随着企业越来越依赖 AI 技术和服务，网络攻击者也开始利用这些合法工具发动攻击。这种方式类似于传统网络攻击中的“就地取材”（Living off the Land），即利用目标环境中已有的合法工具实施恶意操作。

如今，这一趋势正在向 AI 生态系统蔓延。攻击者不再完全依赖传统恶意软件，而是利用企业信任的 AI 模型、智能体、MCP 服务器及相关基础设施开展攻击。

安全研究人员将这种趋势称为“利用 AI 环境就地取材”（Living off the AI Land）。

1. 伪造 MCP 服务器，实施供应链攻击

2025 年 9 月，攻击者发布了一个伪装成 Postmark 邮件服务集成组件的恶意 MCP 服务器软件包。

该软件包在前 15 个版本中表现正常，随后攻击者通过一行代码修改，使其能够秘密窃取密码重置邮件、发票和内部通信等敏感内容。

这个恶意软件包每周约有 1,500 次下载。

由于 MCP 服务器能够让 AI 智能体连接外部数据、工具和服务，一旦连接器遭到篡改，智能体就可能在不知情的情况下执行恶意操作。

2. 将 AI 平台变成隐蔽的 C2 通信通道

攻击者开始利用合法 AI 服务传递恶意指令和窃取数据，从而绕过传统网络安全监测。

例如，SesameOp 后门利用 OpenAI Assistants API 隐藏命令与控制（C2）通信，使恶意活动看起来像正常的 AI 开发流量。

Check Point Research 还演示了攻击者如何通过 Microsoft Copilot 和 Grok 的公开 Web 界面，诱导 AI 访问攻击者控制的网址并返回结果。

这意味着，部分滥用行为甚至不需要 API 密钥或经过身份验证的账户。

3. 污染 AI 工作流程中的软件依赖

攻击者不一定需要直接入侵 AI 模型，也可以通过污染智能体依赖的软件包和组件实施攻击。

典型案例包括 2025 年出现的 Shai-Hulud 软件供应链蠕虫，以及 2026 年 8 月针对 AI 编程工具凭据的 ChainDrop 攻击。

被污染的依赖组件不仅可能窃取敏感数据，还可能悄悄改变 AI 智能体的决策、工具选择和输出结果。

4. 劫持 AI 智能体，使其成为攻击工具

攻击者正在利用 AI 智能体自身的漏洞，让原本用于帮助用户完成任务的系统转而执行恶意操作。

例如：

• Microsoft 365 Copilot 的 EchoLeak 漏洞（CVE-2025-32711）可通过隐藏在电子邮件中的提示词注入指令，诱导 AI 助手泄露内部文件和邮件。

• OpenClaw 的相关漏洞，包括 CVE-2026-25253，可能让恶意网站接管开发者的 AI 智能体。

• Varonis 发现的 Reprompt 漏洞，可以通过重复请求敏感数据绕过 Microsoft Copilot Personal 的内置安全防护。

研究人员还发现，超过 21,000 个相关 OpenClaw 实例暴露于风险之中，其技能市场中约 12% 的内容涉及恶意软件传播。

5. 利用 AI 智能体组织网络间谍活动

2025 年 9 月，Anthropic 发现攻击者滥用 Claude Code 组织网络间谍活动。

一个疑似受到政府支持的攻击组织，利用 Claude Code 独立完成了约 80% 至 90% 的战术操作。

攻击者将复杂攻击拆分为数千个看似无害的小任务，并通过角色扮演等方式，让模型认为自己正在参与合法的安全评估。

这种方式使 AI 能够承担脚本编写、目标调查和攻击工具开发等任务。

6. 使用 AI 智能体执行勒索软件攻击

2026 年 7 月，攻击者利用名为 Jadepuffer 的 AI 智能体实施了一场端到端的勒索攻击。

攻击者首先利用 AI 编排工具 Langflow 的漏洞获得初始访问权限，随后提升权限并部署 Encforge 勒索软件。

Encforge 能够针对约 180 种 AI 相关文件扩展名进行加密，攻击最终影响了受害者的生产数据库服务器。

Sysdig 将其描述为首个有记录的、由智能体式攻击者端到端实施的勒索软件攻击活动。

7. 将 AI 基础设施本身作为攻击目标

随着 AI 系统成为企业的重要基础设施，攻击者也开始直接瞄准这些高价值资产。

成功入侵 AI 基础设施后，攻击者可能获得大语言模型服务商的 API 密钥、云平台凭据、敏感数据以及其他系统连接权限。

研究人员指出，攻击者能够借助 AI 快速将公开漏洞公告转化为可用的漏洞利用代码。在部分案例中，从漏洞披露到实际利用的时间已经缩短至数小时。

8. 利用 AI 攻击工业控制系统

工业企业正在逐步让 AI 智能体直接参与生产控制。

过去，AI 主要负责预测故障和提出优化建议，由人工操作员决定是否执行。如今，部分系统已经允许 AI 自动调整生产设备的控制设定值。

这也带来了新的安全风险。

攻击者可能无需直接入侵工业控制器，只需要篡改 AI 使用的传感器数据或训练数据，就可能诱导 AI 作出错误决策。

在闭环控制环境中，这些错误决策甚至可能直接转化为物理操作，影响实际生产过程。

9. 盗用 AI 算力构建攻击基础设施

自 2024 年初以来，攻击者便开始窃取企业的 AI 计算资源，这类活动有时被称为 LLMjacking。

最初，攻击者主要通过转售被盗算力获利。现在，一些攻击者开始利用这些资源开发恶意工具。

2026 年 6 月，Sysdig 研究团队发现，有攻击者利用受害者暴露在外、经过安全限制移除处理的 Ollama 模型，构建自主化攻击框架。

10. 构建模块化的黑帽 AI 攻击平台

网络犯罪分子正在从简单滥用聊天机器人，转向构建专门用于攻击的 AI 平台。

例如，Xanthorox AI 就是一个面向网络犯罪活动的攻击平台，提供恶意软件生成、漏洞利用等模块。

通过集成 Hexstrike AI MCP，这类平台可以进一步连接自动化攻击工具，从辅助攻击逐渐转向自主化攻击。

企业安全防御面临的新挑战

文章最后强调，攻击者如今利用的不仅是传统软件漏洞，还包括企业对 AI 系统的信任。

企业需要像管理拥有高权限的人类用户一样管理 AI 助手，严格控制其权限，持续监测其行为，并且不能默认 AI 系统或其连接的工具是安全可信的。