文章总结： 本文探讨AI驱动的下一代红队武器架构设计，作者ekkoo介绍了ZDrive——一款具备插件化、隐匿通信、免杀和原子化特性的Webshell管理工具。通过将功能拆解为可编排的原子操作并暴露为HTTP接口，ZDrive使AIAgent能够像调用函数一样执行渗透任务。作者使用CrewAI框架设计了六个协作Agent，成功在靶场中实现自动化内网渗透流程，验证了从信息收集、凭据提取、横向移动到日志清理的完整攻击链。实践中遇到横向移动幻觉、多Agent协作流程控制困难、道德限制触发和高Token消耗等问题，并提出了针对性解决方案如剥离确定性逻辑至Python脚本。 综合评分： 78 文章分类： AI安全,内网渗透,红队,安全工具,漏洞分析

---

我们离“一键渗透”还有多远：AI驱动的下一代红队武器架构设计

原创

ekkoo ekkoo

艾克的攻防茶馆

2026年2月4日 10:33 浙江 标题已修改

一、前言

2025，Agent元年。

这一年，大家都在积极探索AI+安全的应用场景，在网络上读到了很多优秀的文章，收获颇丰，也激发了我自己动手的念头，LLM具备强大的理解、推理和决策能力，Agent又能提供操控武器的能力，若将其与标准化的攻击工具相结合，便有望实现”人类制定战略目标，AI自主规划战术执行”的新型攻防模式。

带着这个想法，我最近探索了多Agent协作进行自动化内网渗透的技术路径，踩了不少坑，也有一些收获，整理成文，分享给大家。

二、ZDrive：新一代Webshell管理工具

2.1 项目背景

这个项目其实一年前就开始写了，期间被项目、毕业等各种琐事反复打断，拖了很久，最终借助AI强大的编码能力，在2026年元旦前完成了第一个完整可用版本：

我给它取名叫 ZDrive——英雄联盟宇宙中艾克的武器，时间线上的破坏者，恰如其分。

2.2 核心设计理念

ZDrive的设计围绕四个核心展开：

| 设计理念 | 核心思想 | 价值 | | — | — | — | | 插件化 | 轻量主体，按需加载 | 降低静态特征暴露面 | | 隐匿通信 | 一包一密 + AI生成Profile | 伪装业务流量，对抗流量设备 | | 免杀 | 后渗透操作及插件独立免杀 | 绕过运行时行为检测，确保操作成功率 | | 原子化 | 所有功能皆为原子，皆可被AI调用 | 为Agent提供标准化接口，实现智能编排 |

三、架构设计

3.1 插件化：轻量主体，按需装配

经常打攻防的朋友应该遇到过，去年年初微软Defender把Godzilla的C#核心载荷加入了AMSI（反恶意软件扫描接口）规则，shell拿到了，但是初始化会失败，被Defender查杀，虽然可以使用bypass amsi的方法去绕过，但是patch amsi的方法又要免杀，无疑是陷入了”解决A又产生了新问题B”的循环。

为了防止这种事情发生ZDrive的解法是插件化：

• 主体只保留一个轻量DLL负责通信和加载其他插件，特征极简
• 每个功能模块作为独立插件存在，按需加载
• AMSI绕过机制：针对Defender的AMSI检测，在加载敏感模块前会进行内存patch，绕过运行时扫描

3.2 通信机制：一包一密 + AI流量伪装

通信流量特征是以往Webshell工具的痛点，哥斯拉、冰蝎等工具的流量特征已被各类安全设备广泛收录，辛苦拿到的Shell一连就被应急，因此市面上有了很多二开版本，Zdrive是可高度自定义流量伪装，且可选一包一密的加密方案。

一包一密

• 每次通信循环都会生成全新的密钥，即使单个数据包被捕获，也无法用于解密其他通信内容，增加了蓝队批量解密流量和分析的难度。

AI流量伪装

• 支持自定义Profile进行业务流量伪装，用户可以自行配置请求和响应模板

更进一步：集成了AI Profile生成器，Agent可以根据输入的目标URL业务特征，自动分析并生成伪装配置文件

让恶意流量混入正常业务请求中

3.3 原子化：万物皆可调用

这是ZDrive最核心的设计理念，也是Agent自动化攻防能力的基础。

什么是原子化？

将所有功能拆解为最小可执行单元，每个原子操作：

• 独立运行：在APIServer上独立提供服务
• 标准化接口：统一的输入输出规范
• 可编排调用：可被任意组合和调用

为什么要原子化？

因为Agent需要”抓手”，大模型擅长理解、推理、决策，但它需要具体的工具来执行动作，原子化后，每个原子就是一个Tool，Agent可以像调用函数一样调用它们。

原子化实现

ZDrive可启用Api server将所有原子操作暴露为http接口：每个原子化api都需要标准化的输入输出规范及文档，供Agent阅读和理解：

每个原子操作被封装为Tool 格式统一、调用简洁：

class EnableAMSIBypassTool(BaseTool):
    name: str = "enable_amsi_bypass"
    description: str = "启用AMSI绕过，用于躲避Defender等杀软检测"

    def _run(self) -> str:
        result = get_api_client().enable_amsi_bypass()
        return format_result(result)

所有原子工具遵循声明名称和描述，调用ZDrive API，返回结构化结果。Agent无需关心底层实现细节，只需知道这个工具能做什么即可。

3.4 免杀策略

免杀是一场持续的攻防对抗，目前，ZDrive 尚未开源，也未被主流安全厂商收录为静态特征，因此其原生 Shell 无需额外编码或混淆，即可在各大平台上实现0查杀。

在动态检测方面，所有后渗透插件均集成了针对性的免杀方案，能够有效绕过主流杀毒软件的运行时行为检测，具体技术细节和本篇文章主题关联性小，此处不再赘述。

四、AI Agent自动化内网渗透初试

4.1 为什么是内网渗透Agent？

个人理解，内网渗透本质是在不被安全设备检测到的前提下，持续收集凭据，不断横向直到拿到目标系统的过程，不管是传统域还是现代云架构，大致思路都一样，无非是收集凭据和资产探测的方式不同。

然而，在真实的大型内网环境中，这个过程存在大量重复性操作：

• 每横向一台机器，都要进行一波信息收集（网络环境、杀软、权限、域信息）
• 每台机器都要尝试提取各类凭据（浏览器密码、NTLM Hash、Kerberos票据）
• 每获取新凭据，都要在资产列表中进行碰撞测试
• ……

这些操作虽然繁琐，但模式相对固定，只要我们的原子武器足够免杀，完全可以交给Agent自动化执行从而减少这种重复性伤肝操作，提高红队作战效率。

4.2 技术选型

基于此理念我使用简单开源的多agent框架CrewAi进行了自动化内网渗透初试。

市面上的Agent框架不少——LangChain、MetaGPT想快速验证可行性，我选择了简单上手的框架CrewAI

• 多Agent原生支持
• tools集成简单
• 上手门槛低，适合快速验证概念

实践中发现的不足：

• 上下文管理粗糙
• 流程控制有限，复杂分支逻辑难以表达

这些问题在后续的攻击链演示中会具体展开。

4.3 多Agent角色设计

这里共设计了六个Agent协作，各司其职：

| Agent | 职责 | 核心能力 | | — | — | — | | 信息收集专家 | 摸清目标资产 | 杀软识别、网络环境、系统权限 | | 凭据提取专家 | 获取认证凭据 | 获取Ntmlhash、明文密码等凭据 | | 后渗透横向专家 | 已获取的凭据进行横向，扩大战果 | Hash传递、代理隧道、权限维持 | | 漏洞利用专家 | web漏洞利用获取权限 | 指纹识别、漏洞库查询、漏洞利用 | | 日志清理专家 | 痕迹处理 | 日志清理、痕迹消除 | | 攻击路径报告专家 | 梳理总结 | 攻击链还原、报告生成 |

各个agent之间的理想协同如下图：

每个Agent的操作都遵循标准化的四阶段流程：

完全自动化并非最优解，危险的操作需要人工确认，降低误操作风险：

4.4 完整攻击链演示

一个在靶场中理想的自动化攻击流程：

入口机(10.33.0.16)
    │
    ▼ 信息收集专家
获取权限信息 → 发现低权限 → 检测杀软 → 发现Defender → 绕过杀软提权 → SYSTEM权限
    │
    ▼
发现域环境 → 收集网段信息
    │
    ▼ 凭据提取专家
执行SharpWeb → 执行Mimikatz → 获取Hash1(10.33.0.16)
    │
    ▼ 后渗透横向专家
开启SOCKS代理 → 内网扫描 → 发现Exchange(10.33.0.31)、其他存活主机
    │
    ▼
使用Hash1 PTH横向 → 成功登录10.33.0.8
    │
    ▼ 凭据提取专家
执行Mimikatz → 获取Hash2(域管Hash)
    │
    ▼ 后渗透横向专家
使用Hash2 PTH横向 → 拿下域控(10.33.0.4)
    │
    ▼
使用域管Hash登录Exchange邮件服务器(10.33.0.31)
    │
    ▼ 日志清理专家
入口机器攻击日志清除
    │
    ▼ 攻击路径报告专家
生成完整渗透报告

　　实际演示视频（20倍速）：

已关注

关注

重播 分享 赞

关闭

观看更多

更多

退出全屏

切换到竖屏全屏退出全屏

艾克的攻防茶馆已关注

分享视频

，时长00:31

0/0

00:00/00:31

切换到横屏模式

继续播放

[ ]

进度条，百分之0

播放

00:00

/

00:31

00:31

倍速

全屏

倍速播放中

0.5倍 0.75倍 1.0倍 1.5倍 2.0倍

超清 流畅

继续观看

我们离“一键渗透”还有多远：AI驱动的下一代红队武器架构设计

观看更多

原创

,

我们离“一键渗透”还有多远：AI驱动的下一代红队武器架构设计

艾克的攻防茶馆已关注

分享点赞在看

已同步到看一看写下你的评论

视频详情

无人工介入的情况下可以完整的拿到整个靶场域控权限，并且都权限维持到c2上。

4.5 实践中遇到的问题

实际使用ZDrive_Agent进行攻击遇到了一些问题，主要在横向移动过程中：

横向移动时的幻觉问题

在PTH横向时，Agent容易产生幻觉，一直使用低权限域账号尝试登录域控，幻觉已经拿到了域管的权限，尽管在Prompt中已强调权限匹配，当内网扫描发现大量445端口存活主机时，Agent会反复调用PTH工具逐个碰撞，反复调用function call导致上下文过长，容易消耗过多的token以及产生灾难性遗忘。

解决方案：将PTH横向逻辑从LLM决策中剥离，改用确定性Python脚本执行：

# Agent只需调用一个Tool，传入资产表和凭据表路径给python脚本执行
# Python脚本负责：
# 1. 读取资产表，提取445端口存活的IP
# 2. 读取凭据表，获取所有可用Hash
# 3. 使用NetExec遍历喷洒
# 4. 成功的目标继续提取Hash
# 5. 将结果结构化返回给LLM

LLM只做决策性质工作，确定性操作交给脚本，同样的思路也适用于其他功能，这样可以下降很多token消费。

横向移动时多Agent协作问题

在横向移动中不是线性流程，每拿下一台新机器，就需要信息收集专家和凭据提取专家再次介入，多个Agent需要反复协作、来回”横跳”。然而CrewAI的流程控制偏向线性任务链，对于这种动态循环、条件触发的场景支持并不理想，目前这个问题在CrewAi上还没有有效的解决 ，后面的想法是做一个轻量的主Agent负责调度，或者使用更加灵活的编排框架。

偶发的道德限制

某些情况下LLM会触发道德限制，拒绝执行渗透操作（概率较小）

解决方案：

• 在System Prompt中明确声明这是某某公司授权的红队测试环境（实测写大模型自己的母公司效果会更好）
• 使用更适合安全测试场景的模型配置
• 对敏感操作进行话术包装

Token消耗过高

在本次测试简单的模拟域环境靶场中，使用glm4.7，完成一次完整的自动化渗透流程需要消耗10万 token，在内在真实的企业内网环境中，网络拓扑更加复杂，各Agent需要反复调用，实际消费token数量是一笔不小的开支。

五、结语

ZDrive目前只是完成了一次初试，把原子化的灵活性与AI Agent的智能性结合起来，探索下一代红队武器的可能形态，但距离”理想中的AI红队武器”还有很多路要走。

AI驱动自动化攻防不是终点，而是起点，包括最近openclew的出现，可以有效的远程操作电脑，都在探索AI操作真实世界的可能性，虽然这些工具到真正实用还有距离，但它们指明了方向——AI Agent将成为人类能力的延伸，而非简单的工具替代。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：艾克的攻防茶馆 ekkoo ekkoo《我们离“一键渗透”还有多远：AI驱动的下一代红队武器架构设计》