者，从最直观、离生活最近的技术开始。

前置知识： 了解基本网络概念（钓鱼、恶意软件），使用过 ChatGPT 等 LLM 产品。

推荐阅读：

1. AML.T0088 生成深度伪造 - 最直观的 AI 攻击：伪造的音视频如何冲击“眼见为实“的信任基础，新闻中的 AI 换脸诈骗就属于此类。
2. AML.T0065 LLM 提示词构造 - 理解攻击者如何精心设计提示词，绕过 LLM 的安全防线让恶意指令被执行。
3. AML.T0102 生成恶意命令 - APT 组织已用 LLM 从自然语言生成攻击命令，理解 AI 如何降低攻击门槛。

学习建议：

• 关注身边的 AI 诈骗新闻，建立“AI 生成内容不可全信“的直觉
• 思考：你所在组织的哪些流程依赖“声音/视频/文本可信“？

第二阶段：对抗机器学习基础（进阶）

适合有一定机器学习基础的学习者，理解针对 AI 模型本身的攻击原理。

前置知识： 了解机器学习基本概念（训练、推理、分类器、梯度）。

推荐阅读：

1. AML.T0043 构造对抗数据 - 对抗样本攻击的核心：白盒优化、黑盒优化、黑盒迁移与人工修改四条路线。
2. AML.T0005 创建代理 AI 模型 - 攻击者如何“克隆“目标模型，在没有直接访问的情况下离线练手。
3. AML.T0042 验证攻击 - 攻击前的“彩排“环节：为什么少量查询就能让攻击者确信手法有效。

学习建议：

• 阅读 Goodfellow 等人的对抗样本经典论文，理解“人眼无感、模型中招“的数学原理
• 在授权实验环境（如对抗样本工具箱）中复现简单的图像扰动实验

第三阶段：自主智能体威胁（高级）

适合关注前沿威胁的学习者，理解 AI 智能体带来的新型攻击形态。

前置知识： 了解 LLM Agent 与 RAG 架构，具备一定攻防对抗经验。

推荐阅读：

1. AML.T0018 操纵 AI 模型 - 模型工件层面的供应链攻击面：投毒、改架构、嵌恶意软件、改提示词逻辑。
2. AML.T0066 检索内容构造 - RAG 信任链投毒：伪造内容如何借“AI 助手说的“这层信任实施影响。
3. AML.T0117 自主攻击路径适配 / AML.T0118 自主 AI 智能体通信 / AML.T0124 自主攻击编排 - 自主攻击“三部曲“：智能体如何自适应规划路径、相互通信、并被集中编排。

学习建议：

• 跟踪 MITRE ATLAS 案例研究库，理解各项技术的真实事件支撑
• 思考智能体的授权边界问题：合法目标为何会催生越权的有害行为

参考资料

官方文档

• MITRE ATLAS - AI Attack Adaptation (AML.TA0001) - 本战术官方页面
• MITRE ATLAS 矩阵 - AI/ML 对抗威胁全景矩阵
• MITRE ATLAS Data (GitHub) - ATLAS 官方 STIX/JSON 数据仓库

学术研究

• Goodfellow et al., Explaining and Harnessing Adversarial Examples (2014) - 对抗样本开山之作，AML.T0043 的理论根基
• Papernot et al., Practical Black-Box Attacks against Machine Learning (2016) - 黑盒对抗攻击与替身模型，对应 AML.T0005/AML.T0043
• Szegedy et al., Intriguing Properties of Neural Networks (2013) - 首次揭示神经网络的对抗性扰动特性

行业资源

• OWASP Top 10 for LLM Applications - LLM 应用安全风险清单，与提示词构造/检索投毒高度相关
• ProKYC 深度伪造工具报道 (Cato Networks) - 专门用于账户欺诈的深度伪造工具案例，对应 AML.T0088

速查卡

• 常用技术：AML.T0043 构造对抗数据（骗过模型）、AML.T0065 LLM 提示词构造（绕过防线）、AML.T0088 生成深度伪造（冒充身份）、AML.T0124 自主攻击编排（智能体协同）
• 关键检测信号：推理 API 出现异常高频/模式化查询（模型克隆与攻击验证的征兆）、RAG 知识库混入来源不明内容、生物识别系统出现通过率异常、智能体执行超出授权边界的自主动作
• 防御要点：限制并监控推理 API 的调用速率与查询模式、RAG 数据源准入审计与内容溯源、部署深度伪造核验（活体检测、多因子认证）、智能体权限最小化与行为硬约束、模型工件完整性校验（签名/哈希）
• 蓝队关注点：本战术多发生在攻击落地之前——异常的模型克隆查询、投毒内容入库、智能体越界试探都是“提前预警“的黄金信号，把握住就能把攻击扼杀在适配阶段

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 战术README v1.0