Keyboard shortcuts

Press ← or → to navigate between chapters

Press S or / to search in the book

Press ? to show this help

Press Esc to hide this help

执行 (AML.TA0005)

一句话理解

攻击者让恶意代码真正“跑起来“——或是骗用户加载带毒的模型制品，或是让 LLM 与 AI 智能体替他执行恶意指令。

战术概述

执行是 ATLAS 攻击链中从“进得来“到“干得了“的转折点：攻击者通过运行隐藏在 AI 制品或软件中的恶意代码，在本地或远程系统上获得 adversary 控制的行为执行能力。与传统 ATT&CK 执行不同，ATLAS 执行的“运行恶意代码“有了两层新含义——主机代码执行（模型文件、数据集、软件包中捆绑的可执行负载）与恶意 AI 行为（通过提示词注入劫持模型输出、滥用智能体工具调用越权操作）。

通俗解释： 传统执行像小偷撬开锁后动手翻东西；ATLAS 执行还包括“借刀杀人“——不亲自写一行入侵代码，而是给 LLM 塞一段恶意提示词让模型违背原指令干活，或者在网页里埋一个只有 AI 智能体看得懂的“诱饵按钮“，骗对方的智能体替攻击者点击、复制、执行。执行类技术通常与其他所有战术的技术配对使用，以实现探索网络、窃取数据等更大目标。

在攻击中的作用： 执行位于 MITRE ATLAS 攻击链的中前段，是初始访问与 AI 模型访问之后的能力兑现环节。攻击者借助执行技术建立立足点：或让恶意负载随模型加载落地为主机进程，或通过提示词注入获得 LLM 会话的控制权，进而调用智能体挂载的工具链（发邮件、查数据库、执行命令）向纵深推进。执行产出的能力直接支撑持久化、凭证访问、数据渗漏等后续战术。

包含的技术类型：

  • 经典代码执行：滥用命令行与脚本解释器执行任意命令（AML.T0050）——与传统 ATT&CK 执行同源
  • 用户执行与 AI 供应链落地：诱导用户加载、运行带毒的模型/数据集/软件包等 AI 制品（AML.T0011，4 个子技术）
  • 模型行为劫持：构造恶意提示词让 LLM 偏离原有指令、听命于攻击者（AML.T0051，直接/间接/触发式三种注入）
  • 智能体滥用：调用受害智能体的挂载工具越权操作（AML.T0053）、用诱饵内容骗智能体误点误执行（AML.T0100）、在受害环境中部署自己的智能体（AML.T0103）

值得警惕的典型场景： 组织常将开源模型制品直接加载进生产环境。攻击者利用 Python pickle 等序列化格式把恶意代码藏进模型文件，一旦加载即触发主机代码执行；这常与 AI 供应链妥协（AML.T0010）配对——用户以为在下载模型，实际在执行攻击者的代码。另一典型场景是高权限无人值守智能体：智能体被授予邮件、代码执行等工具却关闭了人工确认，一条经网页注入的间接提示词即可驱使其外传敏感数据。

与 ATT&CK 传统执行的差异：

维度ATT&CK 执行 (TA0002)ATLAS 执行 (AML.TA0005)
执行载体二进制、脚本、宏、系统服务AI 制品（模型/数据集/包）、提示词、智能体工具链
典型手法PowerShell、漏洞利用、计划任务加载带毒模型、提示词注入、诱骗智能体点击
攻击效果主机上的恶意代码执行主机代码执行 + 恶意 AI 行为（模型/智能体被劫持）
独有攻击面—LLM 会话劫持、智能体工具越权调用、在受害环境部署智能体

战术在攻击链中的位置

攻击链全景图

graph LR
    A["01 侦察"] --> B["02 资源开发"]
    B --> C["03 AI攻击适配"]
    C --> D["04 初始访问"]
    D --> E["05 AI模型访问"]
    E --> F["06 执行<br/>AML.TA0005"]
    F --> G["07 持久化"]
    G --> H["08 权限提升"]
    H --> I["09 防御规避"]
    I --> J["10 凭证访问"]
    J --> K["11 发现"]
    K --> L["12 横向移动"]
    L --> M["13 收集"]
    M --> N["14 命令与控制"]
    N --> O["15 数据渗漏"]
    O --> P["16 影响"]

    style F fill:#ff6b6b,stroke:#333,stroke-width:2px

注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。

当前战术的角色

执行是攻击者兑现入侵成果的环节：拿到模型或智能体入口后，攻击者需要让恶意负载真正运行——无论是落地为主机进程，还是转化为被劫持的模型行为。执行能力越强，后续能配对的战术就越多。

前置战术

  • 初始访问：投递恶意制品或诱导用户打开恶意链接/文件（用户执行常作为其落地方式）
  • AI模型访问：获得与 LLM、智能体的交互入口，为提示词注入与工具滥用创造条件

后续战术

  • 持久化：部署的 AI 智能体（AML.T0103）可持续在受害环境中活动
  • 凭证访问与发现：借智能体工具调用读取数据源、枚举集成服务，铺开攻击面
  • 数据渗漏与影响：劫持的智能体可直接调用邮件、网络类工具外传数据或实施破坏

技术索引表

技术ID中文名称难度子技术数一句话理解关联ATT&CK文档状态
AML.T0011用户执行⭐⭐⭐4骗用户加载带毒的模型/数据集/软件包，恶意代码随 AI 制品一起进门—✅ 已完成
AML.T0050命令与脚本解释器⭐⭐⭐0滥用 PowerShell、Python 等命令行与脚本解释器执行任意命令T1059✅ 已完成
AML.T0051LLM 提示词注入⭐⭐⭐3构造恶意提示词，让 LLM 抛弃原有指令、转而执行攻击者的意图—✅ 已完成
AML.T0053AI 智能体工具调用⭐⭐0借受害智能体之手调用其挂载的工具，越权执行操作、读数据、跑代码—✅ 已完成
AML.T0100AI 智能体诱饵点击⭐⭐0布置诱饵内容骗计算机操作型智能体“误点“，诱导其复制执行恶意代码或外传数据—✅ 已完成
AML.T0103部署 AI 智能体⭐⭐⭐0在受害者环境里安插自己的 AI 智能体，授予工具与权限代为执行恶意行动—✅ 已完成

平台覆盖说明（依据官方数据）：

  • AML.T0011（用户执行）覆盖全部四类平台：Predictive AI / Generative AI / Agentic AI / Enterprise——任何 AI 制品都可能携带恶意负载
  • AML.T0050（命令与脚本解释器）仅适用于 Enterprise——命令解释器是传统主机能力
  • AML.T0051（LLM 提示词注入）适用于 Generative AI 与 Agentic AI——注入目标必须是 LLM
  • AML.T0053、AML.T0100、AML.T0103 仅适用于 Agentic AI——依赖智能体的工具调用与自主决策能力

子技术索引

子技术ID中文名称难度一句话理解文档状态
AML.T0011.000不安全AI制品⭐⭐⭐加载来路不明的模型/数据集，其中捆绑的可执行或行为塑造组件随之生效✅ 已完成
AML.T0011.001恶意软件包⭐⭐⭐安装名称抢注/仿冒的恶意依赖包，在 AI 项目构建时装载恶意代码✅ 已完成
AML.T0011.002投毒AI智能体工具⭐⭐⭐给智能体安装被投毒的工具，工具一被调用就执行恶意逻辑✅ 已完成
AML.T0011.003恶意链接⭐⭐诱导用户点击链接，触发恶意载荷下载或执行✅ 已完成
AML.T0051.000直接注入⭐⭐⭐攻击者亲自向 LLM 输入恶意提示词，令其生成有害内容或获取立足点✅ 已完成
AML.T0051.001间接注入⭐⭐把恶意指令藏进网页/文档等数据源，等 LLM 正常检索时吞下诱饵✅ 已完成
AML.T0051.002触发式注入⭐⭐预埋的恶意提示词由特定用户操作或系统事件触发激活✅ 已完成

注：子技术难度继承其父技术的官方 maturity 等级。

统计信息

  • 技术总数：6 个
  • 子技术总数：7 个
  • 难度分布：⭐⭐⭐（Realized）4 个 / ⭐⭐（Demonstrated）2 个 / ⭐（Feasible）0 个
  • 平台分布：Agentic AI 5 项 / Generative AI 2 项 / Predictive AI 1 项 / Enterprise 2 项（AML.T0011 覆盖全部四类平台）
  • 已完成文档：13 个（6 主技术 + 7 子技术，全部完成 ✅）

推荐阅读顺序

入门阶段：建立“制品即载荷“的意识

适合刚接触 AI 安全的学习者，从传统执行与最直观的用户执行入手。

前置知识： 了解操作系统进程、命令行基础概念

推荐阅读：

  1. AML.T0050 命令与脚本解释器 - 复习经典命令执行手法，理解它与 AI 场景如何组合使用
  2. AML.T0011 用户执行 - 理解模型、数据集、依赖包等 AI 制品如何成为恶意代码的载体
  3. AML.T0011.000 不安全AI制品 - 掌握 pickle 反序列化等模型文件夹带恶意负载的原理

学习建议：

  • 检查自己团队加载模型/数据集的流程有没有来源校验与扫描环节
  • 对模型托管平台上缺乏来源背书的社区上传制品，一律按不可信制品对待
  • 在隔离环境中用恶意 pickle 样本体验“加载模型即执行代码“

进阶阶段：模型行为劫持

适合有一定 LLM 应用开发基础的学习者，掌握 AI 特有的“执行“方式。

前置知识： 了解 LLM 的工作机制、system prompt 的作用

推荐阅读：

  1. AML.T0051 LLM 提示词注入 - 理解“不运行主机代码也能执行攻击“的行为劫持逻辑
  2. AML.T0051.001 间接注入 - 学习恶意指令如何藏进 RAG 数据源与网页内容
  3. AML.T0051.002 触发式注入 - 了解等待特定条件激活的休眠型注入

学习建议：

  • 对照 OWASP LLM Top 10 中的提示词注入条目，梳理输入/输出过滤的防御层次
  • 思考“忽略之前的指令“类攻击为何难以从流量层检测

高级阶段：智能体滥用

适合深入理解 AI 智能体攻防对抗的学习者。

前置知识： 了解 AI 智能体的工具调用、自主决策机制

推荐阅读：

  1. AML.T0053 AI 智能体工具调用 - 理解攻击者如何借受害智能体的权限调用工具链越权操作
  2. AML.T0100 AI 智能体诱饵点击 - 学习专门针对计算机操作型智能体的“诱饵页面“攻击
  3. AML.T0103 部署 AI 智能体 - 了解攻击者如何在受害环境部署高权限、无人工确认的自主智能体

学习建议：

  • 结合本库 ATLAS 案例研究（case-studies）中的真实事件理解技术的实际运用
  • 思考防御侧如何审计智能体工具调用日志中的异常行为链

参考资料

官方文档

关联阅读

学习资源

速查卡

  • 常用技术：AML.T0051（提示词注入）、AML.T0011（用户执行）、AML.T0053（智能体工具调用）——模型劫持与制品夹带是 AI 时代执行的新主力
  • 关键检测信号：模型加载伴随的可疑子进程、LLM 输出中异常的指令越权痕迹、智能体非常规时间/顺序的工具调用、环境中新出现的未知 AI 智能体进程
  • 攻击者常用手法：pickle 反序列化木马模型、抢注/仿冒的恶意依赖包、网页与文档中隐藏的间接注入指令、骗智能体点击的诱饵页面、关闭人工确认的高权限智能体
  • 防御要点：AI 制品来源签名与扫描、智能体工具最小权限、LLM 输入输出过滤、高危工具调用强制人工确认、监控环境内的智能体部署行为
  • 蓝队关注点：提示词注入难以从网络流量区分，需在应用层审计 LLM 请求/响应；智能体工具调用日志是核心取证源，重点盯“复制并执行代码“类高危动作链
  • 案例研究：本库 案例研究分节 已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 战术README v1.0