當前網路安全面臨的新挑戰並非 AI 創造了全新的攻擊手段，而是 AI 成了攻擊者的力量倍增器。最近的案例顯示，即便是不太精通編碼的攻擊者，也能利用大型語言模型（LLM）快速生成功能強大且具備容錯機制的腳本，用以執行複雜的內部網路偵察。
以近期一起針對 Active Directory（AD，Windows 網域環境的核心目錄服務，負責管理使用者權限與電腦設備）的入侵事件為例，攻擊者在透過 RDP（遠端桌面協定）取得伺服器權限後，部署了一段疑似由 AI 生成的 PowerShell 腳本。這類腳本被研究人員稱為 vibe-coded，意指其開發過程更像是透過與 AI 對話調整感覺，而非由工程師嚴謹設計。
AI 生成腳本的特徵與行為
安全研究人員發現，這段腳本具有明顯的 AI 生成痕跡。首先是腳本名稱被命名為 100% Working AD Information Gathering Script - FULLY FIXED，這種命名方式非常像使用者在與 AI 溝通多次、修正錯誤後所產生的最終版本標題。
在技術實作上，該腳本表現出過度工程化（Over-engineered）的特徵。例如，它設計了五層級的級聯回退機制（Cascading Fallback Mechanism），也就是當第一種尋找網域控制站（Domain Controller）的方法失敗時，會自動嘗試第二種、第三種，直到成功為止。此外，腳本還包含大量 AI 常用的佔位符字串，以及為了美觀而加入的彩色控制台輸出。
這段腳本的主要目的是執行 AD Enumeration（網域列舉），即系統性地掃描並記錄網域內的所有使用者、電腦、群組、組織單位（OU）以及信任關係。最後，它甚至會自動生成一份 HTML 格式的報告，方便攻擊者快速審視盜取成果。
從偵察到滲透的完整攻擊鏈
這次攻擊並非單靠 AI 腳本，而是一個典型的組合拳。攻擊者在執行完 AI 偵察後，迅速部署了 s5cmd（高效能的文件操作工具）與 SharpShares（用於掃描網路共享資料夾的 C# 工具），目的是尋找權限較鬆散的資料存放區。
整個流程可以概括為：取得初始權限 $\rightarrow$ AI 腳本快速繪製網域地圖 $\rightarrow$ 掃描共享資料夾 $\rightarrow$ 封裝資料 $\rightarrow$ 外傳至遠端伺服器。
AI 如何改變攻擊成本與速度
對於 Junior 工程師或資安維運人員來說，最需要警覺的是 AI 對攻擊門檻的降低。過去，要寫出一個能自動處理各種異常狀況且具備完整報告功能的偵察工具，需要攻擊者具備深厚的 PowerShell 知識與對 AD 結構的理解。但現在，低技術水平的攻擊者只要能寫出正確的提示詞（Prompt），就能獲得高功能的工具。
這種趨勢導致了兩個關鍵影響：
第一，攻擊速度大幅提升。AI 讓攻擊者能將新獲取的權限立即轉換為量身定制的行動。例如在 AWS 雲端環境的攻擊案例中，攻擊者在 72 小時內就完成了從初始進入到全面控制的過程，不斷地在發現新金鑰、掃描權限、建立持久化後門之間快速循環。
第二，優先考慮侵略性而非隱匿性。由於 AI 腳本往往過於強勢且產生大量日誌（Noisy），這類攻擊不再追求潛伏，而是採取快進快出的 smash-and-grab 策略，在防禦者反應過來之前就完成資料竊取或破壞。
防禦者的應對思考
面對 AI 加速的攻擊，傳統的單點防禦已不足夠。攻擊者不再依賴單一的漏洞或 0-day，而是將多個微小的配置錯誤（Misconfiguration）串聯起來。
我們應該關注的不再僅僅是防止單一工具的執行，而應強化對異常行為的監控。例如，在短時間內出現的大量 AD 查詢、非正常的權限列舉行為，以及在 ProgramData 等目錄下出現未經授權的腳本執行，都應被視為高風險警訊。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。