文章总结： Verizon《2026年数据泄露调查报告》显示漏洞利用已超越凭证滥用成为最主要数据泄露路径，占比31%。AI技术大幅降低攻击门槛，补丁修复中位时间延长至43天，勒索软件事件占比48%。报告强调需转向设计安全与事前预防，优先在开发阶段修复漏洞。 综合评分： 86 文章分类： 漏洞分析,威胁情报,AI安全,安全建设,网络安全

AI重塑网络攻击：漏洞利用成最流行手段，利用门槛被大幅拉低

安全内参编译 安全内参编译

安全内参

2026年5月21日 17:42 北京

在小说阅读器读本章

去阅读

关注我们

带你读懂网络安全

Verizon《2026年数据泄露调查报告》指出，漏洞利用已超过凭证滥用，成为最主要的数据泄露路径；

与此同时，AI正在加速攻击活动，补丁修复延迟问题恶化，勒索软件和第三方相关入侵事件也在持续激增。

前情回顾·AI网络攻击能力动态

• 首次发现！AI生成零日漏洞利用工具并实施网络攻击
• Anthropic新模型让传统网络防御失效，AI主导网络安全的时代正在降临！
• AI失控时刻：智能体协同入侵公司内部系统，窃取机密数据
• AI一周开发出高级恶意软件，网络犯罪一人产业链开始出现？

安全内参5月21日消息，Verizon最新发布的年度《数据泄露调查报告》（DBIR）显示，漏洞利用已成为2025年最常见的数据泄露入口。

此次分析的安全事件总数已增至3.1万起。其中，超过2.2万起被确认为数据泄露事件，几乎是去年12195起确认泄露事件的两倍。

漏洞利用超越凭证滥用，

成为最流行攻击手段

约31%的数据泄露事件源于未修复漏洞被利用。而凭证滥用，也就是去年报告中的首要入侵方式，仅占全部数据泄露事件的13%。

Verizon研究人员表示，威胁行为者正借助AI加速漏洞利用，而防御窗口期已从数月缩短至数小时。

Verizon表示：“AI正在快速将已知漏洞武器化，这可能让安全团队面临能力危机，凸显了优先落实基础安全措施和风险管理实践的紧迫性。”

报告还指出，各组织在漏洞修复方面依然面临持续挑战。2025年，全面完成补丁修复的中位时间已增至43天，高于前一年的32天。

报告显示，各组织去年仅修复了美国网络安全和基础设施安全局（CISA）“已知被利用漏洞”（KEV）目录中26%的安全缺陷，低于2024年的38%。

各组织需要修复的关键漏洞数量，即报告中定义为被列入KEV名单的漏洞，其中位数较上一年度数据集增加了50%。

Veracode联合创始人兼首席安全布道师Chris Wysopal表示：“Verizon《2026年数据泄露调查报告》中的发现极具警示意义，因为它再次印证了我们多年来持续强调的一点：漏洞利用如今已经成为首要的数据泄露路径，而各组织依然无法足够快速地完成漏洞修复。”

供应链/商正在扩大组织的攻击面

根据报告，2025年有48%的确认数据泄露事件涉及勒索软件，高于前一年的44%。与此同时，赎金支付金额有所下降，支付金额中位数已降至14万美元以下。报告显示，仅31%的勒索软件受害者支付了赎金。

对第三方软件和服务日益增长的依赖，正在扩大组织的攻击面，并导致去年涉及第三方的入侵事件增长60%，占全部事件的48%。

报告写道：“从第三方云暴露问题的长期修复情况来看，仅有23%的第三方组织彻底修复了其云账号中缺失或配置不当的多因素身份验证（MFA）问题。而在所有已发现的问题中，只有50%是在1个月内得到解决的。”

AI加剧企业网络风险，

需及早转向设计安全与事前预防

报告还显示，威胁行为者越来越多地利用生成式AI进行目标定位、初始访问，以及恶意软件和工具开发。

报告写道：“威胁行为者通常会研究或使用AI辅助完成15种不同的已记录攻击技术，部分行为者甚至会借助AI辅助执行多达40至50种技术。大多数AI辅助恶意软件与工具开发，都与已知且定义明确的攻击技术相关。在中位数情况下，已有55个已知恶意软件样本具备相同功能。”

据报告，62%的数据泄露事件涉及人为因素。其中，社会工程攻击占全部数据泄露事件的16%；以移动设备为核心的网络钓鱼攻击，其成功率中位数比电子邮件钓鱼攻击高出40%。

报告还显示，“影子AI”，也就是未经授权使用生成式AI服务的行为，仍在困扰企业。数据显示，67%的用户正通过企业设备，使用非企业账号访问AI服务。总体而言，45%的员工已成为AI常规用户，而去年这一比例仅为15%。

Chris Wysopal表示：“虽然这些数据已经足够明确，但其结论对于整个行业而言依然振聋发聩。安全团队不能只依赖事后修复。随着攻击者越来越多地瞄准常见编程缺陷，各组织需要优先在开发阶段发现并修复漏洞，而不是等到数月甚至一年之后才处理，因为那时的时间、成本和风险负担都会成倍增加。在生成式AI持续改变代码漏洞风险格局的背景下，这一点尤为关键。”

参考资料：bleepingcomputer.com

推荐阅读

• 网安智库平台长期招聘兼职研究员
• 欢迎加入“安全内参热点讨论群”

点击下方卡片关注我们，

带你一起读懂网络安全 ↓

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全内参 安全内参编译 安全内参编译《AI重塑网络攻击：漏洞利用成最流行手段，利用门槛被大幅拉低》