2026-10-22 12:16:49 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI攻防备战报告（运营商篇）：攻击面的\"3+1\"

原创

青藤AI观察室
青藤AI观察室

青藤云安全

2026年10月20日 18:00
北京

去阅读

题记

\"This is the worst telecom hack in our nation's history.\"

——Mark Warner，美国参议院情报委员会主席，2024年11月

这两年，运营商搞AI，是真火了。

中国电信的星辰、中国移动的九天、中国联通的元景，三家的大模型全部进了业务系统：星辰撑着上海12345政务热线，九天的工业互联网平台连着30万家企业。比大模型更值得关注的是网络本身——三大运营商都在推自智网络，公开规划全部指向L4，也就是多数场景下网络自己感知、自己分析、自己决策、自己执行。

说实话，这个速度比外界想象快得多。先给个公允的判断：在AI落地这件事上，中国运营商是全球第一梯队。

但今天这篇，我们想聊的是另一件事：当运营商把AI请进网络的同时，攻击者也拿到了AI。

故事得从一个大案子讲起。

Part 01**

史上最严重的电信入侵，全程没有用一个0day

2024年11月，Mark Warner对《华盛顿邮报》说了题记里那句话。他评论的事件，微软叫Salt Typhoon，趋势科技叫Earth Estries，卡巴斯基叫GhostEmperor，CrowdStrike叫OPERATOR PANDA。

一家攻击组织同时拥有四个名字，是因为四家安全公司在不同年份、不同国家，分别撞见了它的碎片——谁都没拼出全貌，直到2024年秋天，碎片自己浮出水面。

先把时间线走完。

1.进去

公开记录显示，该组织从2019年起持续渗透美国及亚太、中东的电信运营商，最终波及80多个国家、200多家组织。2024年9—10月，《华尔街日报》披露AT&T、Verizon、Lumen被深度渗透——攻击者在部分网络里已经待了超过三年。

2.藏

Cisco Talos事后披露了一款叫JumbledPath的定制工具：专门跑在运营商的Linux网络设备上，篡改回环地址绕过访问控制、清理日志、禁用审计组件。但更多时候，他们连恶意软件都不用——直接复用系统自带的合法工具。

3.拿什么

最具冲击力的是这个：攻击者访问了运营商依法建设的CALEA合法监听系统——1994年美国《通信协助执法法案》要求运营商为法院命令预留的监听接口。他们顺着这扇门，看到了\"执法机关正在监听谁\"的名单，还可能顺走了约1,462份网络设备的配置文件——那是全网设备的图纸和花名册。

翻译成人话：为执法者留的门，走进了间谍。

为执法者留的门，走进了间谍

CISA、NSA、FBI联合多国发布加固指南，罕见建议官员改用端到端加密通信——等于官方承认\"运营商网络本身不可信了\"；Forrester甚至在2026年度预测里写了一条：至少5国政府将因此对关键电信基础设施实施国有化或限制。

但整件事里，最该被安全行业记住的是另一句话。美国政府通报归因时，给出的原因是受害网络的\"配置管理薄弱、分段不足、基本卫生缺失\"。看一下入口清单：PAN-OS的CVE-2024-3400（CVSS满分10.0）、Ivanti的CVE-2024-21887、Cisco IOS XE的CVE-2023-20198，甚至还有陈年旧账Exchange ProxyLogon。

没有零日神话，没有外星科技。史上最大规模的电信入侵，用的是已知漏洞加合法工具，外加三年耐心。

这个时间点：2024年。这一切，发生在AI大规模介入网络攻击之前。

Part 02**

攻击面的\"3+1\"：三层老的，一层新的

要理解AI给运营商带来了什么，得先看清运营商这张网的攻击面长什么样。

先打个比方。

把运营商网络想象成一个超大小区：围墙和大门是一层，保安的对讲机频道是一层，物业管理处是一层。这三层的问题，安全行业修了三十年。而现在，小区又装了一套\"AI智能物业\"——它能开所有的门，能在对讲机里发号施令，还能直接操作管理处的中控台。

这就是我们说的攻击面\"3+1\"。

第一层：边缘设备层——大门和围墙。路由器、防火墙、VPN网关，Salt Typhoon的主入口。存量设备以百万计，骨干设备按十年以上生命周期运行，补丁节奏以月甚至季度计——不是不想打，是现网稳定性、兼容性验证、停机窗口都不允许快。这一层打了几十年补丁，也打不完。
第二层：信令层——保安对讲机。SS7、Diameter、GTP，是网络设备之间互相调度用的\"内部频道\"，设计于\"运营商之间互相信任\"的年代：默认用这个频道说话的都是自己人，从不验证身份。所以谁拿到对讲机喊一声\"开门\"，门就开——位置跟踪、短信劫持，在学术文献和黑产案件里被验证了二十年。这一层的问题不是补丁，是协议从出生起就没装锁。
第三层：管理与特权层——物业管理处。网管系统、AAA认证、计费系统、运维堡垒机，还有为配合执法监管建设的合法监听类高权限接口。Salt Typhoon证明了这层是最甜的果子：拿下一处，等于拿到全网的图纸和花名册。这套\"内部可信\"的设计哲学全球通用，不是哪一家的问题。
+1层：AI层——新装的智能物业。自智网络的智能体、网优大模型、客服大模型，还有作为\"卖水人\"输出给政务、医疗、工业客户的行业大模型服务。这一层刚开张，但它有一个特性值得单独强调：它横跨前三层。网优智能体的知识库连着工单系统，推理服务跑在云资源池里，操作权限直达现网设备；对外输出的行业大模型一旦发生供应链问题，波及的是租用能力的千行百业。

前三层修了三十年，+1层刚开张

一句话总结这个3+1：前三层的攻击面是工程师留下的，+1层的攻击面是商业模式带来的。前者修了三十年没修完，后者刚刚开张——而且运营商被攻破，从来不只是运营商自己的事。它是通信的底座，底座一晃，上面的金融交易、政务热线、应急指挥，都跟着晃。

Part 03**

AI没有改变攻击的目标，它改变的是攻击的组织方式

三层老毛病摆在那儿三十年，为什么今天突然要紧张？

因为以前利用这些毛病，靠的是人。非法攻击组织团队经营一个目标要按年算，信令攻击是黑产里的\"手艺人\"行当——地下市场租个SS7接入，数千美元一个月起步，还得有懂协议的老手手工构造探测消息。门槛高，所以虽然毛病一直在，出事的频率始终可控。

AI把这门手艺，从手工作坊搬上了流水线。

看几组公开研究里的数字：

漏洞利用：Fang团队的研究里，LLM智能体自主利用\"一日漏洞\"的成功率是87%；CVE-Genie多智能体框架，复现一个漏洞的平均成本是2.77美元。
攻击速度：CrowdStrike《2026全球威胁报告》显示，攻击者从突破到横向移动的平均时间是29分钟，最快27秒；82%的检出事件里根本没有恶意软件——全是合法工具的滥用。
防守侧的时间：修补一个高危漏洞，行业平均要63天；63天后，仍有32.1%的已知漏洞敞着口。而漏洞从披露到被武器化，中位数只有37天（Qualys口径）。
社工成本：20到30秒的语音素材就够训练声纹克隆，钓鱼邮件中AI生成的占比已超八成，鱼叉式钓鱼从\"一天骗成个位数\"变成\"千次级并发外呼\"。

两张对不上的时间表

月对小时，这不是差距，是代差。

而对运营商来说，还有一道独有的加试题：自智网络冲L4，意味着AI的指令直接下发到真实网络，不是沙盘。

我们在内部推演过这条链（情景推演，非真实事件）：攻击者不碰任何一台设备，而是攻击\"做决策的那个东西\"——往工单系统、告警文本、用户投诉这些会被智能体读取的输入里埋指令（提示注入），或者污染网优大模型的知识库和微调数据（供应链投毒）。得手之后，智能体以\"正常优化\"的名义下发一批错误配置。

最麻烦的是，全程可能没有任何一条告警会响。因为在系统看来，这是\"自己人\"按流程干的活。故障定位的第一反应会是误操作或软件缺陷，攻击者有充足的时间差。

这不是猜想，攻击面已经从协议端口变成了自然语言接口。英国NCSC给关键网络运营商的建议因此非常直白：确保你能\"拔电源\"——AI系统失控时，能降级、能回滚、能人工接管。

所以，AI没有改变攻击的目标，它改变的是攻击的组织方式：从手工作坊到流水线，从单点经营到并行收割。运营商网络里那些\"一直存在但一直没出事\"的老毛病，第一次遇上了不会累的对手。

Part 04**

判断一家运营商的AI安全能力：三条标准

聊完问题，说点建设性的。这一篇不想只扔焦虑——我们试着给出三条可操作的判断标准，运营商侧的同志可以拿去当体检表。

第一条：盘不盘得清家底。网络里跑着哪些AI组件、供应商是谁、数据从哪来、模型能不能动真实配置？显性部分好数——星辰、九天、元景、智能客服、自智网络试点。难的是隐性的：设备商新版本软件里悄悄升级的智能运维模块、代维团队自用的模型服务、OSS系统里外挂的推理组件。答案是建一份AI物料清单（AI-BOM），像管软件供应链一样管AI供应链。说个我们一线的真实体感：在主机与云原生环境做资产梳理时，我们清点出的AI相关组件，数量普遍是客户自查清单的数倍——很多AI是顺着管道\"流\"进来的，没人给它上户口。
第二条：断不断得开链条。AI的权限和关键网元之间，有没有物理或逻辑的隔离带？核心配置变更，有没有保留人工审批？网管侧的一条错误配置，就是现网的一次真实变更——这个\"拔电源\"的答案如果不存在，自智网络冲L4就还缺一块安全地基。
第三条：拿不拿得出证据。《关键信息基础设施安全保护条例》（国令745号）要求运营者每年至少一次检测评估；2025年\"人工智能+\"行动意见（国发〔2025〕11号）进一步明确提升AI安全能力。监管要的正在从\"我测过了\"的报告，变成\"我扛住了\"的证据——而真正的证明只有一种：对抗的结果。据行业了解，有关部门已在探索以\"AI对抗AI\"的实战化测评作为能力验证手段。演练记录、防御日志，就是到时候能拿出来的东西。

划这三条标准，不是为了给谁贴标签，而是因为账很好算：家底盘不清，出事连影响范围都圈不出来；链条断不开，AI出错的代价就是现网的代价；证据拿不出，合规做得再好也过不了\"证明防得住\"这一关。

Part 05**

\"3+1\"不是一张图，是一个倒计时

最后把三层老攻击面和+1层放在一起看。

它们不是孤立的：前三层每多暴露一天，+1层被利用的价值就多一分——AI层拿到的是能开所有门的权限，老三层提供的是进小区的通道。反过来，前三层修得越慢，AI层就越像一个站在漏风小区里的全能管家。

站在防守视角，这个3+1怎么解，我就武断而残暴地总结：