迈向可控的自主性红队渗透

原创

knight
knight

JDArmy

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

迈向可控的自主性红队渗透

1. 背景

AI 在渗透领域的应用现状及变化趋势：

• 阶段一（2023，纯文本推理）：以 PentestGPT 为代表，LLM 通过 Pentesting Task Tree 维持攻击策略连贯性，但命令仍需人工执行——瓶颈在执行自主性。
• 阶段二（2023–2024，工具增强单 Agent）：让 LLM 直接调用扫描器、利用框架和 shell，PentestAgent 在 67 目标基准上达 74.2%，但长程任务中上下文堆积导致推理退化——瓶颈转向上下文管理。
• 阶段三（2024–2025，多 Agent 协作）：将攻击流水线拆分给规划、侦察、利用、后渗透等专门化子 Agent，Incslmo 在 40 个企业场景中完成 37 个，消融实验表明\"规划-执行解耦\"贡献大于模型规模——但 Agent 仍从人类示范学习，策略空间受限，瓶颈变为训练数据稀缺。
• 阶段四（2025–2026，RLVR 训练 Agent）：以可验证结果（捕获 flag、获得 root）作为奖励信号取代模仿学习，Pentest-R1 用 GRPO 在 AutoPenBench 达 24.2% 超越 GPT-4o，Penetron 性能超过大 10 倍的模型——剩余瓶颈是样本效率（成功攻击序列稀有，训练 episode 成本高）。这一阶段也印证了 §2.1 将论述的\"苦涩教训\"：内置攻防经验正被搜索与学习的算力增长所取代。
• 阶段五（2026-未来，可控自主性渗透的工程化落地）：通过构建更精细化的奖励信号结合Harness，实现工程化落地，以实现可控的渗透Agent。

2. AI对攻防的影响

2.1 算力增长下，攻防经验的失效

苦涩的教训中，AI 研究者已经帮我们经历过这些教训：

We have to learn the bitter lesson that building in how we think we think does not work in the long run. 我们必须吸取这个苦涩的教训：按照我们目前自以为的思维方式去构建系统，从长远来看是行不通的。 The bitter lesson is based on the historical observations that：

1. AI researchers have often tried to build knowledge into their agents。（AI研究者通常尝试将他们的知识构建进agents）
2. this always helps in the short term, and is personally satisfying to the researcher。（这总是在短期帮助了他们，并且让他们感觉到很满意）
3. in the long run it plateaus and even inhibits further progress.（从长远来看，它会趋于停滞，甚至会阻碍进一步的发展。）
4. breakthrough progress eventually arrives by an opposing approach based on scaling computation by search and learning.（突破性进展最终是通过一种相反的方法实现的，这种方法基于通过搜索和学习来扩展计算能力）

在模型能力不够强的时候，通过内置攻防经验，确实能提升一定的能力。但是随着模型的搜索和学习的计算能力按照月份来迭代，研究者经验的价值在快速被替代，并且这些内置的经验，还可能阻碍能力的进一步发展。阶段四的 RLVR 训练范式正是这一趋势的体现——用可验证结果取代人工经验作为奖励信号。

2.2 攻防本质也是一种搜索

企业环境可以抽象为一张多层图：网络节点（主机、服务器、容器）、账号节点（人类账号、机器账号、AI Agent 账号）、业务资产节点（资金账户、库存数据库、客户隐私数据）之间通过\"可达且可控制\"的关系连成边。攻击者的目标，就是通过漏洞利用和业务逻辑滥用，逐步激活从初始立足点到业务资产节点的通路，最终达成攻击目标。

这个结构一旦建立，攻防就变成了图上的搜索问题。每一个具体的攻击技术（钓鱼、LDAP 强制认证、prompt injection……）都是\"激活某条边\"的动作。攻击者要做的，就是在部分可观测的情况下，搜索出一个动作序列，使激活的边能串成一条从起点到业务目标的通路。在 ATT&CK 企业框架中（具体子技术数量随版本更新，目前在 475 种左右），当 AI 能稳定地完成并主动发现这些子技术后，在不考虑对抗和业务影响的情况下，它和围棋并不会有太大的区别——都是在巨大的组合空间里找一条成功路径。

随着算力的增加，AI 搜索这些攻击方法组合的效率一定会越来越强，直到有一天 AI 能基于一个目标，就完成整个图的动态构建。我们在实测中也发现，目前的 AI 已经具备一定的构建能力了。过几个月，当 AI 能完全自动化构建那天，它会缺什么？

3. AI攻防的下一块拼图——可控Agent

大模型的本质还是个概率模型，这个不可控性在真正实网场景的攻防落地是不能接受的。随着 AI 权限越大，它的失误造成的破坏影响越大——如果让AI掌握了核弹发射的权限，它出现了一次幻觉或者失误，都可能导致人类毁灭。这也就意味着，在攻防的搜索场景中，可能某一种搜索到的结果，造成的损失会导致整个系统失败。

3.1 攻防场景的Agent失控的后果

搜索能找到通路，但通路在执行时，每一步都是 LLM 的概率采样——同一个 prompt 在不同温度下会采到不同的下一个节点。在围棋里，落子的随机性最多让你输一盘棋，下一盘可以重来；在攻防里这不可接受，一个被采样到的不可逆动作（资金转出、数据外泄、业务不变量违反）不可撤回，损失不随下一步纠偏而衰减。

可以把Agent的动作空间按可逆性二分：

• 可逆动作：扫描、读取、凭证探测——失败可以回滚，概率采样的失误只是浪费一步。
• 不可逆动作：数据外泄、资金转账、不变量违反——一旦发生不可撤回。对应三类影响：保密性影响（单调非减，PII 一旦泄露永远无法召回）、完整性影响（有备份可恢复，但恢复期间业务停滞，没有备份将会永久失去数据）、可用性影响（时间积分，每秒停机都在累积损失）。

搜索优化的是期望意义下的潜在影响最大化。期望意义下的最优允许个别通路产生巨大实际损失，只要这些通路的概率低到能被期望稀释。但攻防演练对\"实际损失\"不是期望意义上的容忍，而是要求每一条通路的实际损失为零。这是概率模型做不到的保证：任何  的失误概率，在足够长的通路上都会以接近 1 的概率触发至少一次不可逆失误。

这些不是假设场景。LLM Agent 在业务系统中已经出现过的失误模式包括：运维 Agent 误删生产数据库、资金管理 Agent 在幻觉中触发非营业时段结算、代码助手 Agent 被 prompt injection 劫持后外泄客户数据。在攻防场景下更糟：Agent 的目标本来就是触达业务资产并验证损失，它的\"成功\"和\"失控\"在执行层面无法区分——同样是激活某条业务边并修改业务状态，在验证环境里是\"通路存在\"，在真实环境里就是\"真的转出了一笔资金\"。

3.2 攻防场景下Agent失控为什么难以解决

这不是\"当前模型不够好，下一代会更好\"能解决的工程瑕疵。只要底层是概率模型，失控就是本性而非瑕疵：

• 模型层面不可控-采样不可消除：温度再低，采样仍是采样；非零温度意味着非零失误概率。即便贪心解码（temperature=0），不同硬件、不同 batch 大小下的浮点误差也会让输出产生差异——采样是概率模型产生输出的本质方式，不是\"能否消除\"的问题。
• Harness层面不可控-上下文污染不可预测：prompt injection、长上下文退化、分布外输入都会让采样偏离预期，且偏离模式不可事先枚举。Agent 执行通路时会读取大量不可信数据（扫描结果、API 响应、业务文档）——这些数据本身就是潜在的被注入输入。
• 结果不可控-不随纠偏衰减：保密性影响单调非减，一旦泄露无法召回。即便 Agent 在下一步意识到\"上一步不该外泄数据\"，数据已经在攻击者手里。可逆动作的失误可以被后续动作抵消（回滚、重试），不可逆动作的失误会永久沉淀在系统状态里。

根本冲突：你不能同时要搜索最优和自主可控。搜索最优要求采到不可逆动作——那是通往业务资产、最大化潜在影响的唯一路径。自主可控要求永远不采到不可逆动作——那些动作不可逆。前者要求采到，后者要求不采到，这是直接矛盾的目标。

4. 结语

攻防的能力终将成熟——这是算力增长的必然结果，不以研究者意志为转移。但能力的成熟不等于落地的成熟：在真实业务环境中，一次不可逆失误就足以让整个系统失败。

参考文档：

《LLM驱动的渗透测试综述：分类、协同演化和未解决的挑战》

《惨痛的教训》