命令与控制 (AML.TA0014)
一句话理解
攻击者不再自建 C2 服务器，而是把你天天在用的 AI 服务变成遥控中转站——指令藏在合法 AI 流量里，蓝队看到的全是“正常“的 API 调用。
战术概述
命令与控制（C2）是 ATLAS 攻击链中攻击者与失陷系统“接上头“的阶段：通过隐蔽信道向被控的 AI 系统下发指令、回收结果。与传统 ATT&CK C2 一样，攻击者的核心诉求是模仿正常、预期的流量以逃避检测；而 ATLAS 的独特之处在于——受害环境里现成的 AI 服务本身就是最好的掩护：AI 服务 API、AI 聊天网页、AI 智能体、AI 制品仓库，都可以被改造成隐蔽的 C2 信道。
通俗解释： 传统 C2 像间谍自己架设暗号电台，天线（C2 服务器）再隐蔽也有被定位的风险；ATLAS C2 更像间谍直接借用小区公告栏传纸条——攻击者把命令夹进 AI 服务的正常调用里，失陷主机再把执行结果写回 AI 服务的对话或制品中。防御者看到的是流向可信 AI 域名的“合法“流量：防火墙拦不住，黑名单封不掉（封了业务也就断了），这就是“住在地里“（live off the land）的隐身哲学。
在攻击中的作用： 命令与控制位于攻击链的中后段，是攻击者从“取得立足点“走向“持续掌控“的关键环节。一旦建立了稳定的 C2 信道，攻击者就能远程调度失陷系统执行侦察、横向移动、数据收集等任务。对追求长期潜伏的间谍活动而言，滥用 AI 服务 API 做 C2 尤其有价值：命令与结果都混在正常通信里，既隐蔽又便于维持长期持久化。
包含的技术类型：
- 传统网络信道：使用任意网络协议、服务、中继建立同步或异步 C2 信道（AML.T0072）
- AI 服务 API：把命令与结果嵌入 AI 服务 API 的正常流量（AML.T0096）
- AI 服务 Web 界面：恶意软件自动化浏览器访问公开 AI 助手页面，借其作 C2 中继（AML.T0114）
- AI 智能体滥用：劫持受害系统上的 AI 智能体，借其工具执行能力充当 C2 代理（AML.T0108）
- AI 制品仓库：把制品仓库当异步“死投信箱“，用正常的制品读写收发任务与结果（AML.T0120）
五种信道形态一览：
| 技术 | 信道载体 | 通信模式 | 隐蔽优势 |
|---|---|---|---|
| AML.T0072 网络通信信道 | 任意网络协议/服务/中继 | 同步或异步 | 与 ATT&CK C2 完全同源，手法最成熟 |
| AML.T0096 AI 服务 API | AI 服务的 API 调用 | 实时 | 命令混入正常 API 流量，利用受害系统现有设施 |
| AML.T0114 AI 服务 Web 界面 | 公开 AI 助手网页 | 实时 | 匿名访问绕开 API 密钥、服务账户类管控 |
| AML.T0108 AI 智能体 | 被劫持的智能体工具链 | 随智能体运行 | 指令执行伪装成智能体的正常工作 |
| AML.T0120 AI 制品仓库 | 制品对象的读写与轮询 | 异步 | 无需持续直连，混杂在正常制品流量中 |
AI 时代 C2 的检测困境：
- 域名白名单失效：流量流向公开 AI 服务的可信域名，与员工日常使用行为混同，无法一刀切封禁
- 凭证管控失效：匿名 Web 访问不依赖 API 密钥、服务账户等可吊销凭证，撤销钥匙赶不走攻击者
- 行为边界模糊：智能体执行 shell 命令、访问网络本是正常功能，难以区分“用户指令“与“攻击者指令“
值得警惕的典型场景： 恶意软件不直连攻击者基础设施，而是打开一个嵌入式浏览器或 WebView 组件，访问允许匿名使用的公开 AI 助手网页：诱导 AI 助手抓取攻击者控制的 URL（参数里夹带受害数据），再从 AI 助手的回复中解析出下一步指令。整个过程中恶意流量全部指向可信的 AI 服务域名——依赖 API 密钥、服务账户和可吊销凭证的防御手段对此完全失效，检测重心被迫转向浏览器自动化行为、提示词内容与 AI 服务遥测。
与 ATT&CK 传统 C2 的差异：
| 维度 | ATT&CK 命令与控制 (TA0011) | ATLAS 命令与控制 (AML.TA0014) |
|---|---|---|
| C2 载体 | 自建基础设施、公共 Web 服务、加密隧道 | 受害环境中的 AI 服务 API、Web 界面、智能体与制品仓库 |
| 隐匿原理 | 把 C2 流量伪装成正常网络流量 | 把 C2 指令混入真实合法的 AI 服务调用 |
| 信任滥用 | 域名前置、CDN、合法远程访问工具 | 可信 AI 服务域名 + 匿名 Web 访问 + 现成智能体工具链 |
| 检测重心 | 流量特征、协议异常、信标规律 | AI 服务遥测、提示词内容、浏览器自动化与制品仓库审计 |
战术在攻击链中的位置
攻击链全景图
graph LR
A["01 侦察"] --> B["02 资源开发"]
B --> C["03 AI攻击适配"]
C --> D["04 初始访问"]
D --> E["05 AI模型访问"]
E --> F["06 执行"]
F --> G["07 持久化"]
G --> H["08 权限提升"]
H --> I["09 防御规避"]
I --> J["10 凭证访问"]
J --> K["11 发现"]
K --> L["12 横向移动"]
L --> M["13 收集"]
M --> N["14 命令与控制"]
N --> O["15 数据渗漏"]
O --> P["16 影响"]
style N fill:#ff6b6b,stroke:#333,stroke-width:2px
注：实际攻击中部分战术可并行或跳过，上图展示典型线性推进关系。
当前战术的角色
命令与控制是攻击链的“神经中枢“：攻击者在初始访问与执行阶段取得立足点后，必须建立可靠的指挥信道才能持续调度失陷系统。C2 信道的隐蔽性直接决定攻击者能在目标网络中“存活“多久——信道一旦暴露，整个攻击行动就会被连根拔起。
前置战术
- 执行：需要在目标系统上运行恶意代码，才有接收 C2 指令的“内应“
- 持久化：确保 C2 信道中断后能重新建立连接
- 权限提升 / 防御规避：高权限与免检测环境让 C2 信道更稳固
后续战术
- 发现：通过 C2 信道下发侦察命令，摸清受害环境中的 AI 资产
- 数据渗漏：成熟的 C2 信道常被复用为数据外传通道
- 影响：最终的破坏动作（加密勒索、数据销毁等）经由 C2 信道触发
技术索引表
| 技术ID | 中文名称 | 难度 | 子技术数 | 一句话理解 | 关联ATT&CK | 文档状态 |
|---|---|---|---|---|---|---|
| AML.T0072 | 网络通信信道 | ⭐⭐⭐ | 0 | 用任意网络协议、服务或中继建立与被控系统的通信线路，是一切C2技术的基础 | — | ✅ 已完成 |
| AML.T0096 | AI 服务 API | ⭐⭐⭐ | 0 | 把攻击指令藏进AI服务的正常API流量里，让C2通信伪装成合法调用 | — | ✅ 已完成 |
| AML.T0108 | AI 智能体 | ⭐⭐ | 0 | 劫持受害系统上的AI智能体当C2代理，借其执行命令、联网的工具能力遥控失陷主机 | — | ✅ 已完成 |
| AML.T0114 | AI 服务 Web 界面 | ⭐⭐ | 0 | 让恶意软件自动化浏览器访问公开AI助手网页收发指令，借可信AI域名掩护C2流量 | — | ✅ 已完成 |
| AML.T0120 | AI 制品仓库 | ⭐⭐⭐ | 0 | 把AI制品仓库当异步“死投信箱“，用正常的制品读写操作收发C2任务与回传结果 | — | ✅ 已完成 |
平台覆盖说明（依据官方数据）：
- AML.T0120（AI 制品仓库）覆盖全部四类平台：Predictive AI / Generative AI / Agentic AI / Enterprise
- AML.T0096（AI 服务 API）适用于 Predictive AI / Generative AI / Agentic AI 三类 AI 平台
- AML.T0108（AI 智能体）仅适用于 Agentic AI——只有智能体自带可被劫持的工具执行能力
- AML.T0072（网络通信信道）、AML.T0114（AI 服务 Web 界面）以 Enterprise 平台为主
统计信息
- 技术总数：5 个
- 子技术总数：0 个
- 难度分布：⭐⭐⭐（Realized）3 个 / ⭐⭐（Demonstrated）2 个 / ⭐（Feasible）0 个
- 已完成文档：5 个
- 待编写文档：0 个
说明：本战术为 ATLAS 2026.09 中的纯 AI 特色战术——5 项技术中 4 项（AML.T0096、AML.T0108、AML.T0114、AML.T0120）直接围绕 AI 服务与 AI 资产构建信道，仅 AML.T0072 为通用网络信道的基础抽象；官方未收录任何子技术。
推荐阅读顺序
入门阶段：从传统 C2 到 AI 信道
适合刚接触 C2 概念的学习者，先理解“信道“的本质再进入 AI 场景。
前置知识： 了解 HTTP/API 基础概念与客户端-服务器模型
推荐阅读：
- AML.T0072 网络通信信道 - 理解 C2 的本质：任意协议、服务、中继都可以承载命令与结果的双向流动
- AML.T0096 AI 服务 API - 学习攻击者如何把指令嵌入 AI 服务 API 的正常调用，实现“藏在人海里“
学习建议：
- 对照 ATT&CK TA0011 的经典技术（应用层协议、Web 服务）体会“借合法信道“思路的延续
- 思考：为什么 AI 服务 API 比自建 Web 服务 C2 更难用黑名单封禁？
进阶阶段：Web 界面中继与检测盲区
适合有一定恶意软件分析基础的学习者，理解 C2 流量如何混入可信域名。
前置知识： 了解浏览器自动化、WebView 组件的工作方式
推荐阅读：
- AML.T0114 AI 服务 Web 界面 - 学习恶意软件如何借公开 AI 助手的匿名访问与 URL 抓取能力作 C2 中继
- AML.T0072 网络通信信道（回顾）- 从“信道选择“角度对比 API 与 Web 界面两条路线的差异
学习建议：
- 重点理解“AI 服务充当失陷系统与攻击者基础设施之间的代理“这一拓扑结构
- 关注检测重心从 API 密钥监控向浏览器自动化行为、提示词内容、AI 服务遥测的转移
高级阶段：智能体劫持与异步死投
适合深入理解 AI 时代攻防对抗的学习者，接触最具 AI 特色的高级 C2 形态。
前置知识： 了解 AI 智能体的工具调用机制与 MLOps 制品管理流程
推荐阅读：
- AML.T0108 AI 智能体 - 理解被授予 shell 与联网权限的 AI 智能体如何通过提示词注入变成“天然 C2 客户端“
- AML.T0120 AI 制品仓库 - 学习用制品仓库的消息队列/死投模式实现无需直连的异步 C2
学习建议：
- 结合本库 ATLAS 案例研究（case-studies）中的真实事件理解技术的实际运用
- 思考防御侧如何对“AI 智能体执行了用户从未下达过的命令“建立行为基线
参考资料
官方文档
关联阅读
- ATT&CK Enterprise 命令与控制战术 (TA0011) - 传统 C2 战术的完整中文文档，与本战术对照阅读
- T1071 应用层协议 - 把 C2 藏进正常协议流量的经典手法，与 AML.T0096 思路同源
- T1102 Web服务 - 借公共 Web 服务做 C2 的先例，可视为 AI 服务信道的前身
学习资源
- OWASP Top 10 for LLM Applications - LLM 应用十大安全风险清单
- NIST AI Risk Management Framework - NIST AI 风险管理框架
速查卡
- 常用技术：AML.T0096（AI 服务 API）、AML.T0072（网络通信信道）、AML.T0120（AI 制品仓库）——现成 AI 服务优先，无需自建基础设施
- 关键检测信号：AI 服务 API 的异常调用模式与频率、嵌入式浏览器/WebView 自动化访问 AI 助手页面、提示词或 URL 参数中夹带的指令与数据、制品仓库的异常轮询读写行为
- 攻击者常用手法：指令嵌入 API 正常流量、诱导 AI 助手抓取攻击者 URL、劫持智能体工具链、把制品仓库当死投信箱
- 防御要点：监控 AI 服务遥测与调用基线、限制无人值守环境的浏览器自动化、审计制品仓库操作日志、对智能体工具执行建立审批与行为基线
- 蓝队关注点：C2 流量混入可信 AI 域名后，传统域名 IOC 与黑名单大幅失效，检测重心必须转向行为层——AI 服务调用内容、浏览器自动化指纹与制品仓库审计日志的关联分析
- 案例研究：本库 案例研究分节 已收录全部 73 个真实 AI 安全事件与安全研究案例，可对照阅读
版本: ATLAS 2026.09 | 更新: 2026-10-24 | 模板: ATLAS 战术README v1.0