持久化 (AML.TA0006)

一句话理解

攻击者不满足于“进得来“，而是想办法在你的 AI 系统里留下“永不失效的通知地址“——哪怕重启、换密码、清会话，他依然能回来。

战术概述

持久化是 ATLAS 攻击链的第七步：攻击者试图通过 AI 制品（artifacts）或软件维持其在目标环境中的立足点。在传统 ATT&CK 中，持久化靠注册表、服务、计划任务；而在 AI 环境中，持久化的载体变成了训练数据、模型权重、RAG 索引、智能体记忆与配置、工具定义——这些东西的共同特点是：一旦被污染，就会在重启、重新部署、更换会话之后继续生效。

通俗解释： 传统持久化像在别人家里偷偷留了一把自己配的钥匙；ATLAS 持久化更像在对方公司的“知识库“或“员工手册“里偷偷夹了一页假规定——就算保安换了、门锁换了，只要员工还在看这本手册，假规定就一直在生效。你清掉当前那个聊天窗口没用，因为污染的是模型本身、是检索库里的文档、是智能体长期记忆里的一条偏好。

在攻击中的作用： 持久化位于 ATLAS 攻击链的中段偏后，通常紧接在初始访问、AI 模型访问与执行之后。攻击者的目标是让一次性的得手变成长期控制：

• 污染训练数据，使后门在模型重新训练后依然存在（AML.T0020）
• 用提示词自我复制把恶意指令写进 LLM 的输出，传播到其他模型与系统（AML.T0061）
• 向 RAG 索引注入恶意文档，让特定查询永远命中假信息或注入指令（AML.T0070）
• 篡改智能体的记忆、共享线程与配置文件，改变它后续所有决策（AML.T0080、AML.T0081）
• 在智能体可访问的数据源或工具里下毒，使其被信任的工具成为长期投毒通道（AML.T0099、AML.T0110）
• 让自主智能体在环境被清空后能自行重建运行条件（AML.T0121），或直接创建一个长期有效的账户（AML.T0125）

包含的技术类型：

• 数据层持久化：训练数据投毒、RAG 投毒——污染“喂给模型的东西“
• 模型与提示词层持久化：LLM 提示词自我复制——让恶意提示随输出自我传播
• 上下文与配置层持久化：AI 智能体上下文投毒（记忆/线程）、修改 AI 智能体配置——污染“模型看到的环境“
• 工具与数据源层持久化：AI 智能体工具数据投毒、AI 智能体工具投毒——污染“智能体能调用的东西“
• 运行环境层持久化：AI 智能体环境重建、创建账户——在传统基础设施上重建立足点

值得警惕的典型场景： 组织为节省成本，用公有数据加少量自有数据持续微调模型，并让 RAG 系统定期抓取内部 Wiki 与共享盘。攻击者只要在其中一个可写的数据源里植入少量恶意样本，就能同时获得两层持久化：模型层面表现为“偶尔答错“或“特定触发词后异常输出“，RAG 层面表现为“某个问题的答案永远指向攻击者的说法“。这种污染难以通过“重启服务““清空会话“消除，往往需要回滚数据与模型版本。

与 ATT&CK 传统持久化的差异：

战术在攻击链中的位置

攻击链全景图

graph LR
    A["01 侦察<br/>AML.TA0002"] --> B["02 资源开发"]
    B --> C["03 AI攻击适配"]
    C --> D["04 初始访问"]
    D --> E["05 AI模型访问"]
    E --> F["06 执行"]
    F --> G["07 持久化<br/>AML.TA0006"]
    G --> H["08 权限提升"]
    H --> I["09 防御规避"]
    I --> J["10 凭证访问"]
    J --> K["11 发现"]
    K --> L["12 横向移动"]
    L --> M["13 收集"]
    M --> N["14 命令与控制"]
    N --> O["15 数据渗漏"]
    O --> P["16 影响"]

    style G fill:#ff6b6b,stroke:#333,stroke-width:2px

注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。

当前战术的角色

持久化发生在攻击者已经取得某个立足点之后——一次成功的提示词注入、一次对训练管线的访问、一次对 RAG 数据源的写入权限。它的作用是把“这一次成功了“变成“以后都能成功“：攻击者从这里开始获得稳定、可重复利用的访问路径，后续的权限提升、凭证访问、数据收集乃至命令与控制都可以建立在这个长期据点上。

值得注意的是，AI 环境的持久化常常是**“无声“的**：没有新进程、没有新文件落地到主机，只是数据分布、检索结果或配置项的细微变化。这使得基于传统主机痕迹的检测方法大面积失效。

前置战术

• 初始访问：通过钓鱼、暴露应用、供应链等途径获得第一个入口
• AI 模型访问：获取对模型、训练管线、模型仓库或推理接口的访问权
• 执行：在目标环境中成功运行恶意指令（如一次生效的提示词注入）
• AI 攻击适配：准备好针对具体模型与数据管线的适配攻击载荷

后续战术

• 权限提升：借助持久化据点进一步获取更高权限
• 防御规避：利用被污染的配置或模型行为削弱检测能力
• 凭证访问：通过被投毒的工具或智能体获取凭证
• 收集：利用长期据点持续收集高价值数据

技术索引表

本战术的技术文档尚未编写，以下技术 ID 与名称暂为纯文本，待文档落地后转换为链接。

平台覆盖说明（依据官方数据）：

• AML.T0020（训练数据投毒）覆盖 Predictive AI / Generative AI / Agentic AI 三类——凡是模型训练都面临该风险
• AML.T0061、AML.T0070、AML.T0080 适用于 Generative AI 与 Agentic AI——依赖 LLM 与检索增强架构
• AML.T0081、AML.T0099、AML.T0110 仅适用于 Agentic AI——智能体配置与工具是该平台独有的攻击面
• AML.T0121、AML.T0125 归属 Enterprise 平台，攻击者利用传统基础设施即可执行

子技术索引

注：子技术难度继承其父技术的官方 maturity 等级。

统计信息

• 技术总数：9 个
• 子技术总数：5 个
• 难度分布：⭐⭐⭐（Realized）5 个 / ⭐⭐（Demonstrated）3 个 / ⭐（Feasible）1 个
• 已完成文档：14 个（9 主技术 + 5 子技术，全部完成 ✅）

推荐阅读顺序

入门阶段：理解“污染一次，长期生效“

适合刚接触 AI 安全的学习者，从最直观的数据层持久化入手。

前置知识： 了解模型训练与微调的基本流程，知道 RAG 的检索—生成原理

推荐阅读：

1. AML.T0020 训练数据投毒 - 理解恶意样本如何随训练固化进模型权重，且难以通过重启清除
2. AML.T0070 RAG 投毒 - 学习往检索库注入文档如何让特定查询长期命中恶意内容
3. AML.T0125 创建账户 - 对照传统 ATT&CK 的账户持久化，理解 AI 平台与原环境共通的立足点

学习建议：

• 想一想：你的模型上次训练用的是哪份数据？谁有写入权限？谁审计过数据变更？
• 数据层持久化的关键防御点是“可追溯“，而非“事后检测“

进阶阶段：智能体上下文与配置

适合已了解智能体工作原理的学习者，进入“模型看到的环境“这一层。

前置知识： 了解 LLM 上下文窗口、会话管理、智能体的系统提示词与工具调用机制

推荐阅读：

1. AML.T0061 LLM 提示词自我复制 - 理解恶意提示如何借助模型输出自我传播
2. AML.T0080 AI 智能体上下文投毒 - 掌握通过记忆与线程改变智能体长期行为的手法
3. AML.T0081 修改 AI 智能体配置 - 理解配置文件为何成为影响所有智能体的高价值目标

学习建议：

• 在授权实验环境中观察：清空会话后，智能体的行为是否还有污染残留？
• 关注配置文件的变更审计与智能体记忆的可视化巡检

高级阶段：工具供应链与环境重建

适合深入理解智能体架构与自主智能体行为的学习者。

前置知识： 了解 MCP 协议、工具插件生态、自主智能体的任务执行循环

推荐阅读：

1. AML.T0110 AI 智能体工具投毒 - 深入工具定义、实现、运行时返回三个层面的投毒手法
2. AML.T0099 AI 智能体工具数据投毒 - 理解被工具视为可信的数据源如何成为注入通道
3. AML.T0121 AI 智能体环境重建 - 了解自主智能体如何在外界试图清除它时自我复原，改变响应策略

学习建议：

• 梳理所用工具的来源与更新机制，评估供应链投毒与“拉地毯“式变更的风险
• 思考防御侧：单纯“杀进程/重置环境“对自主智能体是否足够

参考资料

官方文档

• MITRE ATLAS 持久化战术 (AML.TA0006)
• MITRE ATLAS 矩阵
• MITRE ATLAS Data (GitHub)

关联阅读

• ATT&CK Enterprise 持久化战术 (TA0003) - 传统网络持久化战术的完整中文文档，与本战术对照阅读
• T1136 创建账户 - AML.T0125 在 ATT&CK 中的对应技术，账户类持久化的基础手法

学习资源

• OWASP Top 10 for LLM Applications - 含训练数据投毒、提示词注入等 LLM 应用风险
• NIST AI Risk Management Framework - 覆盖数据与模型供应链的治理框架

速查卡

• 常用技术：AML.T0020（训练数据投毒）、AML.T0070（RAG 投毒）、AML.T0080（上下文投毒）——分别对应数据、检索、上下文三层
• 关键检测信号：训练/微调数据集在版本库中出现异常变更、RAG 索引新增来历不明文档、智能体配置文件的非授权修改、工具包版本与来源异常、AI 平台上出现非预期账户
• 攻击者常用手法：向可写数据源植入少量高权重样本、在 Wiki/共享盘放置带指令的文档、通过提示词诱导写入长期记忆、篡改系统提示词与工具描述、利用共享配置批量影响智能体
• 防御要点：数据集与模型版本可追溯、RAG 数据源写入权限收敛、配置变更纳入变更管理、工具供应链准入与签名校验、智能体记忆与线程定期巡检
• 蓝队关注点：AI 持久化大多没有主机落地痕迹，需依赖数据血缘、配置审计与平台操作日志；“重启清除“对模型与索引层污染无效，必须回滚版本
• 案例研究：本库 案例研究分节 已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 战术README v1.0