文章总结： 2026年HVV显示网络安全对抗已从工具级进化为智能体级，AI能分钟级完成攻击链且载荷无特征，导致传统特征检测失效。防守方应假设已被入侵，转向行为检测，确保AI降噪可解释，将AI组件纳入资产管理，从最小闭环建设智能体防御，并优先缩小攻击面而非盲目增加检测。 综合评分： 92 文章分类： 实战经验,安全运营,安全建设,应用安全,威胁情报

hvv 2026 打完了：攻防的物种变了

原创

messfree messfree

MessFreeSecurity

2026年9月6日 00:30 北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

今年和往年没什么区别：红队打了多少点，蓝队拦了多少攻击，哪个行业又出了幺蛾子。但如果你真的在一线值守过，你会感觉到一个不太一样的东西——AI 不再是写报告的工具了，它是真的在战场上自己做决策、自己动手。

往年的 hvv，AI 最多用来做日志聚类、告警降噪、漏洞情报聚合。说白了就是帮分析师省点体力活。今年不一样了。我看到的情况是：红队在用 AI 智能体分钟级跑完整条攻击链，蓝队在用 AI 做自动研判和处置，甚至连 AI 系统本身都成了被打的目标。

这篇文章我不想讲”AI 赋能安全”这种空话。只讲我今年实际看到的变化、能查到的数据，以及打完之后我觉得防守方真正该调整什么。

红队变了：不是人用 AI 写 EXP，是 AI 自己在打

今年红队最大的变化，不是用了什么新漏洞，而是攻击的组织方式变了。

以前的红队是”人跑工具”：一个分析师盯着屏幕，手动扫、手动验、手动提权、手动横向。一个完整的攻击链从打点到域控沦陷，快的几小时，慢的几天。中间还要不断查资料、试错、调整策略。

今年出现了”给个网段就打完”的打法。公开的技术复盘里已经能看到这样的时间线：

• 第 0 秒：接收目标网段
• 第 30 秒：发现 4 台存活主机，开始深度扫描
• 第 1 分 30 秒：N-Day 漏洞喷洒，拿到 SYSTEM 权限
• 第 2 分钟：导出 SAM 和 NTDS 凭据
• 第 3 分钟：横向移动到所有主机
• 第 4 分钟：域控沦陷

这不是 PPT 上的概念演示。2026 年以来，从 Xalgorix、Pentest Copilot 到 Claude 接 MCP 驱动 Kali，AI 驱动的全自动渗透工具已经从实验室走到了实战。它们的共同点是：人只需要设定目标和边界，剩下的——选什么工具、走什么路径、遇到错误怎么调整——AI 自己决定。

我自己试了一下，把一个测试网段丢给 AI 智能体，它 4 分钟打完了我平时要花一下午的活。不是因为它比我聪明，而是因为它不需要睡觉、不需要查手册、不需要在工具之间来回切换。它就是一个不会累的初级分析师，而且执行力比人强得多。

载荷没有特征了，你买的下一代防火墙在裸奔

今年另一个让我印象深刻的变化是载荷。FreeBuf 7 月披露的一起攻击中，红队用了”AI 多态变异攻击体”——每次感染都生成不一样的代码，没有固定哈希、没有固定字符串、没有固定行为序列。

传统杀毒和基于特征的 IDS/IPS 在这种载荷面前基本等于裸奔。更麻烦的是，这种载荷的突破口往往不是边界服务器，而是普通办公终端——开发机、设计机、甚至财务电脑。因为这些终端的防护通常最弱，而 AI 生成的钓鱼邮件又足够逼真。

我之前写过一篇”几千万条流量里捞 WebShell”的文章，讲的是怎么从海量流量里找特征。但如果载荷本身没有特征了呢？你捞什么？这是今年 hvv 给所有蓝队的一个灵魂拷问。

钓鱼邮件检测率低了 30-40%，因为 AI 不犯低级错误

钓鱼还是 hvv 期间最主要的入口。但今年的钓鱼已经不是”恭喜您中奖了”那种货色了。

FoxFoster 的 Q1 2026 数据：AI 生成的钓鱼邮件，检测率比人工钓鱼低 30-40%。原因很简单——AI 能根据目标的角色、当前项目、甚至社交媒体动态，生成高度定制的诱饵。语气、格式、上下文都极其逼真，甚至能模仿目标同事的写作风格。

你每年给员工做的钓鱼培训，教他们识别什么？语法错误、紧迫感、可疑链接。AI 一条都不会犯。它甚至会在邮件里故意加一个小的不完美，让它看起来更像真人写的。

我今年收到过一封 AI 生成的钓鱼邮件，冒充我领导让我紧急处理一个文件。要不是发件域名有细微差别，我差点就点了。这不是技术问题，这是认知战。

漏洞披露到武器化只要几小时，补丁窗口期没了

深信服的报告指出，AI 把漏洞武器化的周期从”天”压缩到了”秒”。Q1 2026 在野零日 62 个，比去年同期的 48 个涨了 29%。

这意味着什么？以前一个漏洞披露了，你可能有几天甚至几周来修补。现在，漏洞公开后几小时内，AI 就能生成可批量利用的 EXP。

更扎心的是，很多企业的漏洞管理流程还是”周级”的——每周扫一次、每周评一次、每周修一批。在 AI 时代，这个节奏等于不设防。

你上的 AI 系统，本身就是新的攻击面

今年 hvv 第一次把”大模型提示词注入”列为正式演练科目。很多企业兴冲冲上了 AI 客服、AI 知识库、AI 代码助手，但根本没做安全防护。AI 组件成了新的突破口。

CVE-2026-42271 的复盘展示了针对 AI 组件的完整攻击链：侦察 AI 组件指纹 → 触发 CVE 进入 → 凭据收割（env 整包 + 正则 + 钱包）→ 隐蔽外带（夹带进 MCP 应答）→ 横向持久化 → 循环反哺（盗刷 key 生成新攻击）。

你的 API Key、MCP 服务、向量数据库，都是新的攻击面。而大多数企业的安全团队甚至还没把这些资产纳入资产管理。我见过最离谱的一个案例，某企业把大模型 API Key 直接写在前端代码里，被人扒出来盗刷了几万块。

蓝队也在用 AI，但大部分人用错了地方

红队在用 AI，蓝队也在用。但今年 hvv 暴露的一个问题是：大部分蓝队的 AI 用法，还停留在非常初级的阶段。

92% 的告警降噪，滤掉的可能不只是噪音

公开数据说大模型能实现 92% 的告警降噪，驱动 SOAR 分钟级处置。听起来很美。但有一个问题很少有人问：降噪的准确率是多少？把真攻击当噪音滤掉的比例是多少？

更关键的是，AI 降噪的训练数据从哪来？如果只学了历史攻击，对 0day 和 AI 生成的新型攻击，会不会天然漏报？

这和我之前写的《当”告警越来越少”成了 AI 安全运营的 KPI，我们可能正在奖励错误的事》是同一个问题的两面。hvv 期间很多团队的告警量确实降了，但不是攻击少了，而是AI 帮你看不见了。

我见过一个团队，上了 AI 降噪后告警量降了 95%，KPI 好看得不行。结果 hvv 期间被红队打穿了，溯源发现攻击行为产生的告警全被 AI 当噪音滤掉了。因为红队用的是 AI 生成的新型攻击手法，训练数据里没有。

“Agentic Security”不是买个盒子，是整个组织的速度升级

2026 年防御侧有个热词叫”Agentic Security”——构建自主安全智能体，把检测、研判、处置的速度拉平到机器层级。360 等厂商已经在 hvv 中部署了所谓的”智能体级”防御体系。

这个概念的本质我认同：红队已经用 AI 智能体分钟级打穿，蓝队还在人工轮值看告警，这不是能力差距，是物种差距。

但 Agentic Security 不是买个 AI 盒子就能实现的。它需要你的数据管道、规则体系、处置权限、组织流程全部适配机器速度。大部分企业连基础的数据标准化都没做完，不同设备的日志格式都不统一，谈智能体防御就是空中楼阁。

我见过最搞笑的一个场景：某厂商推销”AI 智能体自动处置”，客户问”误处置了怎么办”，厂商说”我们有人工审核兜底”。那你的智能体快在哪？快在生成工单吗？

威胁狩猎不是写更多规则，是让 AI 理解”正常”是什么

AI 驱动的威胁狩猎能跨端点、身份、SaaS 遥测关联弱信号。比如”谁在一次非典型的 Okta 登录后开始使用 LOLBins”——这种关联传统规则写不出来，但 AI 能推理。

结合我之前写 WebShell 检测的经验，AI 时代的威胁狩猎不是写更多规则，而是让 AI 理解正常行为是什么，然后找出偏离正常的异常。

但这里有个前提：你得有足够高质量的”正常行为”基线数据。很多企业连自己有多少资产、哪些端口该开、哪些进程该跑都不清楚，AI 拿什么理解”正常”？垃圾进，垃圾出。

说到底，这不是工具升级，是物种变化

上面这些变化，本质上是同一个趋势的不同表现：网络安全对抗正在从”工具级”走向”智能体级”。

往年的 hvv，AI 是工具。人用 AI 写 EXP、写钓鱼邮件、做分析。决策还是人做。

2026 年，AI 是智能体。给定目标后自主规划、自主执行、自主调整。人只需要设定目标和边界。

这个转变带来了四个根本性的不对称，每一个都在碾压传统防御体系：

速度不对称。 AI 攻击分钟级完成，人工防御小时级响应。攻击者从打点到域控沦陷只要 4 分钟，而你的安全团队可能还在走告警分级流程。窗口期不是缩短了，是消失了。

规模不对称。 一个 AI 智能体能同时打 100 个目标，一个分析师只能盯 5 个。红队可以用 AI 同时对数千个资产发起攻击，蓝队的人工分析能力根本覆盖不过来。这不是多招几个人能解决的问题。

成本不对称。 AI 攻击的边际成本趋近于零，防御成本却线性增长。生成一个定制化钓鱼邮件的成本从几小时降到几秒钟，而防御每多一种攻击形态都要加规则、加设备、加人力。攻击方和防御方的成本曲线根本不在一个量级。

隐身不对称。 AI 多态载荷没有固定特征，传统检测体系天然失效。你买的下一代防火墙、EDR、IDS，在 AI 生成的变异载荷面前，检测率可能比你想象的低得多。更可怕的是，你不知道自己检测不到——因为没有告警，你以为安全。

打完之后，我觉得防守方真正该做的六件事

讲了这么多变化，最后落到行动上。以下六条，是我基于今年 hvv 的实际观察，觉得防守方真正该调整的方向。不是什么”AI 赋能安全运营”的空话，是具体能做的事。

第一，假设已经被打穿了。 不要再假设边界能挡住攻击。用”已失陷”思维设计检测和响应——假设攻击者已经在你的网络里，你的任务是尽快发现他们的存在，而不是指望边界把他们拦在外面。今年 hvv 被打穿的团队，大部分都是边界被绕过之后，内网里什么检测都没有。

第二，从特征检测转向行为检测。 AI 多态载荷没有特征，只能靠行为异常发现。投资方向要从”买更多特征库”转向”建立行为基线和异常检测能力”。EDR 的行为监控、网络流量的行为分析、身份的异常访问检测，这些比更新病毒库重要得多。说句不好听的，你花几百万买的下一代防火墙，在 AI 载荷面前可能还不如一个做好了行为基线的 EDR。

第三，AI 降噪必须可解释，不能黑盒。 每一条被过滤的告警都要能说清”为什么过滤”，不能黑盒。如果你的 AI 降噪系统不能给出可追溯的过滤理由，那它就是一个定时炸弹——你不知道它什么时候把真攻击滤掉了。KPI 不要只看”告警量降了多少”，要看”漏报率是多少”。我建议所有上了 AI 降噪的团队，每月做一次红队测试，专门测 AI 会不会把攻击滤掉。

第四，把 AI 组件当成一级资产来保护。 大模型 API Key、MCP 服务、向量数据库、Agent 编排平台，都是新攻击面。把这些资产纳入资产管理，做访问控制、做日志审计、做异常检测。API Key 泄露导致的事故今年已经不少了。最基本的：不要把 Key 写在前端代码里、不要硬编码在脚本里、用密钥管理服务、定期轮换。这些基础动作能挡住 80% 的 AI 组件攻击。

第五，建设智能体级防御，但从最小闭环开始。 不是买个 AI 盒子，而是把检测-研判-处置的闭环自动化。从最简单的开始：告警自动分级、自动研判、自动处置低风险事件。逐步把人工从重复劳动中解放出来，让人专注于 AI 做不了的判断和决策。不要一上来就搞”全自动化 SOC”，那是找死。从一个场景、一个闭环开始，跑通了再扩展。

第六，缩小攻击面比增加检测更重要。 AI 攻击速度太快，检测永远追不上。减少暴露面、关闭不必要的端口和服务、收紧权限、做好资产清理，这些基础工作在 AI 时代反而更重要。攻击者打不进来，比打进来后能检测到重要一万倍。今年 hvv 我见过最稳的一个团队，不是设备最先进的，而是资产最干净的——该关的端口都关了，该收的权限都收了，红队扫了半天找不到入口。

最后说几句

hvv 2026 是一个分水岭。

往年的 hvv，比的是谁的漏洞库更新、谁的分析师更有经验、谁的设备更全。今年开始，比的是谁的 AI 智能体更快、更准、更隐蔽。

明年的 hvv，不会用 AI 智能体的红队打不进去，不会用 AI 智能体的蓝队守不住。问题不是”要不要用 AI”，而是“你的 AI 能不能打过对方的 AI”。

但在那之前，先把基础打牢：资产清清楚、权限收收紧、行为基线建起来、AI 组件保护好。这些事情做好了，AI 才能真正帮上忙；做不好，AI 只会让你死得更快。

毕竟，工具再先进，也代替不了一个清楚自己在防什么的人。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：MessFreeSecurity messfree messfree《hvv 2026 打完了：攻防的物种变了》