在網路安全領域，許多人傾向於將駭客想像成不斷追求突破、研發頂尖漏洞的技術極客。然而，根據 The Hacker News 引用 Microsoft 與 Bitdefender 等安全機構的分析，現代的威脅行為者（Threat Actors）其實更像是在經營一家「通用藥廠」。他們並不追求開發最尖端、最複雜的攻擊手段，而是尋找那些成本最低、且能在不同目標身上重複運作的標準化流程。
背景：從複雜漏洞轉向標準化流程
傳統的攻擊觀念認為，要攻破一家公司需要尋找特定的零日漏洞（Zero-day Vulnerability，指尚未被開發商發現或修補的安全漏洞）。但事實上，這種方式成本過高且難以規模化。目前的攻擊趨勢顯示，威脅者更偏好「劇本化」的攻擊。
以近年盛行的 ClickFix 技術為例，這是一種社交工程（Social Engineering，利用心理操縱誘導使用者採取特定行動）手段。攻擊者會建立一個偽裝成驗證頁面的網站，誘導使用者在剪貼簿中複製一段指令並在終端機（Terminal）中執行。這種方法不需要發送任何可被掃描的惡意附件，也不需要利用任何軟體漏洞，僅僅是利用人類的服從心理。根據 Microsoft 的觀察，這種方法在去年的初始入侵通知中佔比高達 47%。
核心內容：可複製性的商業價值
網路犯罪本質上是一種追求規模經濟的商業模式。對於犯罪組織而言，如果每次攻擊都需要為新目標量身打造工具，將無法快速擴展。因此，他們追求的是「可重複性」（Repeatability）。
這種邏輯體現在兩個核心策略上：第一是利用公開的漏洞證明（Proof of Concept, PoC）。攻擊者不需要自己研究漏洞，他們只需監控 GitHub 等平台，等待安全研究人員公開漏洞證明後，立即利用自動化工具大規模掃描網路中尚未修補的設備。這就像通用藥廠不研發新藥，而是在專利到期後大量生產已知配方，競爭的核心在於速度與成本而非創新。
第二是「利用環境原生工具」（Living off the Land, LotL）。Bitdefender 的研究發現，在 84% 的高嚴重性事件中，攻擊者使用的是系統內建的管理工具，而非安裝額外的惡意軟體。由於這些工具在所有相同作業系統的環境中都完全一致，攻擊者只要學會一次操作序列，就可以在成千上萬個目標身上複製相同的結果，無需針對不同目標的技術棧（Technology Stack，指系統運作所需的軟體組合）進行調整。
技術脈絡解讀：AI 在此模式中的位置
目前許多討論聚焦於 AI 將如何強化攻擊，但從商業成本角度分析，AI 的角色可能並非如想像中那樣直接。
目前的攻擊模式追求的是將成本趨近於零：掃描是廉價的，漏洞證明是免費的，工具是目標機器自備的。如果引入自主 AI 代理（Autonomous AI Agent）在攻擊過程中即時採取隨機應變的策略，反而會增加每次嘗試的成本，且會引入不確定性。對於依賴加盟模式（Affiliate Model）的勒索軟體組織來說，不確定性是最大的敵人，因為他們需要的是一套可以交給任何成員執行並產生預測結果的標準手冊。
因此，AI 在此模式中的合理應用是作為「作者」而非「執行者」。攻擊者會利用 AI 來研究技術、撰寫更具欺騙性的誘餌或優化劇本，但一旦劇本完成，執行過程依然會維持決定性的、標準化的路徑。
影響與限制：防禦者的對策
既然攻擊者追求的是標準化，這意味著防禦端同樣可以透過標準化來應對。對抗「可複製攻擊」的關鍵不在於追逐所有新技術，而是在於關閉那些劇本必須依賴的門戶。
首先是精準修補。攻擊者的篩選條件非常明確：面向公網、具備遠端程式碼執行（RCE）能力且無需認證的漏洞。企業應優先修補這類漏洞，將修補時間縮短在漏洞發布到 PoC 出現的短短幾天之內。
其次是限制執行權限。透過應用程式控制（Application Control）與指令碼執行策略，可以有效切斷如 ClickFix 這類依賴使用者貼上指令的攻擊鏈。同時，應審視並限制系統內建管理工具的使用權限，確保只有必要的人員能調用這些強大工具。
最後是從單一事件轉向行為關聯分析。在 LotL 攻擊中，單一行為（如使用管理工具、登入帳號、連接雲端儲存）看起來都是正常的。但如果這三個行為在同一台主機、同一時間點以特定順序發生，則具有高度可疑性。最關鍵的限制在於監控，擁有偵測工具但缺乏即時監控的人員，其偵測系統僅僅是事後分析的日誌文件，無法阻止損害發生。
總結來說，威脅者並不追求像蘭博基尼一樣頂級的攻擊技術，他們想要的是像豐田汽車一樣可靠、誰都能開且維修方便的標準工具。理解這一點，才能將防禦重心從「對抗創意」轉向「消除通用路徑」。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。