AI威胁炒作：为何追逐幽灵会让真实漏洞暴露无遗

最后更新：2025年6月2日

人工智能、安全

关键要点

• 围绕AI驱动的网络攻击的担忧可能分散网络安全团队对优先处理已知突出威胁的注意力。
• 目前，AI最常用于放大现有攻击方法的速度和规模，而非创造新的AI生成威胁。
• 网络安全团队需要有效的基于风险的优先级策略，以识别和缓解当前对其组织构成最大风险的真实威胁。
• 大多数网络安全专业人士认为，AI在改进网络安全防御方法方面比作为威胁行为者的工具更有效。

AI威胁炒作与风险优先级错位

随着AI成为媒体和行业关注的焦点，网络安全团队越来越加压自己，以准备应对AI驱动的网络攻击。根据Ivanti的2025年网络安全状况研究，一半的IT安全专业人士将“尚未知的弱点”评为高或关键威胁——与凭证泄露、供应链风险、DDoS攻击和其他真实威胁相同或更高。

这些“未知”担忧目前仍然是炒作多于实质。事实上，Picus 2025红队报告发现，2024年AI驱动的恶意软件技术使用没有显著增加。报告进一步指出：“AI提高了生产力，但尚未重新定义恶意软件。”

换句话说，对手在攻击中利用AI——自动化钓鱼内容、调试恶意代码、加速侦察——但他们没有创造根本性的新攻击类别。传统攻击技术仍然主导网络格局，但许多团队仍然专注于推测性威胁。

最大的启示？停止担心来自前线的假设性AI驱动发射，专注于防御当前对您的组织构成最大风险的威胁。

真实威胁与AI炒作：风险优先级错位

自2022年11月ChatGPT成为头条新闻以来，世界一直充斥着对AI潜在影响的期待。分析师预测，到2030年，AI将为全球经济注入15.7万亿美元，该技术也越来越塑造各行各业的日常工作流程。

因此，AI主导董事会讨论并不奇怪。由于CISO和安全领导者的任务是准备最坏情况，他们对AI在错误手中的能力保持警惕是可以理解的。然而，当大部分注意力集中在新型AI生成威胁上时，问题就出现了。较少关注我们已经看到攻击者使用AI的主要方式——作为放大熟悉现有威胁的工具。

AI合成数字内容（如 manipulated media 和 deepfakes）和基于AI的欺骗攻击（如使用生成式AI模仿某人的声音和语调）都是2025年预测的顶级AI相关威胁，53%的安全专业人士将其威胁级别评为“高/关键”。

然而在实践中，这些AI生成的威胁类型尚未像传统钓鱼技术和勒索软件攻击那样普遍，我们看到AI将攻击者的努力加速到前所未有的速度。结果是一个风险优先级模型偏向理论而非现实考虑。

威胁准备中的关键差距持续存在

Ivanti的报告还描绘了一幅令人不安的图景：真实威胁在多个关键类别中超过了组织准备。

问题不是缺乏意识；而是安全卫生不一致。差距仍然存在：弱凭证管理、补丁延迟、未经测试的事件计划和API/第三方盲点。简而言之，来自AI的新风险不是问题——更多的是AI正在加强现有威胁。

考虑我们的研究发现防御者落后的前五个领域——不是因为安全团队缺乏意识，而是基础被不一致地执行，而AI正在帮助对手更有效地利用它们：

1. 勒索软件攻击

勒索软件仍然是顶级威胁，58%的安全专业人士将其评为高/关键。然而，只有29%的人表示他们的团队准备好防御勒索软件攻击。尽管如此，许多组织仍然缺乏测试的备份和恢复协议，没有有效分段网络，并运行过时的IR计划。

当谈到生成式AI提高勒索软件威胁的能力时，安全团队可能面临更快的代码迭代、更自动化的漏洞链和可以绕过防御的自适应有效载荷构建。攻击者还使用AI创建虚拟模拟以在部署前测试——并相应调整策略。

2. API相关暴露

API支持软件的增加使用也增加了API暴露的风险。API相关漏洞是Ivanti调查的安全专业人士评级的第二高威胁类型，52%的人将其评为“高/关键”威胁。然而，只有31%的安全团队表示他们感到“非常准备”防御API攻击——21%的准备差距。

威胁行为者现在可以通过流量分析自动化发现端点，逆向工程文档不良的API，并生成模糊输入以识别逻辑缺陷。一旦进入内部，他们利用权限蔓延、未验证输入或弱认证机制。

在网络安全方面，AI也可以是一个有用的工具，实时分析大量API流量数据以识别可能指示攻击的问题和模式。

3. 软件漏洞

整体软件漏洞在“高/关键”威胁级别和准备之间有一个令人担忧的19点差距。安全团队仍然在部门孤岛、不可访问的数据和技术债务等关键问题上挣扎，这使得管理他们不断扩大的攻击面具有挑战性。Ivanti的报告发现，45%的安全团队表示缺乏数据来自信地识别特定漏洞。

此外，超过一半的组织——51%——承认使用已达到生命终止的软件，因此不会定期更新和打补丁以确保安全合规。

安全和IT团队正在努力维护补丁卫生，尤其是在遗留系统和影子IT环境中。这不仅仅是工具问题。补丁周期和安全响应时间因安全和IT优先级错位而减慢——AI正在扩大快速打补丁者和等待者之间的差距。

4. 泄露的凭证

像软件漏洞一样，泄露凭证的准备差距也达到19%。被盗凭证是攻击者的简单入口，当与AI扩展凭证填充攻击、模拟人类登录行为和适应多步认证流程的能力配对时更是如此。

生成式AI还用于分析泄露的数据集并识别跨平台的重用密码或凭证模式。曾经的手动 grind 现在正在成为一个完全自动化的渗透过程。然而，MFA覆盖仍然不完整，身份治理往往是事后才想到的。AI只是暴露了它的实施有多差。

5. 钓鱼

钓鱼长期以来一直是攻击者突破组织防御的主要方法。然而，即使现在，只有37%的网络安全团队表示他们准备好防御钓鱼威胁。

这种滞后从未如此令人担忧，因为我们看到钓鱼方法如何随着AI演变，攻击者有能力创建令人信服的深度伪造内容，并使用抓取的公共数据个性化攻击。

组织显然有很多工作要做，以弥合防御差距并打击突出威胁，因为我们知道这些威胁不会消失，而是继续演变和发展。然而，在AI威胁炒作背后有一些积极消息，即AI和自动化也可以作为强大工具来加强网络安全团队的努力。

AI网络安全工具：敌人还是朋友？

探索AI对话的另一面，网络安全领导者开始将AI视为加强防御的资产。Ivanti的2024年报告“生成式AI和网络安全：风险与回报”发现，90%的安全专业人士认为生成式AI benefit 安全团队与威胁行为者一样多甚至更多。

今天组织使用AI工具的一些方式包括自动化威胁检测和分类、加速日志分析、增加异常发现和模拟不同攻击方法。生成式AI不必只是一个迫在眉睫的威胁，而应被视为另一个工具，帮助安全团队更有效地识别防御弱点并主动解决漏洞。

重新聚焦网络安全基础的建议

AI威胁当然是真实威胁，网络安全团队不应 disregard AI在网络攻击中日益增长的使用。然而，随着网络安全和IT团队处理人才/技能缺乏和应对 burnout，他们需要将安全资源优先用于最突出和影响最大的威胁类型。

与其花时间、预算和人员围绕推测性AI威胁制定安全策略，防御者应加倍关注安全最佳实践和基础，例如：

• 识别攻击面差距
• 修复现有暴露
• 确保严格的凭证保护和访问控制

您的漏洞和威胁管理策略需要主要专注于主动识别和管理对您的组织最紧迫的威胁，而不是试图防范推测的未来威胁，尤其是未知的。

安全团队无法知道抽象未识别威胁的威胁级别，因此无法对它们采取行动。更 beneficial 的是获得攻击面的全面、实时视图，并用它来了解您组织当前的风险状况。

真正的网络安全领导不是追逐假设。而是通过完全可见性、快速验证和基于风险的优先级系统性地减少暴露。

以下是当今领先安全领导者正在做的事情，以及您应该做的事情以保持领先：

1. 持续监控您的完整攻击面

团队无法保护他们看不到的东西。因此，确保每个暴露点的实时、持续更新视图，以 visibility 进入整个 landscape。资源有限，您无法为每个未知潜在威胁做准备。相反，团队需要一个框架来评估他们的攻击面并对已知和未知漏洞进行分类。

2. 基于整体影响威胁和业务风险优先威胁响应

超越扫描现有差距和机会——运行模拟，使用红队，并采用基于行为的分析来验证哪些暴露实际上可利用。利用像MITRE ATT&CK这样的框架、威胁情报和您自己的读数来识别暴露，并基于 established 风险框架优先修复工作，该框架考虑关键因素，如可利用性和对您组织更广泛业务目标的整体影响。

3. 利用AI加速防御

AI是一个威胁向量，但它也是网络安全团队的力量 multiplier。在网络安全中充分利用AI的潜力，实时浮现异常，自动化日志分析，生成模拟，并减少手动义务。炒作是真实的，但尤其是在您以加速和收紧响应的方式应用它时。

真正的网络安全领导是在当前焦点和近未来发展中锻造的。这意味着在压力下做出 surgical 决策，识别实际风险，并推动可衡量的减少。

忘记未来未知——专注于已知

研究揭示，许多安全团队高估了AI驱动威胁的预测风险，并且他们对防御今天针对他们的实际威胁准备不足。网络安全团队需要重新调整网络防御策略以反映现实，否则 risk 不必要的损害。

事实是，AI可能重新定义网络攻击的规模和速度，但即使有新的AI能力，今天的攻击者仍然在使用相同的旧技巧。获胜的网络安全策略不会将所有时间和资源投入构建抗AI的墙——它们将是那些主动准备防御以击退眼前威胁的策略。

查看Ivanti的2025年网络安全报告，以基准测试您的准备情况并缩小准备差距。

常见问题解答

网络安全专业人士将什么评为2025年预测的顶级AI相关威胁？ AI合成数字内容和AI欺骗攻击都是2025年预测的顶级AI相关威胁。

哪种威胁类型在威胁级别和组织准备之间具有最大“差距”？ 根据Ivanti的2025年网络安全报告，“勒索软件”是2025年预测的顶级整体威胁，并具有威胁级别超过准备的最大差距。

网络安全专业人士认为AI对防御者还是威胁行为者更有利？ Ivanti调查的90%的网络安全专业人士认为生成式AI将 benefit 网络安全团队与潜在攻击者一样多甚至更多。