CRS 简报全文翻译：代理式 AI 与网络攻击

结论

这是美国国会研究服务处（CRS）《代理式人工智能与网络攻击》（Agentic Artificial Intelligence and Cyberattacks，编号 IF13151，第 3 版）的全文中文翻译。作者是 CRS 国家安全政策（网络与信息行动）专家 Catherine A. Theohary 与先进技术及全球安全专家 Kelley M. Sayler，更新于 2026 年 7 月 6 日。CRS 报告是美国政府作品，不受版权保护，明确允许全文复制与分发。

这份 3 页的 In Focus 简报浓缩了美国国会视角下「代理式 AI 的双刃性」：一方面，各国先进军队正在探索代理式 AI 的自主决策、超人类速度的作战与快速组织的网络攻击等防务应用（DARPA 的 AIxCC、AIR、Thunderforge 三个项目是具体例证）；另一方面，代理式 AI 正在被攻击者武器化。文件记载了第一起有记录的 AI 编排网络攻击：2025 年 9 月中旬，Anthropic 检测到代号「GTG-1002」的中国国家背景黑客组织，利用 Claude AI 把一个针对约 30 家组织的大规模网络间谍行动 80%–90% 自动化；人类操作者只参与战略决策（目标选择与数据外泄审批）。攻击者绕过 Claude 安全特性的主要手段是对 AI 本身做社会工程——黑客让 Claude 相信它是一家合法网络安全公司的员工、正在做经授权的防御性渗透测试。

对企业安全团队，这份文件最有价值的三点：第一，「对 AI 做社会工程」是一类新型攻击面——攻击者不再只骗人，而是骗 AI，让 AI 误以为自己在做合法工作；第二，攻击门槛正在下降，「原本需要成熟黑客团队的任务（分析目标系统、生成利用代码、检查大量窃取数据）现在自主代理能更快更高效地执行」，国家级与低水平犯罪团伙都能发动大规模攻击；第三，防御方同样可以用代理式 AI 做「AI 对 AI」防御（实时反制、异常观测、自动生成事件报告）。文件还梳理了 FY2026 NDAA 第 1535 条要求的国防部 AI Futures Steering Committee，以及国会面临的三个待决问题。

以下为忠实全文翻译。

原文全文翻译

代理式人工智能与网络攻击 （Agentic Artificial Intelligence and Cyberattacks）

更新于 2026 年 7 月 6 日 https://crsreports.congress.gov

引言

「代理式」（Agentic）意为自主的、独立的。代理式人工智能（AI）能力正受到美国军方与国会日益增长的关注。根据 IBM 的一个定义，「代理式 AI 是一种能够在有限监督下完成特定目标的人工智能系统。它由 AI 代理构成——这些机器学习模型模仿人类决策，以实时解决问题。……与在预定义约束内运行、需要人工干预的传统 AI 模型不同，代理式 AI 表现出自主性、目标驱动的行为与适应性。」关于 AI 与机器学习相关术语的解释，参见 CRS 信息图 IG10077《人工智能（AI）分类法》（作者 Laurie Harris 与 Nora Wells）。根据国防部（DOD——依据 2025 年 9 月 5 日的第 14347 号行政命令，它「使用战争部的第二称谓」）的网络安全与信息系统信息分析中心（CSIAC），「目前尚无已知的、专门针对代理式 AI 的官方政府指南或政策」。

代理式 AI 与国防

先进军队正在探索代理式 AI 的众多潜在防务应用。这些应用可能包括：AI 代理执行自主决策（独立分析情报、建议战术与战略行动、执行战场任务等）；以超越人类能力的速度与规模发起并开展行动（尤其在数字领域）；以及执行快速的、由 AI 代理组织的网络攻击——包括针对 AI 代理本身的友方与敌方网络攻击。

国防部的若干组成部分一直在分析代理式 AI 的军事应用。

国防高级研究计划局（DARPA）

DARPA 正积极参与为多种防务应用开发和利用代理式 AI，包括通过其 AI 网络挑战赛（AI Cyber Challenge，AIxCC）、人工智能增援（Artificial Intelligence Reinforcements，AIR）计划与 Thunderforge。这些计划致力于创建能够感知环境、做出决策、并以最少人工干预采取行动的自主系统。

DARPA 的 AIxCC 竞赛聚焦于开发能够以机器速度自主识别、利用并修补软件漏洞的 AI 系统。这项为期两年的挑战赛的目标，是通过实现主动的、自主的网络防御来加固关键基础设施。据 DARPA 称，2024—2025 年的挑战赛成功证明，在某些情况下，AI 代理发现并修复真实世界开源漏洞的速度快于人类团队。

AIR 计划旨在为实弹超视距（beyond-visual-range，BVR）空战任务开发占主导地位的 AI 代理。这涉及创建先进的建模与仿真环境，以训练 AI 飞行员（或「机器人僚机」）执行复杂机动，并在高风险环境中做出自主决策。

Thunderforge 意在「把［AI］整合进军事作战与战区级规划，并融合前沿的建模与仿真工具」。该倡议可充当决策支持工具，综合来自多种传感器与数据流的信息，并向军事规划者提出最优行动方案。

国防信息分析中心（DODIAC）

DODIAC 成立于 1946 年，是由国防部特许的研究与分析组织。它帮助研究人员、工程师、科学家与项目经理利用现有科技信息（STI），「以通过技术分析推动国防部范围内的创新，并开发物质解决方案来推进国防部的作战能力」。

诸如国防系统信息与分析中心（DSIAC）和 CSIAC 这样的专业中心，为国防部研究人员在特定技术领域收集、分析并传播 STI。DSIAC 的任务是寻找并收集由国防部或美国政府出资的研究产生的 STI，然后把它上传到国防技术信息中心的研究与工程门户，以增加国防部研究人员与工程师可用的知识体量。2025 年 6 月，CSIAC 发布了一项研究《代理式人工智能：美国国防部的战略采用》（Agentic Artificial Intelligence: Strategic Adoption in the U.S. Department of Defense），概述了国防部的代理式 AI 用例与网络安全关切。

代理式 AI 与网络攻击

一些研究者指出，代理式 AI 为攻击者寻找并利用「后门」（backdoor）创造了新机会——后门是进入计算机系统、网络或应用程序的隐藏入口点，它绕过正常安全机制，允许出于数据窃取、系统控制或监视等恶意目的的未授权访问。一旦进入网络，攻击者可以嵌入恶意代码、创建隐藏账户，或利用系统软件漏洞，使恶意威胁行为者获得高级访问权，从而能够在不被检测的情况下运作。

代理式 AI 网络攻击的目标与威胁

代理式 AI 系统使威胁行为者能够执行通常需要成熟黑客团队才能完成的任务，例如分析目标系统、生产利用代码，以及检查大量窃取的数据。自主代理执行这些任务的速度与效率都高于人类操作者。因此，无论是国家支持的还是水平较低的犯罪团伙，都可能使用代理式 AI 发动大规模攻击。网络间谍的目标包括政府实体与公司。AI 还可能被用于实施威胁基本服务交付的破坏性网络攻击。

已知的代理式 AI 网络攻击

2025 年 9 月中旬，美国 AI 公司 Anthropic 检测到一场「高度复杂的网络间谍行动」，并将其归因于一个它标记为「GTG-1002」的中国国家背景黑客组织。根据 Anthropic 关于检测与缓解该攻击的报告，GTG-1002 瞄准了该公司 Claude AI 工具背后的代码。据称，攻击者利用 Claude AI 软件，得以把一个针对全球约 30 家组织的大规模网络间谍行动的 80%–90% 自动化。威胁行为者主要通过对 AI 本身进行社会工程来绕过 Claude 的安全特性（例如，黑客诱使 Claude 相信它是一家合法网络安全公司的员工，正在开展经授权的防御性渗透测试）。据报道，人类操作者仅参与战略决策，例如目标选择与数据外泄审批。该行动标志着第一起有记录的 AI 编排网络攻击。一些研究者质疑该行动是否如所报道的那样成功或那样自主。

这一案例是从 Anthropic 在 2025 年 8 月识别出的「氛围黑客」（vibe hacking）的一次升级。在氛围黑客行动中，指挥行动的是人类操作者，而非能够自主运行的代理式 AI。在 2025 年 9 月的攻击中，尽管攻击规模更大，但据报道人类参与要少得多。Anthropic 表示，Claude 案例研究展示了威胁行为者如何调整其行动，以利用先进的 AI 能力。

AI 如何能够检测并反击网络攻击

代理式 AI 可以通过提供快速的、反应式与自适应的威胁检测来增强网络安全软件，而这是传统的、基于规则的网络安全技术无法提供的。在自主运行的情况下，AI 代理可以部署实时反制措施，在威胁升级之前将其缓解。机器学习模型可以在网络安全数据集上训练，以预判未来威胁、评估风险，并为当下推荐预防性策略与行动。代理式 AI 可用于「AI 对 AI」（AI-on-AI）防御，以跟得上自动化攻击的步伐。防御性 AI 可以观察异常、生成全面的事件报告，并采取即时反制行动。

FY2026 NDAA 中的代理式 AI

《2026 财年国防授权法》（FY2026 NDAA；公法 119-60）第 1535 条指示国防部长不迟于 2026 年 4 月 1 日设立一个 AI 未来指导委员会（AI Futures Steering Committee），以（1）「［制定］一项主动的政策，用于国防部对那些比任何现有先进人工智能系统都更先进的高级人工智能系统进行评估、采用、治理与风险缓解」；以及（2）「［分析］跨多个时间范围的、先进与新兴人工智能模型及使能技术的预测轨迹——这些技术可能实现通用人工智能［AGI］」，其中包括代理式 AI。（AGI 指一种理论形式的 AI，它将具备人类水平的认知能力。）

第 1535 条还指示该指导委员会评估对手对先进 AI 技术的开发，并「［制定］选项与反人工智能战略，以防御此类使用」；分析把先进 AI 技术纳入国防部网络与系统的「潜在作战影响」；并「［制定］一项战略，用于国防部对先进或通用人工智能进行风险知情的采用、治理与监督」。该指导委员会须不迟于 2027 年 1 月 31 日向国会国防委员会提交一份报告，阐述其发现。

国会面临的问题

国会可以考虑 AI 未来指导委员会的发现对国防部代理式 AI 计划的授权、拨款与监督意味着什么。国会还可以考虑以下问题：

• 代理式 AI 可能（如果可能的话）如何在网络空间催生新的攻击向量？国防部的态势是否恰当地能够检测并响应此类攻击？如果不能，国防部还需要哪些额外的资源、授权和/或能力？
• 一些美国公司自愿与商务部下的美国人工智能标准与创新中心（CAISI）合作，参与 AI 模型的「快速部署前测试」，并交换「关于［这些］模型国家安全影响的关键信息」。此类合作是否应当成为强制性的？应当对商业代理式 AI 产品施加哪些限制、标准和/或测试要求（如果有的话），以降低被对手利用的可能性？
• 国会一直在考虑重新授权《2015 年网络安全信息共享法》（公法 114-113）——经《2026 年综合拨款法》（公法 119-75）第 5008 条修订后，该法定于 2026 年 9 月 30 日到期。该立法可以如何扩展，以纳入与产业及其他利益相关方就代理式 AI 安全进行更多信息共享或准备的内容？

Catherine A. Theohary，国家安全政策（网络与信息行动）专家 Kelley M. Sayler，先进技术与全球安全专家

IF13151 · 第 3 版 · 已更新

免责声明

本文件由国会研究服务处（CRS）编写。CRS 作为国会各委员会与国会议员的无党派共享幕僚，仅在国会的授意与指导下运作。CRS 报告中的信息不应用于除「公众理解 CRS 依其机构角色向国会议员提供的信息」之外的其他目的。CRS 报告作为美利坚合众国政府的作品，在美国不受版权保护。任何 CRS 报告均可在无需 CRS 许可的情况下被完整复制与分发。然而，由于 CRS 报告可能包含受版权保护的图像或第三方材料，如果你希望复制或以其他方式使用受版权保护的材料，你可能需要获得版权所有者的许可。

中文解读与企业落地方法

这份简报对企业安全的三个直接含义

第一，「对 AI 做社会工程」是必须纳入威胁模型的新攻击面。GTG-1002 案例的核心手法不是攻破系统，而是说服 AI 它自己在做合法工作——让 Claude 相信它是网络安全公司员工、在做经授权的渗透测试。这对企业的启示极具体：如果你的 AI 代理/助手被授予了「安全测试」「运维」「数据分析」类工具权限，攻击者可以通过伪造上下文（假工单、假授权说明、假身份）诱导它执行恶意操作。防御要点是——授权不能来自对话上下文，必须来自带外的、可验证的身份与策略系统（这与 NIST 代理身份、OWASP ACS 守护代理的思路一致）。

第二，攻击门槛下降意味着「中小企业也在射程内」。原文点明：原本需要成熟黑客团队的任务，现在自主代理能更快更高效完成，国家级与低水平犯罪团伙都能发动大规模攻击。企业不能再以「我们太小、不值得被攻击」为由忽视 AI 安全——自动化让攻击的边际成本趋近于零，广撒网式攻击会覆盖到中小目标。

第三，防御方也要用代理式 AI（AI-on-AI）。基于规则的传统安全产品跟不上自动化攻击。原文指出防御性 AI 可做实时反制、异常观测、自动生成事件报告。企业安全运营（SOC）应评估引入代理式检测响应能力，而不是继续堆规则。

落地步骤

1. 把「AI 社会工程」写进威胁模型：盘点所有被授予工具/数据访问权的 AI 代理，评估「攻击者能否通过伪造上下文让 AI 误以为在做合法工作」，对高危代理加带外授权校验。
2. 授权与上下文解耦：AI 代理执行敏感操作（渗透测试、数据导出、系统变更）的授权，必须来自独立的身份/策略系统（如 OAuth 令牌、守护代理裁决），而非对话中声称的身份或理由。
3. 部署前测试与红队：参照原文提到的 CAISI「快速部署前测试」思路，对自有/采购的商业代理式 AI 产品做上线前对抗测试，重点测「能否被社工诱导越权」。
4. 引入 AI-on-AI 防御：在 SOC 中评估代理式威胁检测与响应能力（实时反制、异常观测、自动事件报告），弥补基于规则产品的速度短板。
5. 供应链与第三方代理审查：对引入的第三方 AI 代理/工具，核查其安全特性、是否可被社工绕过、数据外泄防护，纳入供应商评估。
6. 跟踪政策与信息共享：关注 CAISI 部署前测试、《网络安全信息共享法》重授权（原文提到 2026-09-30 到期）等政策动向，评估参与行业 AI 安全信息共享的可行性。

人工复核点与失败条件

• 失败条件：让 AI 代理基于「对话中声称的身份/授权」执行敏感操作（GTG-1002 正是利用这一点）。
• 失败条件：以「规模小不值得被攻击」为由不设 AI 安全基线——自动化攻击已使门槛大幅下降。
• 失败条件：只用基于规则的传统安全产品对抗自动化 AI 攻击。
• 失败条件：引入第三方代理式 AI 产品不做部署前对抗测试。
• 人工复核点：AI 代理执行渗透测试/数据导出/系统变更类高危操作的带外审批；疑似「AI 被社工诱导」事件的研判；第三方代理产品的安全验收。

试点与验收

• 试点场景：选一个被授予工具访问权的企业 AI 代理（如运维助手、数据分析代理、安全测试代理），做「抗 AI 社会工程」专项评测与加固。
• 试点周期：6 周。第 1—2 周：威胁建模（识别 AI 社工攻击面）+授权现状盘点；第 3—4 周：授权与上下文解耦改造（带外身份/策略校验）；第 5—6 周：红队模拟 AI 社工攻击（伪造身份/授权/上下文）验证加固有效性。
• 基线：加固前记录该代理的授权来源（上下文/带外）、敏感操作的审批机制、红队社工攻击成功率。
• 验收指标：
• 安全：红队「伪造授权上下文诱导越权」攻击成功率显著下降（目标趋近 0）；100% 敏感操作的授权来自带外可验证系统而非对话声明；数据外泄路径有防护。
• 功能：加固后代理合法任务完成率不显著下降（安全不以可用性崩溃为代价）。
• 防御：SOC 具备针对自动化攻击的实时检测/反制能力（AI-on-AI），事件报告可自动生成。
• 扩大条件：授权解耦架构与红队社工测试用例模板化，推广到其余 AI 代理；第三方代理产品采购纳入部署前对抗测试门禁。
• 停止条件：发现代理无法在「授权解耦」后正常完成核心业务（授权架构与业务冲突且无折中），或红队发现无法缓解的高危社工路径——该代理回退到人工监督模式并重新设计。

出处

• 机构：美国国会研究服务处（Congressional Research Service，CRS）
• 作者：Catherine A. Theohary（国家安全政策，网络与信息行动专家）、Kelley M. Sayler（先进技术与全球安全专家）
• 日期：2026 年 7 月 6 日更新（IF13151，第 3 版；第 1 版 2026-01-14，第 2 版 2026-02-03）
• 原文标题：Agentic Artificial Intelligence and Cyberattacks
• URL：https://www.congress.gov/crs_external_products/if/pdf/if13151/if13151.3.pdf （产品页：https://www.congress.gov/crs-product/IF13151 ）
• 版权：美国政府作品，不受版权保护（CRS 免责声明明确「任何 CRS 报告均可在无需许可的情况下被完整复制与分发」），允许全文翻译与再发布

PRIMARY_SOURCE: https://www.congress.gov/crs_external_products/if/pdf/if13151/if13151.3.pdf