Keyboard shortcuts

Press ← or → to navigate between chapters

Press S or / to search in the book

Press ? to show this help

Press Esc to hide this help

横向移动 (AML.TA0015)

一句话理解

攻击者拿到一张能开通的钥匙后，顺着 AI 基础设施的管道往隔壁走——从训练集群跳到模型仓库，从向量库跳到智能体服务，一路越走越深。

战术概述

横向移动是 ATLAS 攻击链的第十二步：攻击者已获得对某个系统或组件的访问与控制权，开始以此为跳板，向环境中其他系统、组件与信任域扩张。与传统 ATT&CK 横向移动不同，ATLAS 横向移动的焦点是 AI Ops 基础设施——模型仓库（model registries）、实验追踪平台（experiment trackers）、向量数据库、Notebook 环境、训练流水线，以及横贯其间的服务账号与令牌。

通俗解释： 传统横向移动像小偷在一栋楼里挨个房间试门；ATLAS 横向移动更像一名员工拿到了一张通用门禁卡——这张卡可能是某个 AI 平台的应用访问令牌，也可能是某个共享推理网关的会话 Cookie。有了它，攻击者不必破解任何一扇门，就能以“合法调用者“的身份走过模型仓库、数据集服务、评测集群，甚至借某个服务的服务端请求漏洞（SSRF）翻出网络隔离边界。AI 智能体往往是路上最诱人的目标，因为它们在系统上通常比普通用户账号拥有更高权限。

在攻击中的作用： 横向移动承担“扩张战果“的职责。前置的凭证访问提供了可复用的认证材料（哈希、票据、令牌、Cookie），发现阶段摸清了 AI 基础设施的拓扑，横向移动则把这两者结合，把单点入口放大成一片纵深。行动结果直接为后续战术供料：进入向量数据库与实验追踪平台后可以实施大规模收集（数据集、指标、模型权重），控制智能体服务与编排接口后可以建立稳定的命令与控制通道，取得模型仓库写权限后则具备发动影响（模型篡改、数据投毒、服务中断）的能力。

包含的技术类型：

  • 认证材料复用：不打补丁、不猜密码，直接用偷来的令牌、Cookie、哈希、票据以合法身份访问其他 AI 服务（AML.T0091）
  • 远程服务利用：攻击从当前环境可达的服务（包缓存、模型仓库、推理网关、向量库、Notebook、训练流水线、集群控制面），借助软件或设计缺陷穿过网络边界（AML.T0122）

AI 环境中的关键横向通道：

通道攻击者看到的价值主要对应技术
共享模型仓库读私有权重、写恶意模型、篡改版本标签，一次写入即影响全体下游用户AML.T0091、AML.T0122
向量数据库存放 RAG 知识库与嵌入，可直接投毒检索结果或批量导出敏感文档AML.T0091、AML.T0122
智能体服务网格智能体间互调通常免认证、permission 更宽，暴露后成为内网穿透的枢纽AML.T0091
MCP 工具服务器工具调用缺少细粒度鉴权，一次越权即可操作多个下游系统AML.T0122
实验追踪与 Notebook明文保存凭据与连接串，代码执行环境天然直通训练集群AML.T0091、AML.T0122
推理网关与包缓存位于信任边界之上，SSRF 一类缺陷即可把请求代理进内网AML.T0122

值得警惕的典型场景： 多租户 AI 平台普遍依赖应用访问令牌作为主要认证手段——用户带着令牌查询模型、上传数据集、调用推理接口。一旦令牌从前端日志、Notebook 硬编码或共享配置中泄露，攻击者就能以该用户身份在整个平台上横向游走，而所有请求在审计日志里都“像正常业务“。另一种高频场景是共享服务的 SSRF：推理网关或评测服务为了拉取远程资源允许用户提交 URL，攻击者借此让服务替自己请求云元数据接口或其他租户的模型仓库，无需攻陷服务宿主主机的任何一层就能跨越网络隔离。

与 ATT&CK 传统横向移动的差异：

维度ATT&CK 横向移动 (TA0008)ATLAS 横向移动 (AML.TA0015)
移动对象主机、域控、共享、远程会话AI Ops 基础设施：模型仓库、向量库、训练流水线、智能体服务
典型载体RDP/SSH/SMB、票据、横向工具传输应用访问令牌、Web 会话 Cookie、免认证的内部智能体调用
独有风险域信任链沦陷一次模型仓库写入即可污染全体下游；智能体权限往往高于普通账号
移动目标拿下更多主机与凭据拿下更多 AI 组件、数据与模型资产

战术在攻击链中的位置

攻击链全景图

graph LR
    A["01 侦察"]
    B["02 资源开发"]
    C["03 AI攻击适配"]
    D["04 初始访问"]
    E["05 AI模型访问"]
    F["06 执行"]
    G["07 持久化"]
    H["08 权限提升"]
    I["09 防御规避"]
    J["10 凭证访问"]
    K["11 发现"]
    L["12 横向移动<br/>AML.TA0015"]
    M["13 收集"]
    N["14 命令与控制"]
    O["15 数据渗漏"]
    P["16 影响"]

    A --> B --> C --> D --> E --> F --> G --> H --> I --> J --> K --> L --> M --> N --> O --> P

    style L fill:#ff6b6b,stroke:#333,stroke-width:2px

注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。

当前战术的角色

横向移动是 ATLAS 攻击链的扩张阶段，发生在攻击者已经站稳某个组件之后。它把前置战术的成果变现：凭证访问交出的令牌与 Cookie 在这里被拿去访问新的 AI 服务，发现阶段画出的基础设施拓扑在这里被当作路径规划图，权限提升拿到的宽权限身份在这里被用来跨信任域跳转。

前置战术

  • 凭证访问：提供可直接复用的认证材料——应用访问令牌、Web 会话 Cookie、哈希与票据
  • 发现：提供 AI 基础设施拓扑，明确模型仓库、向量库、训练流水线与智能体服务的可达关系
  • 权限提升：提供高于普通用户的服务账号或智能体身份，扩大单次跳转能到达的范围

后续战术

  • 收集：进入向量数据库、实验追踪与数据集服务后，可批量检索与打包敏感资产
  • 命令与控制：控制智能体服务网格与编排接口后，可借内部合法通道建立稳定驻留
  • 影响：取得模型仓库写权限后，可实施模型篡改、知识库投毒或推理服务中断

技术索引表

技术ID中文名称难度子技术数一句话理解关联ATT&CK文档状态
AML.T0091使用备用认证材料⭐⭐⭐2不用猜密码，直接拿偷来的令牌或Cookie以合法身份访问其他AI服务T1550✅ 已完成
AML.T0122利用远程服务⭐⭐⭐0抓住一个可达服务的软件或设计缺陷，借它跨过网络隔离边界T1210✅ 已完成

平台覆盖说明（依据官方数据）：

  • 两项技术均覆盖 Enterprise 平台，攻击路径以传统企业环境中的 AI 服务为载体
  • AML.T0091 的失效根因在认证设计：AI 服务普遍把应用访问令牌当作主要认证手段，令牌一旦泄露即等同身份泄露
  • AML.T0122 的失效根因在信任边界：训练、评测与智能体工作负载常与 AI Ops 服务共享网络可达性，共享服务成为跨边界的代理

子技术索引

子技术ID中文名称难度一句话理解文档状态
AML.T0091.000应用访问令牌⭐⭐⭐偷到平台发放的OAuth令牌，不用登录就能调用此前的所有AI接口✅ 已完成
AML.T0091.001Web会话Cookie⭐⭐复制浏览器的登录态Cookie，直接接管别人的AI平台会话✅ 已完成

注：子技术难度采用官方 maturity 等级（AML.T0091.000 继承父技术评定为 Realized；AML.T0091.001 官方独立评定为 Demonstrated）。

统计信息

  • 技术总数：2 个
  • 子技术总数：2 个
  • 难度分布：⭐⭐⭐（Realized）2 个 / ⭐⭐（Demonstrated）0 个 / ⭐（Feasible）0 个
  • 已完成文档：4 个（2 主技术 + 2 子技术，全部完成 ✅）
  • 待编写文档：0 个

推荐阅读顺序

入门阶段：理解“令牌即身份“的横向逻辑

适合刚接触 AI 平台安全的读者，先建立对认证材料复用的直觉。

前置知识： 了解 OAuth、会话 Cookie 等常见认证机制的基本概念

推荐阅读：

  1. AML.T0091 使用备用认证材料 - 理解为什么 AI 服务把令牌当作主要认证手段，以及令牌泄露为何等同身份泄露
  2. AML.T0091.000 应用访问令牌 - 学习令牌如何从前端、Notebook 与共享配置中泄露并被复用于访问其他服务
  3. AML.T0091.001 Web会话Cookie - 理解会话劫持在 AI 平台管理后台上的实际杀伤力

学习建议：

  • 盘点自己组织内的 AI 平台：有多少服务接受长期有效的静态令牌？
  • 检查令牌的过期时间、绑定范围与吊销机制是否形同虚设

进阶阶段：信任边界与远程服务利用

适合有一定渗透测试基础的读者，理解 AI Ops 服务的边界缺陷。

前置知识： 了解 SSRF、包缓存代理、集群控制面等基础设施概念

推荐阅读：

  1. AML.T0122 利用远程服务 - 学习攻击者如何借包缓存、工件仓库、推理网关、向量库与 Notebook 跨越网络隔离
  2. 回看 AML.T0091 - 对比“合法身份走通“与“利用缺陷穿过“两条路径的检测特征差异

学习建议：

  • 梳理训练、评测、智能体三类工作负载的出站可达范围，找出能“替攻击者发请求“的共享服务
  • 在授权环境中验证云元数据接口与内部模型仓库是否存在可达性缺口

高级阶段：智能体与 AI 基础设施的纵深扩张

适合深入理解 AI 时代攻防对抗的读者。

前置知识： 了解智能体服务网格、MCP 工具服务器与多租户平台架构

推荐阅读：

  1. 结合 AML.T0091 与 AML.T0122 推演完整路径：从一处令牌泄露出发，经由智能体互调与工具服务器，最终触达模型仓库与训练流水线
  2. 对照 ATLAS 攻击链的后续战术，理解横向移动完成后攻击者具备哪些收集、C2 与影响能力

学习建议：

  • 审视智能体账号的权限是否被过度授予——它们常比普通用户拥有更多权限
  • 结合本库 ATLAS 案例研究（case-studies）中的真实事件理解技术的实际运用

参考资料

官方文档

关联阅读

学习资源

速查卡

  • 常用技术：AML.T0091（使用备用认证材料）—— AI 环境中最顺手的跳板；AML.T0122（利用远程服务）—— 无需凭据也能跨越信任边界
  • 关键检测信号：同一令牌在短时间内在多个服务间跳转、令牌在非惯常地理位置或 User-Agent 上使用、跨租户的模型仓库与向量库查询、服务账号对元数据接口的异常请求、共享服务发起的可疑出站连接
  • 攻击者常用手法：从前端日志与 Notebook 中提取静态令牌、劫持管理后台 Cookie、滥用智能体互调的免认证调用、借推理网关或评测服务实施 SSRF
  • 防御要点：令牌最小权限与短时有效期、令牌绑定设备或源地址、启用吊销与异常使用告警、隔离 AI Ops 服务与训练/评测/智能体工作负载的网络可达性、智能体账号权限收敛
  • 蓝队关注点：横向移动的流量在形态上高度接近正常业务，单纯特征匹配效果有限，应重点建立“主体—资源—时段“基线并检测偏离；对模型仓库的写操作与向量库的批量读取应单独提级告警
  • 案例研究：本库 案例研究分节 已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读

版本: ATLAS 2026.09 | 更新: 2026-10-24 | 模板: ATLAS 战术README v1.0