权限提升 (AML.TA0012)

一句话理解

攻击者不满足于“能进来“，更想“说了算“——要么骗模型自己撕掉安全护栏，要么从沙箱容器里破笼而出，把受限访问升级成不受限权限。

战术概述

权限提升是 ATLAS 攻击链中从“能接触“走向“能控制“的关键一跃：攻击者通过初始访问和 AI 模型访问获得的往往只是低权限立足点——一个普通用户账号、一个受护栏约束的模型对话窗口、一个隔离沙箱内的智能体运行环境。要真正达成目标，他们必须获得更高层级的权限。常见路径是利用系统弱点、错误配置与漏洞；典型的“高权限“包括 SYSTEM/root 级别、本地管理员、具备管理员式访问的用户账户，以及可访问特定系统或执行特定功能的账户。

通俗解释： 传统权限提升像混进公司的临时工想办法把自己刷成系统管理员；ATLAS 语境下的权限提升多了一层全新含义——让 AI 系统自己“越权办事“。大模型本来被安全对齐和护栏约束着，拒绝回答危险问题、拒绝调用未授权工具；攻击者通过精心构造的提示词诱导模型“打开牢门“，于是模型替攻击者生成本不该生成的内容、执行本不该执行的动作。另一条路径则是 AI 基础设施层面的经典操作：智能体本该在容器沙箱里干活，攻击者篡改其配置让工具直接跑在宿主机上——权限的边界从“沙箱内“扩展到了“整台机器“。

在攻击中的作用： 本战术的技术与持久化战术高度重叠——让攻击者驻留的系统特性往往同时以提升后的上下文执行。在 ATLAS 攻击链中，权限提升直接决定了后续行动的天花板：越狱成功的模型可以被用于防御规避（泄露系统信息）、命令与控制（滥用智能体作为 C2 信道）乃至影响阶段；逃逸到宿主机的攻击者则获得了整个容器集群和虚拟化资源的入场券，为横向移动铺平道路。

包含的技术类型：

• LLM 越狱 (AML.T0054)：诱导大语言模型无视、绕过或覆盖其安全对齐行为与护栏，产出本应被拒绝的内容或执行越权操作
• 逃逸到宿主机 (AML.T0105)：突破容器或虚拟化环境的隔离边界，获取底层宿主机及同宿主机上其他容器/虚拟资源的访问权

越狱策略分类学（攻击者的常用套路）：

除提示词攻击外，攻击者还可能通过直接修改模型权重或安全机制实现越狱——这是物理层面的“改锁“，而非话术层面的“骗钥匙“。模型供应商会随新提示词的出现持续更新护栏，攻防双方处于持续对抗的动态博弈中。

越狱后的武器化路径： 越狱本身往往不是终点，被“放出笼“的模型会迅速被接入攻击链的多个后续环节：

• 防御规避：绕过模型自身准则与护栏，诱导 LLM 数据泄露、发现 LLM 系统信息
• 有害内容生成：生成恶意命令、批量产出鱼叉式钓鱼素材
• 进一步提权：诱导智能体调用其工具集（AI Agent Tool Invocation）替攻击者执行操作
• 命令与控制：将被越狱的 AI 智能体滥用为攻击者的 C2 信道

AI 基础设施中的容器逃逸： 容器与虚拟化的设计初衷是提供清晰的功能隔离，但 AI 系统给这条边界撕开了新口子：智能体通常被授予调用工具的能力，其配置文件决定了工具在何处执行、是否需要用户确认。攻击者一旦能修改智能体配置——例如关闭安全特性或用户确认开关——就能让工具调用绕过沙箱、直接落在宿主机环境执行。此时隔离边界名存实亡，攻击者从“沙箱里的租户“变成了“宿主机上的管理员“。

值得警惕的典型场景： 企业纷纷给智能体挂上真实权限——收发邮件、读写代码仓库、执行 Shell 命令、操作内部系统。在这类部署中，模型护栏常常是工具调用前唯一的权限边界：应用层没有细粒度授权，操作系统层又假设“能调 API 的都是可信进程“。一旦智能体被越狱，攻击者等于绕过整个授权体系直接驱动了这些工具——一次对话层的“话术攻击“，达成了传统上需要内核漏洞才能实现的权限跃升。这正是 AML.T0054 被归入权限提升战术、而非单纯“内容安全“问题的根本原因。

与 ATT&CK 传统权限提升的差异：

战术在攻击链中的位置

攻击链全景图

graph LR
    A["01 侦察<br/>AML.TA0002"] --> B["02 资源开发"]
    B --> C["03 AI攻击适配"]
    C --> D["04 初始访问"]
    D --> E["05 AI模型访问"]
    E --> F["06 执行"]
    F --> G["07 持久化"]
    G --> H["08 权限提升"]
    H --> I["09 防御规避"]
    I --> J["10 凭证访问"]
    J --> K["11 发现"]
    K --> L["12 横向移动"]
    L --> M["13 收集"]
    M --> N["14 命令与控制"]
    N --> O["15 数据渗漏"]
    O --> P["16 影响"]

    style H fill:#ff6b6b,stroke:#333,stroke-width:2px

注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。

当前战术的角色

权限提升位于攻击链的中段枢纽：攻击者已经拿到 AI 模型访问或系统立足点，但权限的天花板限制了行动范围。越狱让模型突破行为约束，宿主机逃逸让攻击者突破环境隔离——两者分别向上突破“AI 层权限“与“基础设施层权限“，为后续的防御规避、凭证访问与横向移动打开空间。

前置战术

• AI 模型访问：获得与目标模型的交互入口（API、聊天界面、智能体触发通道）是越狱攻击的前提
• 执行：在目标环境中获得代码或命令执行能力，是篡改智能体配置、实施容器逃逸的基础

后续战术

• 防御规避：越狱后的模型可被用于绕过 LLM 自身的准则与护栏，泄露系统信息
• 命令与控制：被越狱的 AI 智能体可被滥用为攻击者的 C2 信道（如滥用 AI 智能体执行攻击者指令）
• 横向移动：逃逸到宿主机后，攻击者可访问同宿主机上的其他容器化/虚拟化资源

技术索引表

本战术的技术文档尚未编写，以下技术 ID 与名称暂为纯文本，待文档落地后转换为链接。

平台覆盖说明（依据官方数据）：

• AML.T0054（LLM 越狱）适用于 Generative AI 与 Agentic AI 平台——越狱的对象是生成式模型本身；对具备工具调用能力的智能体，越狱后果尤其严重
• AML.T0105（逃逸到宿主机）适用于 Enterprise 平台——攻击发生在承载 AI 工作负载的传统容器/虚拟化基础设施层

统计信息

• 技术总数：2 个
• 子技术总数：0 个
• 难度分布：⭐⭐⭐（Realized）2 个 / ⭐⭐（Demonstrated）0 个 / ⭐（Feasible）0 个
• 已完成文档：2 个（全部完成 ✅）

推荐阅读顺序

入门阶段：理解“越狱“这一 AI 特有的提权形态

适合所有 AI 安全学习者——越狱是 ATLAS 矩阵中认知度最高、门槛最低的攻击技术。

前置知识： 了解大语言模型的基本概念（提示词、安全对齐、护栏）

推荐阅读：

1. AML.T0054 LLM 越狱 - 理解攻击者如何用指令覆盖、角色扮演、虚构化等策略诱导模型突破安全约束，以及越狱后的模型如何被武器化

学习建议：

• 在本地部署的开源模型上复现经典越狱提示词，观察护栏的拦截与失效边界
• 思考防御侧问题：越狱发生在“对话层“，传统入侵检测完全看不见，检测应该建在哪一层？

进阶阶段：AI 基础设施层的边界突破

适合具备容器与虚拟化安全基础的学习者，理解 AI 工作负载带来的新逃逸面。

前置知识： 了解容器隔离原理（namespace/cgroups）、AI 智能体的工具调用机制

推荐阅读：

1. AML.T0105 逃逸到宿主机 - 学习攻击者如何通过篡改 AI 智能体配置（关闭安全特性与用户确认）让工具调用落到宿主机执行，突破沙箱隔离

学习建议：

• 对照阅读 ATT&CK 的 T1611 逃逸到主机，理解 AI 场景如何放大这一经典风险
• 检查自己环境中智能体的配置管理：谁能改智能体的安全开关？改动是否有审计日志？

高级阶段：两条提权路径的交汇

适合希望构建完整攻击链思维的学习者，关注技术组合后的复合风险。

前置知识： 已完成上述两个阶段的学习，了解智能体架构（模型 + 工具 + 运行环境）

推荐阅读：

1. AML.T0054 + AML.T0105 组合视角 - 越狱智能体获得工具调用权 → 借被授信的工具调用篡改自身配置 → 关闭沙箱与用户确认 → 工具落到宿主机执行，两步完成从“对话窗口“到“宿主机管理员“的完整跃升

学习建议：

• 在威胁建模练习中画出自己组织 AI 智能体的权限传递链：模型护栏、应用授权、容器隔离各挡住了什么？
• 关注本库案例研究（case-studies/）中同时涉及越狱与逃逸的真实事件，体会攻击者如何在实战中串联两类技术

参考资料

官方文档

• MITRE ATLAS 权限提升战术 (AML.TA0012)
• MITRE ATLAS 矩阵
• MITRE ATLAS Data (GitHub)

关联阅读

• ATT&CK Enterprise 权限提升战术 (TA0004) - 传统权限提升战术的完整中文文档，与本战术对照阅读
• T1611 逃逸到主机 - AML.T0105 在 ATT&CK 中的映射技术

学习资源

• OWASP Top 10 for LLM Applications - LLM 应用十大安全风险清单（含提示词注入与越狱相关条目）
• NIST AI Risk Management Framework - NIST AI 风险管理框架

速查卡

• 常用技术：AML.T0054（LLM 越狱）攻击面最广；AML.T0105（逃逸到宿主机）一旦成功危害最深
• 关键检测信号：模型输出中规律性出现拒答模式被绕过的迹象、提示词中包含“忽略之前指令“类措辞、智能体配置的非授权变更、容器内进程异常访问宿主机资源、沙箱外的工具调用行为
• 攻击者常用手法：指令覆盖、角色扮演/人格切换、虚构化包装、意图与内容分离、定向迭代提示词、修改模型权重或安全机制、篡改智能体配置关闭安全特性与用户确认
• 防御要点：多层护栏（输入过滤+输出检测）、最小权限的工具调用设计、智能体配置的版本控制与审计、容器运行时加固（只读文件系统、禁用特权容器）、gVisor/Kata 等强隔离运行时
• 蓝队关注点：越狱攻击发生在应用对话层，网络层设备完全失明，需将 LLM 输入输出日志纳入监控并建立越狱模式特征库；容器逃逸则依赖宿主机层的运行时检测（如 Falco）与异常进程告警
• 案例研究：本库 案例研究分节 已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 战术README v1.0