Keyboard shortcuts

Press ← or → to navigate between chapters

Press S or / to search in the book

Press ? to show this help

Press Esc to hide this help

初始访问 (AML.TA0004)

一句话理解

攻击者跨进 AI 系统大门的那一刻——既走传统老门（钓鱼、有效账户、漏洞利用），也走 AI 时代新开的门：一颗被投毒的模型、一个没设密码的 LLM 服务、一页等着 AI 智能体来读的“带毒“网页。

战术概述

初始访问是 ATLAS 攻击链中攻击者获得对 AI 系统第一个立足点的战术，编号 AML.TA0004。目标系统可以是企业网络、移动设备或传感器平台等边缘设备，其 AI 能力可以本地部署，也可以云端启用。与传统 ATT&CK 初始访问相比，ATLAS 初始访问在经典入口向量之外新增了三类 AI 原生入口：AI 供应链入侵（AML.T0010 家族）、暴露的 AI 服务（AML.T0132）与提示词渗透（AML.T0093）。

通俗解释： 如果把攻击链比作入室盗窃，初始访问就是“进门“这个动作。攻击者既会撬传统老门——骗你开门（钓鱼）、偷钥匙（有效账户）、撬锁（漏洞利用）；也会走 AI 时代新开的门：在模型仓库和依赖库里“夹带私货“（供应链投毒）、推开一扇根本没上锁的 LLM 服务大门（配置错误）、或者提前把恶意指令埋进你家的邮件和共享文档里，等 AI 管家自己去读（提示词渗透）。AI 系统建立在传统 IT 之上，传统攻击面全部适用；AI 引入的新组件又带来了全新入口。

在攻击中的作用： 初始访问位于侦察、资源开发、AI 攻击适配之后，是攻击者从“外部观察“转入“内部行动“的转折点。没有初始访问，攻击者无法触及目标的数据、模型与 AI 服务。本战术也是 ATLAS 与 ATT&CK 差异最直观的战术之一——10 个技术中有 6 个在传统 ATT&CK 中没有官方映射条目。

包含的技术类型：

  • 供应链入侵：AI 供应链入侵（AML.T0010，含 6 个子技术）覆盖硬件、AI 软件、数据、模型、容器镜像仓库、AI 智能体工具全链条
  • 凭据与账户滥用：有效账户（AML.T0012）滥用账户密码与 API 密钥，直接登录 AI 资源
  • 经典入口向量：利用面向公众的应用（AML.T0049）、网络钓鱼（AML.T0052，含 LLM/深伪两个子技术）、路过式入侵（AML.T0078）——ATT&CK 经典手法在 AI 场景的延伸
  • AI 原生入口：通过公开应用进行提示词渗透（AML.T0093）、构造 AI 助手链接（AML.T0131）、AI 服务配置错误或公开暴露（AML.T0132）
  • 自动化流水线利用：利用自动化制品处理流水线（AML.T0119），攻击由后台自动处理触发，无需受害者交互
  • 模型规避：规避 AI 模型（AML.T0015）——用对抗样本与深度伪造骗过 AI 检测或生物特征认证

值得警惕的典型场景： 供应链是 AI 组织最易低估的入口：团队随手安装的依赖库、从模型托管平台拉取的权重、CI 引用的基础镜像、智能体动态调用的第三方工具——任何一个环节被投毒，恶意组件都会以“受信任交付物“的身份长驱直入。提示词渗透则更为隐蔽：恶意指令可长期潜伏在邮件、工单、共享文档甚至图片中，一旦被 RAG 索引或 AI 智能体读取，可能同时影响组织内多个用户与多套 AI 工具。

与 ATT&CK 传统初始访问的差异：

维度ATT&CK 初始访问 (TA0001)ATLAS 初始访问 (AML.TA0004)
入口对象网络、主机、账户、传统软硬件供应链AI 供应链（模型/数据/智能体工具）、AI 服务、RAG 数据源
典型手法钓鱼、有效账户、漏洞利用、信任关系传统手法 + 提示词渗透、构造 AI 助手链接、暴露 LLM 服务
独有技术水坑攻击、可移动介质、Wi-Fi 网络AI 供应链 6 子技术家族、提示词渗透、制品处理流水线利用
攻击意图获得网络立足点获得立足点并直取数据、模型与智能体

战术在攻击链中的位置

攻击链全景图

graph LR
    A["01 侦察"] --> B["02 资源开发"]
    B --> C["03 AI攻击适配"]
    C --> D["04 初始访问<br/>AML.TA0004"]
    D --> E["05 AI模型访问"]
    E --> F["06 执行"]
    F --> G["07 持久化"]
    G --> H["08 权限提升"]
    H --> I["09 防御规避"]
    I --> J["10 凭证访问"]
    J --> K["11 发现"]
    K --> L["12 横向移动"]
    L --> M["13 收集"]
    M --> N["14 命令与控制"]
    N --> O["15 数据渗漏"]
    O --> P["16 影响"]

    style D fill:#ff6b6b,stroke:#333,stroke-width:2px

注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。

当前战术的角色

初始访问是攻击者从“外部“进入“内部“的转折点。前置阶段收集的情报与准备的载荷在这里兑现：走传统 IT 入口（账户、漏洞、钓鱼），还是走 AI 原生入口（供应链、暴露服务、提示词渗透）。一旦进入成功，攻击者即可推进到 AI 模型访问、执行等后续阶段，所有恶意活动都建立在这个立足点之上。

前置战术

  • 侦察：定位暴露的 AI 服务、公开数据源与智能体入口——如提示词渗透前先侦察哪些公开应用会被 RAG 索引或智能体监控
  • 资源开发：准备钓鱼基础设施、投毒的模型与数据集等攻击载荷
  • AI 攻击适配：将攻击能力适配到目标的具体模型与 AI 技术栈

后续战术

  • AI 模型访问：拿到立足点后直接接触模型本体，为窃取、篡改或滥用模型铺路
  • 执行：在目标环境运行恶意代码——如供应链投毒的载荷随组件加载而执行
  • 持久化：建立长期驻留机制，确保访问不因密码更改或服务重启而丢失

技术索引表

全部 18 篇技术文档已完成，点击 ID 直达对应文档。

技术ID中文名称难度子技术数一句话理解关联ATT&CK文档状态
AML.T0010AI 供应链入侵⭐⭐⭐6在硬件、AI软件、数据、模型等供应链任一环节植入恶意组件，随正常交付进入目标系统—✅ 已完成
AML.T0012有效账户⭐⭐⭐0偷取并滥用账户密码或API密钥，直接登录AI系统与云上AI资源T1078✅ 已完成
AML.T0015规避 AI 模型⭐⭐⭐0用对抗样本或深度伪造骗过AI模型，绕过AI检测或生物特征认证—✅ 已完成
AML.T0049利用面向公众的应用⭐⭐⭐0攻击互联网暴露应用的漏洞，从入口突入目标网络触及AI系统T1190✅ 已完成
AML.T0052网络钓鱼⭐⭐⭐2用欺骗性消息骗取访问权限，LLM与深度伪造让钓鱼更规模化、更逼真T1566✅ 已完成
AML.T0078路过式入侵⭐⭐0用户或AI智能体浏览网页时，被页面中的提示词注入等内容改变AI行为T1189✅ 已完成
AML.T0093通过公开应用进行提示词渗透⭐⭐0把恶意提示词埋进邮件、共享文档、工单甚至图片，等RAG索引或AI智能体摄入后生效—✅ 已完成
AML.T0119利用自动化制品处理流水线⭐⭐⭐0投递触发自动处理流水线的制品，利用处理逻辑漏洞以流水线worker权限执行代码或泄露数据—✅ 已完成
AML.T0131构造 AI 助手链接⭐⭐⭐0构造自带恶意提示词的AI助手链接，目标一点开，智能体就按攻击者指令行事—✅ 已完成
AML.T0132AI 服务配置错误或公开暴露⭐⭐0利用LLM运行时缺失认证、权限过宽等配置错误，未授权直接访问暴露的AI服务—✅ 已完成

平台覆盖说明（依据官方数据）：

  • AML.T0010（AI 供应链入侵）、AML.T0132（AI 服务配置错误或公开暴露）覆盖三类 AI 平台：Predictive AI / Generative AI / Agentic AI
  • AML.T0093（提示词渗透）、AML.T0131（构造 AI 助手链接）仅适用于 Generative AI 与 Agentic AI——提示词只有 LLM 与智能体才会“执行“
  • AML.T0015（规避 AI 模型）仅适用于 Predictive AI——对抗样本与伪造针对分类/检测类模型
  • 其余 5 个技术以 Enterprise 平台为主，经典入口向量在传统 IT 环境即可执行

子技术索引

子技术ID中文名称难度一句话理解文档状态
AML.T0010.000硬件⭐在AI加速卡、传感器等硬件的生产或分发环节植入恶意组件✅ 已完成
AML.T0010.001AI软件⭐⭐⭐在AI框架、库、SDK等软件栈中植入恶意代码✅ 已完成
AML.T0010.002数据⭐⭐⭐污染训练数据或其标注，让模型“从小学坏“✅ 已完成
AML.T0010.003模型⭐⭐⭐在模型文件或模型仓库中植入后门或恶意负载✅ 已完成
AML.T0010.004容器镜像仓库⭐⭐在存放AI容器镜像的仓库中投毒，随镜像拉取进入生产环境✅ 已完成
AML.T0010.005AI智能体工具⭐⭐⭐在AI智能体调用的工具或插件中动手脚，借智能体之手作恶✅ 已完成
AML.T0052.000通过社会工程LLM进行鱼叉式钓鱼⭐⭐用社会工程LLM批量生成高度个性化的鱼叉式钓鱼内容✅ 已完成
AML.T0052.001深度伪造辅助钓鱼⭐用深度伪造的音视频冒充可信身份，为钓鱼增加可信度✅ 已完成

注：子技术难度继承其父技术的官方 maturity 等级。

统计信息

  • 技术总数：10 个
  • 子技术总数：8 个
  • 难度分布：⭐⭐⭐（Realized）7 个 / ⭐⭐（Demonstrated）3 个 / ⭐（Feasible）0 个
  • 已完成文档：18 个（10 主技术 + 8 子技术，全部完成 ✅）

推荐阅读顺序

入门阶段：传统入口如何在 AI 场景复用

适合刚接触 AI 安全的学习者，从与传统 ATT&CK 高度同源的技术入手。

前置知识： 了解基础网络安全概念（账户、漏洞、钓鱼）

推荐阅读：

  1. AML.T0012 有效账户 - 与 ATT&CK T1078 同源，API 密钥是 AI 时代的新“钥匙“
  2. AML.T0049 利用面向公众的应用 - 对应 T1190，AI 系统同样跑在传统 IT 之上
  3. AML.T0132 AI 服务配置错误或公开暴露 - 最易得手的 AI 原生入口：没设认证的 LLM 服务

学习建议：

  • 对照 Enterprise 侧初始访问战术阅读，体会“AI 系统首先是一个传统系统“
  • 自检方式：你所在组织的 LLM/智能体端点是否要求认证？

进阶阶段：AI 原生的社会工程与提示词渗透

适合了解 LLM/RAG 基本原理的学习者，理解“污染 AI 输入“这一全新攻击范式。

前置知识： 了解 LLM、RAG、AI 智能体的基本工作原理

推荐阅读：

  1. AML.T0052 网络钓鱼（含 2 个子技术） - 社会工程 LLM 与深度伪造如何把钓鱼“工业化“
  2. AML.T0078 路过式入侵 - 网页中的提示词注入如何劫持替用户浏览的智能体
  3. AML.T0093 通过公开应用进行提示词渗透 - “埋雷式“攻击：恶意提示词长期潜伏，等 AI 自己来读

学习建议：

  • 重点关注 OCR 渗透等隐蔽变体——恶意指令可以藏在图片与发票里
  • 思考 RAG 摄入管线与智能体触发规则为何成为新的攻击面

高级阶段：供应链与自动化流水线

适合理解软件供应链与 CI/CD 流程的学习者，进入本战术的核心家族。

前置知识： 了解软件开发生命周期、容器镜像、模型训练流程

推荐阅读：

  1. AML.T0010 AI 供应链入侵（含 6 个子技术） - 本战术核心家族，从硬件到智能体工具的全链条投毒
  2. AML.T0119 利用自动化制品处理流水线 - 无需受害者交互的后台处理利用
  3. AML.T0131 构造 AI 助手链接 / AML.T0015 规避 AI 模型 - 新兴攻击面：URL 参数投递指令与对抗样本

学习建议：

  • 对照 Enterprise 侧 T1195 供应链妥协阅读，理解 AI 供应链的六条支线
  • 关注模型文件反序列化、智能体工具生态等供应链新风险点

参考资料

官方文档

关联阅读

学习资源

速查卡

  • 常用技术：AML.T0010（AI 供应链入侵——影响最广）、AML.T0012（有效账户）、AML.T0132（暴露的 AI 服务——最易得手的新入口）
  • AI 原生入口：提示词渗透（AML.T0093）、构造 AI 助手链接（AML.T0131）、路过式入侵（AML.T0078）——传统 ATT&CK 中没有的全新攻击面
  • 关键检测信号：异常的模型/数据集下载与镜像拉取、LLM 端点未授权访问、RAG 索引内容中出现可疑指令、AI 助手收到携带指令参数的链接
  • 攻击者常用手法：模型仓库投毒、依赖包抢注、钓鱼邮件与深伪音视频、公开工单与共享文档“埋雷“、携带提示词参数的助手链接
  • 防御要点：校验 AI 组件来源与完整性（哈希/签名）、为暴露的 LLM 服务加认证与最小权限、对进入 RAG/智能体的内容做提示词注入过滤、MFA 与 API 密钥轮换
  • 蓝队关注点：初始访问是攻击者与目标系统直接交互的阶段——登录日志、制品仓库审计、云配置变更是核心监控源；供应链入口“一次投毒、处处中招“，应优先防护
  • 案例研究：本库 案例研究分节 已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 战术README v1.0