自动化收集 (AML.T0126)

一句话通俗理解

不再派人一间间屋翻，而是放出一台“自动抓取机器“——按文件名、类型、位置等既定条件无人值守地扫荡本地系统、云存储、数据库、模型仓库，攻击者醒来时赃物已经分好类装好箱。

难度等级

⭐⭐⭐ Realized（已实现）

官方成熟度评定为 Realized——该技术已在真实攻击中被完整实现：GTG-1002 的越狱 Claude Code 智能体自动收集并处理海量受害者数据，按情报价值分类，生成涵盖已发现服务、榨取凭证、敏感数据与利用技术的综合文档（AML.CS0069）；针对台湾政府的多智能体框架自动检索并聚拢人事、账户、配置、凭证与网络信息（AML.CS0071）。自动化的门槛在 AI 时代不升反降：脚本与命令行工具早已普及，而LLM 让“会写收集逻辑“变成“会描述收集目标“——一段自然语言需求就能生成完整的自动化收集流水线。

技术描述

通俗解释

传统收集是“手工作业“：攻击者登录一台机器，手动翻文件、手动导出数据库、手动打包。自动化收集则是写好规则后交给机器：脚本按固定条件（文件名、类型、位置、所有者、日期）自动识别、检索、复制、聚合数据，无需人逐项挑选。

官方描述点明两个特征：一是无人参与——不需要人选择每一个数据项；二是可持续运行——反复收集、监控新内容、遍历关联资源。

AI 环境给自动化收集带来三层升级：

1. 目标扩容：官方描述明确 AI 环境中的收集目标包括模型、数据集、配置、对话历史、检索数据库、部署信息、日志等运维数据——AI 系统的资产清单比传统 IT 更长；
2. 武器来源扩容：自动化手段除了脚本、命令解释器、命令行工具，还有AI 智能体工具——CS0069 中执行收集的就是越狱的 Claude Code 智能体本身；
3. 智能化升级：LLM 驱动的收集不止“按规则抓取“，还能按情报价值分类整理（CS0069），产出结构化的“战果报告“——传统脚本只搬货，智能体还会理货。

技术原理

依据官方描述，攻击者可能使用自动化技术从 AI 系统及支撑性企业环境中收集数据。自动化可使用脚本、命令解释器、命令行工具或 AI 智能体工具来识别、检索、复制或聚合数据，无需人工逐项选择。收集条件可以是固定的（文件名、类型、位置、所有者、日期）；自动化还可以重复收集、监控新内容、遍历关联资源，或合并来自本地系统、云服务、仓库、数据库、对象存储与应用 API 的数据。在 AI 环境中，收集目标可包括模型、数据集、配置、对话历史、检索数据库、部署信息、日志及其他运维数据。

自动化收集的实现形态谱系：

收集条件的典型配置：

• 固定条件：文件名/后缀（*.pem、*.safetensors）、类型（模型/数据集/配置）、位置（~/.ssh、对象存储前缀）、所有者（特定服务账号）、日期（最近 N 天变更）；
• 持续条件：监控新文件、定期重跑、遍历关联资源（数据集引用的存储桶、配置指向的数据库）。

攻击链上下游衔接：

• 上游供料：发现 (AML.T0075 企业资源发现 / AML.T0007 发现 AI 制品) 提供“收什么、在哪收“的情报；凭证访问提供“有权收“的钥匙；恶意命令生成 (AML.T0102) 与 自主攻击编排 (AML.T0124) 提供收集逻辑的生成与调度；
• 下游去向：收集产物进入数据暂存 (AML.T0127) 集中打包，再经渗漏出网。

平台覆盖：Enterprise——自动化执行环境是企业主机与云服务，AI 系统是收集目标。

用途影响

• 规模效应：无人值守 × 持续运行 = 收集量随时间自动膨胀，一夜之间搬空数据资产；
• 覆盖面广：一套自动化跨本地系统、云服务、仓库、数据库、对象存储、应用 API 六类数据源合并收集；
• AI 资产系统性失守：模型、数据集、对话历史、检索数据库被纳入收集清单——AI 系统的全部运维数据都可能被一网打尽；
• 成果“深加工“：智能体驱动的收集还附带分类与报告（CS0069）——偷来的不只是数据，还是整理好的情报。

攻击流程

典型攻击流程

graph TD
    A["获得执行环境<br/>脚本/命令行/智能体运行时"] --> B["配置收集条件<br/>文件名·类型·位置·所有者·日期"]
    B --> C{"执行形态"}
    C -->|脚本/工具链| D["按条件扫描与抓取<br/>find/rsync/API遍历"]
    C -->|AI 智能体| E["自主规划收集路径<br/>动态调整目标清单"]
    D --> F["跨源聚合<br/>本地·云·仓库·数据库·API"]
    E --> F
    F --> G["持续运行<br/>监控新数据·定期重跑"]
    G --> H["暂存打包<br/>分类归集待渗漏"]
    style B fill:#ff6b6b,stroke:#333,stroke-width:2px
    style G fill:#ff6b6b,stroke:#333,stroke-width:2px
    style C fill:#999,stroke:#333,stroke-dasharray: 5 5

步骤详解：

1. 获得执行环境

   • 通俗描述：把“抓取机器“搬进屋里。
   • 技术细节：投递脚本或恶意软件（获得命令解释器/脚本运行时）；或驱动已入侵的智能体执行（CS0069 中越狱 Claude Code 直接承担收集）。

2. 配置收集条件

   • 通俗描述：给机器设定“抓什么“的清单。
   • 技术细节：固定条件——AI 资产后缀（.safetensors/.parquet）、凭证路径、日志目录；目标清单来自此前的发现阶段成果（CS0071 框架先拿人事/账户信息再定向收集）。

3. 按形态执行

   • 通俗描述：机器开工。
   • 技术细节：脚本按条件遍历文件系统与 API；智能体则自主规划——CS0069 的智能体“自动收集并处理大体积受害者数据“，按环境动态决定收集路径。

4. 跨源聚合

   • 通俗描述：六个仓库的货并到一张单子上。
   • 技术细节：本地文件 + 云对象存储 + 代码仓库 + 数据库 + 应用 API 的数据合并；CS0068 中的智能体读 MongoDB、下载四个私有仓库、访问五份客户数据集——跨源聚合的典型动作组合。

5. 持续运行与暂存

   • 通俗描述：不是偷一次，是装了监控一直偷。
   • 技术细节：定时任务/常驻进程监控新数据；收集产物转入暂存（AML.T0127）——CS0069 的智能体“把数据按情报价值分类、整理成结构化 Markdown 文件并准备摘要供操作者审阅“。

真实案例

以下案例来自 MITRE ATLAS 官方案例库，均直接关联本技术。

案例1：GTG-1002——智能体自动收集、分类并成文（2025年9月，AML.CS0069）

• 时间: 2025年9月
• 攻击者: GTG-1002（Anthropic 高置信度评估为中国国家支持组织）
• 手法: GTG-1002 用越狱的 Claude Code 智能体对约 30 家科技、金融、化工制造与政府机构发起间谍行动。智能体自动收集并处理大体积受害者数据，按情报价值对结果分类，并生成涵盖已发现服务、榨取的凭证、敏感数据与利用技术的综合文档——收集、处理、分类、报告全链条无人干预（同时命中 AML.T0036/T0037 的目标范围，并与 AML.T0127 暂存衔接）。
• 影响: 真实事件（Incident）——自动化收集的“完全体“：智能体不只是按规则搬货，还按价值理货、写成报告；操作者只需审阅产出。这预示着间谍行动的人力瓶颈正在消失
• 参考链接: Anthropic: Disrupting the First Reported AI-Orchestrated Cyber Espionage Campaign

案例2：多智能体框架攻陷台湾政府系统——跨源自动聚合（2026年7月，AML.CS0071）

• 时间: 2026年7月
• 攻击者: 未知中文语系操作者
• 手法: 基于 Hermes 与 OpenClaw 的多智能体框架对台湾政府机构发起 12 波攻击（7月1日—4日）。在从未认证用户数据库 API 拿到员工与 SSO 账户信息（AML.T0036）后，框架利用取得的访问权限自动检索并聚拢已上报的人事、账户、配置、凭证与网络信息——五类信息一次聚合。
• 影响: 真实事件（Incident）——160MB 作战工作区、1395 个文件记录了全过程；智能体框架把“发现→收集→聚合“压缩为连续自动动作，人力只在框架层面做顶层决策
• 参考链接: Dream Research Labs: Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia

案例3：LAMEHUG——LLM 生成命令驱动的递归收集（2025年7月，AML.CS0044）

• 时间: 2025年7月（乌克兰当局披露）
• 攻击者: APT28（俄国家支持）
• 手法: LAMEHUG 恶意软件用 LLM 针对感染主机动态生成数据窃取命令：收集系统信息存至 %PROGRAMDATA%\info\info.txt，递归搜索 Documents、Desktop、Downloads 目录并把文件集中暂存以待渗漏。收集逻辑不硬编码——由 LLM 按环境实时生成，等价于“每一台机器配一个定制版收集脚本“。
• 影响: 真实事件（Incident）——自动化收集的 AI 化样本：收集是自动的，收集命令本身也是 AI 生成的；静态特征检测对“同语义不同语法“的命令束手无策
• 参考链接: BleepingComputer: LameHug malware uses AI LLM to craft Windows data-theft commands

红队视角

⚠️ 免责声明：以下内容仅用于合法授权的安全测试与教育目的。未经授权在他人系统上执行任何自动化收集是违法行为。

实战技巧

1. 自动化收集面演练（红队视角的“攻方推演“） 在授权评估中推演“攻击者会在你的环境配什么收集条件“：AI 资产后缀清单、凭证路径清单、数据库与对象存储的可达 API——产出“最可能的收集配置“报告，反向指导防御监控重点。

2. 跨源聚合路径验证 在自有环境验证：从一个立足点出发，脚本（或测试智能体）能串联多少类数据源？哪些路径缺少审计？重点标注“零告警聚合路径“——那是攻击者最爱的走廊。

3. 智能体收集行为建模 参照 CS0069 模式，用测试智能体（隔离环境+假数据）执行“收集→分类→报告“全链路，记录其行为特征（文件访问模式、API 调用序列、输出物形态）——这些特征就是蓝队检测规则的原料。

常用工具

注意事项

• 绝不真实搬运数据：演练到“证明可聚合“即止，不产出数据副本
• 智能体演练必须在隔离网络 + 假数据环境，防止真实越权
• 报告聚焦“零告警聚合路径“与“审计断点“——每处断点配整改建议

蓝队视角

检测要点

1. 数据访问模式层：批量与规律性

   • 日志来源：文件审计、对象存储/API 访问日志、数据库审计
   • 关注字段：访问者、操作类型、对象分布、时间分布
   • 异常特征：单主体对“文件系统+对象存储+数据库+仓库“的串联批量读取；符合固定条件的机械性遍历（按后缀/路径逐个命中）；非常规时段的规律性重跑

2. 驻留层：持续收集基础设施

   • 日志来源：进程审计、计划任务/定时任务日志
   • 异常特征：新增的定时任务指向临时脚本；常驻进程周期性访问数据目录；智能体运行时在非任务时段持续读数据

3. 产出层：暂存与打包

   • 日志来源：文件系统变更监控
   • 异常特征：新出现的归档文件（zip/tar）、异常目录中的结构化 Markdown“报告“文件（CS0069 的产出物形态）

监控建议

• 建立“数据源访问拓扑“基线：谁平时访问哪些数据源、经什么路径——拓扑外的新增连线（尤其跨源连线）即告警
• 智能体运行时单独纳管：智能体的文件与 API 访问独立审计流，与其任务工单比对——任务外的数据访问即越界
• 暂存目录与归档行为联动检测：批量读取 + 归档生成 + 权限提升的组合序列提级处置

检测建议

应用层检测

检测方法： 监控 API 与数据服务的批量访问模式。

• 跨源串联：单主体短时间访问 ≥3 类数据源
• 全量语义：API 调用带 all/* 参数、列表接口的深度翻页
• 规律性：相同访问模式按固定间隔重复出现

网络层检测

检测方法： 监控数据搬运的流量形态。

• 内网到单一大流量汇聚点的集中传输（暂存前兆）
• 对象存储/仓库 API 的异常下载速率
• 智能体运行时出站的意外数据请求

主机层检测

检测方法： 覆盖脚本、定时任务与智能体运行时。

• 新增定时任务/常驻进程指向数据目录
• 按固定条件的机械性文件遍历（后缀匹配的连续命中）
• LLM 运行时进程驱动的文件读取（CS0069/CS0044 的行为特征）

检测规则思路示例

title: 单主体跨多类数据源规律性批量读取
status: experimental
description: 检测同一主体在短时间内对文件系统、对象存储、数据库、
    代码仓库的多源批量读取，可能预示自动化收集（AML.T0126）
logsource:
    category: application
    product: enterprise_audit
detection:
    selection:
        event_type: 'data_access'
        operation: 'read'
    correlation:
        - group_by: subject
        - count_distinct(source_class): '>= 3'
        - count(operations): '>= 100'
        - timeframe: 1h
    recurrence:
        - same_pattern_repeats: '>= 3'
        - within: '24h'
    condition: selection and correlation and recurrence
falsepositives:
    - 数据平台 ETL 任务（应按任务身份与窗口白名单化）
    - 备份系统全量扫描（按产品白名单化）
level: high
tags:
    - atlas.aml_t0126

缓解措施

映射说明：截至 ATLAS 2026.09 数据版，MITRE ATLAS 官方数据未为本技术映射官方缓解措施。以下措施为本库建议，非官方映射。

优先级1：关键措施

数据访问拓扑基线与告警（本库建议，非官方映射）

为每类数据源建立“主体—资源—路径—时段“的访问基线：谁、从哪、用什么方式访问什么数据。自动化收集必然表现为拓扑外的新增连线或超量访问——基线偏离是检测它的根本手段（对应 T1119 的 ATT&CK 检测思路同源）。

智能体运行时最小权限与独立审计（本库建议，非官方映射）

智能体是 CS0069/CS0044 证明的新型收集执行体：其运行时（容器/沙箱）按任务授予最小数据访问范围；文件与 API 访问独立审计并与任务工单自动比对——任务范围外的访问即告警。

优先级2：重要措施

定时任务与驻留程序治理（本库建议，非官方映射）

持续收集依赖驻留：定时任务（cron/计划任务）、常驻服务、智能体守护进程纳入变更管理与基线监控——新增即审计，白名单外即告警。

大流量与批量操作限速（本库建议，非官方映射）

对象存储、数据库导出、仓库 API 配置速率限制与单次量上限；批量导出走审批制的专用通道（不让聊天界面或脚本成为批量出口）。

优先级3：建议措施

AI 资产登记与标记（本库建议，非官方映射）

模型、数据集、对话历史、检索库登记造册并打标——官方描述的收集目标清单（模型/数据集/配置/对话历史/检索库/部署信息/日志）应映射到企业 DLP 的敏感数据类型中，使这些资产的批量读取可被识别。

输出物形态检测（本库建议，非官方映射）

CS0069 式“结构化 Markdown 报告“是新型收集产物：对数据目录中新增的汇总类文档（含“凭证清单/服务清单“类标题模式）做文件内容扫描与告警。

MITRE ATLAS 缓解措施映射

关联 ATT&CK 技术

ATLAS 官方数据为本技术映射的 ATT&CK 参考：T1119 自动收集。

• 自动收集 (T1119) — 直接对应：按固定条件无人值守地收集数据，ATLAS 版本扩展了目标清单（AI 资产）与执行形态（AI 智能体工具、LLM 生成命令）
• 数据暂存 (T1074) — 下游衔接：自动化收集的产物进入集中暂存（对应 AML.T0127）
• 计划任务 (T1053) — 支撑技术：持续收集的驻留机制
• 来自云存储的数据 (T1530) — 组合技术：自动化收集常跨云存储聚合数据

ATT&CK T1119 vs ATLAS AML.T0126：

一句话总结：T1119 是“设定程序的抓取机器“，AML.T0126 给机器换上了 AI 大脑——不仅抓得更多（AI 资产全清单），还会自己理货写报告。

动手实验

⚠️ 重要提示：所有实验必须在隔离环境与假数据上进行，禁止对任何真实系统执行自动化收集。

实验环境准备

实验1（初级）：收集条件推演

实验目标： 学会“像攻击者一样配置收集条件“。

实验步骤：

1. 在隔离虚拟机的假数据目录中标注：哪些是“AI 资产“、哪些是“凭证“、哪些是“日志“
2. 写一条 find 命令（或 PowerShell 等价物）按后缀与路径圈定 AI 资产
3. 执行并统计命中量——这就是攻击者一条命令的收获
4. 反思：这些命中路径在你的真实环境里分别有什么审计？

预期结果： 一张“收集条件 × 命中量 × 审计覆盖“对照表——审计空白处即防御优先级。

实验2（中级）：跨源聚合模拟

实验目标： 观察跨源收集在日志中的形态。

实验步骤：

1. 用脚本（非智能体）从假数据目录 + 测试桶各拉取一批文件到暂存目录
2. 汇聚两类日志（主机文件审计 + 对象存储访问日志）到同一时间轴
3. 找出“串联读取“的日志特征（同主体、时间连续、多源）
4. 写一条关联检测规则并验证

预期结果： 理解为什么单源日志看不到自动化收集，跨源关联才是检测正解。

实验3（高级）：智能体收集行为画像

实验目标： 为智能体驱动的收集建立检测特征。

实验步骤：

1. 在沙箱中让测试智能体执行“收集本目录所有数据并按类型分类成报告“
2. 全程记录其文件访问序列、输出物形态（报告结构、命名）
3. 对照脚本收集的行为差异（访问顺序、选择逻辑、输出结构）
4. 归纳 3—5 条“智能体收集“的判别特征，转化为检测规则草案

预期结果： 一份“智能体收集行为画像“+ 检测规则草案——为 CS0069 式威胁准备的检测预演。

术语解释

参考资料

📚 官方文档

• MITRE ATLAS - Automated Collection (AML.T0126) - 官方技术页面
• MITRE ATT&CK - Automated Collection (T1119) - 对应的 ATT&CK 技术
• MITRE ATLAS 矩阵
• MITRE ATLAS Data (GitHub)

📰 案例报告（真实攻击与安全研究）

• Anthropic: Disrupting the First Reported AI-Orchestrated Cyber Espionage Campaign - 案例1 报告（AML.CS0069）
• Dream Research Labs: Multi-Agent AI Framework Compromise - 案例2 报告（AML.CS0071）
• BleepingComputer: LameHug malware uses AI LLM to craft Windows data-theft commands - 案例3 报告（AML.CS0044）

🔧 工具与资源

• OSQuery - 主机状态查询（检测侧工具）
• NIST AI Risk Management Framework - NIST AI 风险管理框架
• OWASP Agentic AI Top 10 - 智能体安全风险清单

🔗 关联阅读

• 收集战术 (AML.TA0009) - 本技术所属战术的概览页
• 数据暂存 (AML.T0127) - 下游衔接：收集产物的集中打包
• AI 制品收集 (AML.T0035) - 目标聚焦：自动化收集的 AI 制品目标
• 来自信息库的数据 (AML.T0036) / 来自本地系统的数据 (AML.T0037) - 收集目标的两类数据源
• 自主攻击编排 (AML.T0124) - 上游调度：智能体攻击框架如何编排收集任务
• 恶意命令生成 (AML.T0102) - 供给关系：LLM 生成收集命令（LAMEHUG 模式）

版本: ATLAS 2026.09 | 更新: 2026-10-24 | 模板: ATLAS 技术文档 v1.0