凭证访问 (AML.TA0013)

一句话理解

攻击者偷的不是你的数据，而是你的“钥匙“——密码、API 密钥、会话 Cookie；拿到钥匙，就能冒充合法用户打开整个 AI 系统的大门。

凭证访问是 ATLAS 攻击链的中段关键环节：攻击者想方设法窃取账户名与密码等凭证，为冒充合法用户、渗透更多系统铺路。与传统 ATT&CK 凭证访问相比，ATLAS 凭证访问的最大变化是凭证形态的扩张——除了传统的密码、哈希与票据，AI 时代还多了模型 API 密钥、智能体工具凭证、被 RAG 误吞的内部密码、直通 AI 控制台的会话 Cookie。这些新“钥匙“往往权限更高、防护更弱、流转路径更隐蔽。

通俗解释： 传统凭证访问像小偷撬开住户的抽屉找备用钥匙；ATLAS 凭证访问则是把智能门锁的“管理密码“也一起偷走——AI 智能体的配置文件里塞满了 API 密钥、令牌和数据库连接串；RAG 知识库可能吞下了写着密码的内部文档，攻击者一句话就能让 AI 帮忙“召回“；浏览器里的会话 Cookie 更是免密码、免 MFA 直登 AI 控制台的万能票。用合法凭证进门，安防系统甚至不会报警。

在攻击中的作用： 凭证访问位于 MITRE ATLAS 攻击链的中后段，通常在攻击者获得初始立足点之后展开。使用合法凭证访问系统比漏洞利用更难被检测；窃取的凭证可直接用于访问 AI 智能体、LLM 与推理 API 等其他 AI 服务（横向移动），也为进一步创建账户、扩大战果提供了机会。凭证还可能让攻击者触达 AI DevOps 生命周期中的其他软件工具与数据源——从模型仓库到训练管线，整条供应链都可能随之暴露。

AI 系统的凭证防护为何普遍薄弱：

凭证数量爆炸：一个智能体可能同时持有数据库、云资源、邮件、代码仓库等多个工具的凭证，密钥散布在配置文件、环境变量与工具链的各个环节
权限普遍过宽：为省事常给智能体配发管理员级 API 密钥，凭证失窃后攻击者的权限远超智能体实际所需
新攻击面缺乏审计：智能体配置读取、RAG 检索行为的日志往往不被纳入传统凭证监控范围，失窃行为难以溯源

包含的技术类型：

传统凭证窃取的 AI 延伸：在失陷系统中搜刮不安全存放的凭证（AML.T0055）、转储操作系统凭证（AML.T0090）、利用漏洞夺取凭证（AML.T0106）、窃取 Web 会话 Cookie（AML.T0113）
AI 智能体特有：从智能体配置文件中提取外部工具与服务的凭证（AML.T0083）、借智能体之手检索其连接的数据源窃取凭证（AML.T0098）
RAG 特有：诱导 LLM 利用 RAG 检索，吐出被误吞进知识库的内部凭证（AML.T0082）

值得警惕的典型场景： 组织部署 AI 智能体时，为图方便常把数据库、云资源与 API 的密钥明文写在配置文件里，而不是交给专用的密钥管理服务。攻击者一旦读取智能体配置，就等于拿到一串直通敏感系统的“万能钥匙“——这些凭证的权限往往远超智能体本身，且完全绕开了智能体侧部署的安全护栏。

另一类隐蔽风险藏在 RAG 知识库里：员工把含密码、连接串的内部文档“一股脑“灌入 RAG，模型在回答问题时就可能把这些凭证原样吐出来。这类“泄露“不需要攻击者接触任何系统——一段精心构造的提示词即可。

与 ATT&CK 传统凭证访问的差异：

维度	ATT&CK 凭证访问 (TA0006)	ATLAS 凭证访问 (AML.TA0013)
凭证类型	密码、哈希、Kerberos 票据、访问令牌	新增模型 API 密钥、智能体工具凭证、RAG 吞入的凭证
攻击对象	操作系统、浏览器、密码库	新增 AI 智能体配置、智能体工具链、RAG 知识库
独有技术	输入捕获、暴力破解、中间人	RAG 凭证窃取、智能体配置与工具凭证窃取
凭证用途	横向移动、权限提升	横向访问 AI 服务（智能体、LLM、推理 API）与 AI DevOps 工具链

战术在攻击链中的位置

攻击链全景图

graph LR
    A["01 侦察<br/>AML.TA0002"] --> B["02 资源开发"]
    B --> C["03 AI攻击适配"]
    C --> D["04 初始访问"]
    D --> E["05 AI模型访问"]
    E --> F["06 执行"]
    F --> G["07 持久化"]
    G --> H["08 权限提升"]
    H --> I["09 防御规避"]
    I --> J["10 凭证访问"]
    J --> K["11 发现"]
    K --> L["12 横向移动"]
    L --> M["13 收集"]
    M --> N["14 命令与控制"]
    N --> O["15 数据渗漏"]
    O --> P["16 影响"]

    style J fill:#ff6b6b,stroke:#333,stroke-width:2px

注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。

当前战术的角色

凭证访问是攻击链从“立足“走向“扩张“的枢纽。攻击者带着窃取的凭证，可以从容冒充合法用户访问 AI 智能体、LLM 服务与推理 API——在防御日志里，一次合法凭证的登录几乎无害，这正是它比漏洞利用更危险的地方。

值得注意的是，本战术中一半技术（AML.T0082、AML.T0083、AML.T0098）是 AI 系统原生的攻击面：即使传统 IT 防护滴水不漏，只要智能体生态与 RAG 管线存在凭证管理疏漏，攻击者依然有可乘之机。

前置战术

初始访问 / AI 模型访问：攻击者需要先在目标环境中获得立足点，才有机会接触各类凭证存放位置
执行 / 权限提升：更高的权限让攻击者能读取受保护的凭证存储——进程内存、密钥库、智能体配置
防御规避：避开检测后，攻击者才能从容地翻找、提取并外带窃取的凭证

后续战术

发现：用窃取的凭证登录后，进一步枚举环境中的 AI 资产与数据源
横向移动：凭证是横向访问其他 AI 服务（智能体、LLM、推理 API）与 AI DevOps 工具的直接通行证
持久化：利用合法凭证的权限创建更多账户，巩固对 AI 系统的长期控制
收集 / 数据渗漏：持有合法凭证的访问与外传行为混入正常流量，更难与真实用户区分

技术索引表

本战术的技术文档尚未编写，以下技术 ID 与名称暂为纯文本，待文档落地后转换为链接。

技术ID	中文名称	难度	一句话理解	关联ATT&CK	文档状态
AML.T0055	不安全的凭证	⭐⭐⭐	翻遍失陷系统，搜刮明文文件、环境变量、注册表与私钥中随手存放的凭证	T1552	✅ 已完成
AML.T0082	RAG 凭证窃取	⭐⭐	内部文档里的密码被误吞进 RAG 知识库，攻击者诱导 AI 帮忙“召回“	—	✅ 已完成
AML.T0083	从 AI 智能体配置获取凭证	⭐⭐	直接读取智能体配置文件，收割明文存放的 API 密钥、令牌与连接字符串	—	✅ 已完成
AML.T0090	操作系统凭证转储	⭐⭐	从系统缓存与进程内存中“倒“出密码哈希与令牌，用于横向访问 AI 服务	T1003	✅ 已完成
AML.T0098	AI 智能体工具凭证窃取	⭐⭐	借 AI 智能体之手，翻遍其连接的网盘、代码仓库、邮箱与笔记偷凭证	—	✅ 已完成
AML.T0106	凭证访问漏洞利用	⭐⭐	不偷不搜，直接利用软件漏洞攻破系统夺取凭证	T1211	✅ 已完成
AML.T0113	窃取 Web 会话 Cookie	⭐⭐	偷走浏览器会话 Cookie，免密码免 MFA 直登 AI 控制台与智能体入口	T1539	✅ 已完成

平台覆盖说明（依据官方数据）：

AML.T0083（从 AI 智能体配置获取凭证）、AML.T0098（AI 智能体工具凭证窃取）仅适用于 Agentic AI——智能体特有的配置与工具生态
AML.T0082（RAG 凭证窃取）适用于 Generative AI 与 Agentic AI——RAG 是生成式系统特有的架构
AML.T0055、AML.T0090、AML.T0106、AML.T0113 以 Enterprise 平台为主，是传统凭证窃取手法在 AI 环境的延伸

统计信息

技术总数：7 个
子技术总数：0 个
难度分布：⭐⭐⭐（Realized）1 个 / ⭐⭐（Demonstrated）6 个 / ⭐（Feasible）0 个
平台覆盖：Enterprise 4 个 / Agentic AI 3 个 / Generative AI 1 个（AML.T0082 同时覆盖两类 AI 平台，存在重叠）
已完成文档：7 个（全部完成 ✅）

ATT&CK Enterprise 凭证访问战术 (TA0006) - 传统凭证访问战术的完整中文文档，与本战术对照阅读
T1552 不安全的凭证 - AML.T0055 对应的 ATT&CK 原版技术
T1003 操作系统凭证转储 - AML.T0090 对应的 ATT&CK 原版技术
T1211 利用漏洞进行隐蔽 - AML.T0106 关联的 ATT&CK 漏洞利用技术
T1539 窃取Web会话Cookie - AML.T0113 对应的 ATT&CK 原版技术

学习资源

OWASP Top 10 for LLM Applications - LLM 应用十大安全风险清单（含敏感信息泄露）
NIST AI Risk Management Framework - NIST AI 风险管理框架
MITRE ATLAS 案例研究 - 官方收录的真实 AI 安全事件，可对照本战术技术阅读

速查卡

常用技术：AML.T0055（不安全的凭证）、AML.T0113（窃取 Web 会话 Cookie）、AML.T0083（从智能体配置获取凭证）——先翻配置与 Cookie，再动内存与 RAG
关键检测信号：对智能体配置文件与 .env 的异常读取、智能体工具的异常检索行为、RAG 返回结果中的凭证形态数据、来自陌生设备/地理位置的会话 Cookie 使用、操作系统凭证存储进程的异常访问
攻击者常用手法：grep 配置文件与 bash history、Mimikatz 类凭证转储工具、浏览器 Cookie 提取、提示词诱导 LLM 吐出吞下的凭证、API 密钥扫描器
防御要点：密钥统一交给 secret manager 并定期轮换、缩短会话 Cookie 有效期并绑定设备指纹、RAG 入库前做敏感信息清洗（脱敏）、智能体最小权限与工具级凭证隔离
蓝队关注点：凭证窃取告警必须与后续登录、横向移动行为关联分析；AI 智能体的审计日志（谁读了配置、谁检索了什么）是 AI 时代的新型取证证据源
案例研究：本库案例研究分节已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读

版本: ATLAS 2026.09 | 更新: 2026-10-22 | 模板: ATLAS 战术README v1.0

ATT&CK & ATLAS 知识库

凭证访问 (AML.TA0013)

一句话理解

战术概述

战术在攻击链中的位置

攻击链全景图

当前战术的角色

前置战术

后续战术

技术索引表

统计信息

推荐阅读顺序

入门阶段：认识“钥匙失窃“的基本面

进阶阶段：AI 智能体成为新的“钥匙串“

高级阶段：RAG 与漏洞利用的凭证威胁

参考资料

官方文档

关联阅读

学习资源

速查卡

Keyboard shortcuts

ATT&CK & ATLAS 知识库