微软最新防御报告描述了一个令人不安的组合：攻击者可以更快地准备入侵中的部分环节，而被攻破的身份与互联工具，又能触及组织内部更多资源。在完全自主的黑客系统成为常态之前，AI 已经在加速熟悉的手法。眼前的问题因此既是响应窗口缩短，也是受信任访问关系不断扩展。
10 月 1 日发布的《2026 数字防御报告》审查了 2025 年 7 月至 2026 年 6 月的威胁活动。微软发现，AI 已进入侦察、社会工程、漏洞研究、恶意软件开发和入侵后分析等环节。但这些观察并不证明无人监督的智能体已主导攻击。人类仍控制大多数行动；新兴任务编排研究必须与已形成规模的活动区分开来。
数字究竟衡量了什么
微软称，63% 的已观察入侵涉及数据窃取，过去 12 个月还检测到超过 4,600 万起企业联系人冒充攻击。在涉及有效账户的入侵中，52.2% 导致进一步的凭据窃取。因此，一个被盗身份可能成为通向其他账户、云端记录和可信管理工具的入口，而不只是一次孤立的异常登录。
地区和行业数据具有不同分母与时间范围。2025 年 1 月至 2026 年 6 月，美国客户占已观察网络威胁活动的 25.5%。报告的 2026 年行业统计中，政府机构与公共服务占 27%，高于 2025 年的 17%；信息技术占 17%，研究与学术领域占 14%。这些是微软可见范围内的份额，不是全球普查，也不是某个组织被攻击的概率。
网络钓鱼占 2026 年已观察入侵的 23%，2025 年为 7%，但不能据此确定增量有多少由 AI 造成。另一项 4 月分析称，AI 辅助钓鱼点击率为 54%，传统活动约为 12%。两者比例为 4.5 倍，而非相对提高 450%。活动设计、目标选择与受测人群都限制了解读，不能将其当作每个邮箱的通用预测。
不过，AI 确实降低了针对特定岗位定制诱饵、翻译信息、模仿工作语言和修改无效消息的成本。它还协助构建虚假人设、伪造文件、搭建脚本、调试恶意软件、规避检测并总结窃取文件。这些提升无需产生新型漏洞，也不需要独立机器攻击者，就能影响实际行动。
不足一天是预警，不是所有漏洞的倒计时
微软称，从漏洞在真实环境中被发现到被武器化的中位间隔，已经降至远低于 24 小时。武器化是指将弱点变成可用于攻击的手段，可能涉及利用程序、扫描或更完整的入侵工作流。公开摘要没有给出精确小时数、完整样本、分布和详细方法，因此不能为每个 CVE 设置统一倒计时。
对照的一端，是组织可能需要 30 至 60 天来修复对外暴露的关键漏洞。这也不是通用修复时长。云运营商有时可以快速缓解，而受监管、工业或临床服务可能需要兼容性检查和谨慎安排停机。资产发现、承包商归属、测试、维护窗口及审批能够解释部分延误，却不能消除暴露风险。
AI 辅助的补丁差分分析可比较更新前后的代码，定位改动函数，并提出可触及漏洞路径的输入。攻击者也能把软件指纹、公开记录和泄露凭据按多个目标整理起来。他们可以接受失败后换下一个目标，防御者却必须维持每个系统运行。因此，补丁发布既启动修复，也给对手更多理解缺陷的信息。
两份报道的数量说法并不一致：一份预计 2026 年将披露 72,000 个漏洞；另一份称上半年接近 40,000 个 CVE，并据此推算全年约为其两倍。不能悄悄将它们拼成已核对一致的预测。披露增加也可能来自对既有缺陷的发现能力改善，而不证明软件质量突然恶化。
相比只数补丁，按暴露情况响应更能处理眼前的不对称。一个已遭利用、可从互联网访问的身份网关，可能比有强控制保护的更高严重性漏洞更紧急。临时隔离、限制公开访问、轮换凭据和增加检测，可以在永久更新前降低风险。CISA 已利用漏洞目录能提供证据，但若每次都等到外部确认，可信的暴露攻击路径也可能持续开放。
智能体把风险连起来，而不是取代旧风险
报告区分了用 AI 攻击传统系统，以及攻击 AI 系统本身。提示词、模型数据、服务基础设施、用户信息、输出、工具与智能体身份，都可能成为入口或桥梁。仅测试模型是否拒绝危险请求，无法证明外围应用安全。
微软将智能体风险分为提示词操纵、敏感数据暴露、身份失陷、过度自主，以及运营完整性受损。过度自主可能发生在多个单独获准的工具被串成未经批准的行动时。运营完整性涉及提示词、记忆、配置、训练数据、依赖项与日志；修改这些内容，即使没有攻破底层模型，也可能改变未来行为。
恶意文档可以指示检索智能体泄露信息或调用另一工具。如果遭操纵的信息写入记忆，影响还可能延续到后续任务。关键边界是读取内容，与赋予内容触发行动的权力之间的区别。内部知识库和其他敏感数据存储一样，都需要清晰的所有者与检索范围。
身份关联也体现在微软追踪为 Jasper Sleet 和 Coral Sleet 的朝鲜远程 IT 工作者行动中。AI 协助制作简历、编造人设、跨语言沟通和完成技术作业。决定性凭据仍来自欺诈录用后的雇主。这是在滥用可信商业关系，而不仅是生成恶意软件。
操作者还尝试用角色提示、重构请求和跨多次交互分散指令来绕过安全控制。表面无害的输出可以在模型之外组装起来。可靠性问题仍然存在：生成代码会失败，诱饵可能无效，自动行为也可能暴露攻击者。
自主攻击说法的重要边界
微软描述过去六个月中，系统从辅助逐步走向指导行动，并自主完成部分攻击的变化。它还引用一个受控评估：AI 系统完成了 32 阶段的攻击序列。这展示了预设条件下的编排能力，不代表能够可靠入侵任意有防御的企业。
真实环境存在信息缺失、意外依赖、防御干扰和尚未记录的攻击路径，经验丰富的人类判断仍有价值。微软更广泛的攻击战术评估称，当前大多数恶意用途仍是文本、代码和媒体生成，高级智能体试验尚未规模化。只要不把局部自动化混同于端到端自主化，这些说法可以同时成立。
防御者也受到类似约束。微软此前的多模型扫描框架用于搜寻漏洞和辅助修复，并曾宣布计划将内部能力产品化。另一项调查则称，安全发现的产生速度超过了微软部分团队的处理能力。只有复现、排序、修复、测试与部署跟得上，发现更多疑似漏洞才会转化为优势。
微软称，一些 Security Copilot 用户完成威胁摘要的速度提升了 60% 至 70%。这衡量的是分析师的一项任务，不必然意味着更快遏制入侵或更安全地修复。误报、错误资产匹配和有破坏性的自动更改，仍是评估乐观生产力叙事时不可忽略的成本。
互联检测必须能够追责
设想一次反向代理钓鱼事件捕获了凭据与已认证会话令牌。后续会话访问邮件和云存储、复制财务文档，并添加另一种认证方法以维持访问。邮件、浏览器、身份和应用系统可能各自只见到片段。通过时间、设备、用户与访问关系，才能把片段变成可调查的时间线。
AI 可以对警报分组并总结已知模式，让分析师更专注于陌生路径。但权限宽泛的防御智能体本身也是攻击入口。独立且可撤销的身份、具名负责人、受限凭据、身份认证、行动审批和可审计上下文都不可少。能读取记录，不应自动意味着能编辑、发送或执行其中的指令。
微软报告多个行业的驻留时间上升，尽管检测后的响应有所改善。区别在于，理解入侵后行动更快，并不等于更早识别入侵。关联检测是否比任何单项产品更早发现攻击、是否缩短从初始访问到遏制的时间，以及是否保留可验证记录，比单纯增加遥测更有意义。
广泛视野仍是特定视野
微软称，平均每天处理超过 165 万亿条安全信号、3,100 万次身份风险检测和 52 亿封邮件。这样的广度很有价值，但客户构成、地区采用率、遥测设置与检测覆盖变化，都影响哪些活动可见。不能把观察到的百分比升级为整个互联网的测量值。
该公司也销售集成身份、云、终端与 AI 安全产品。商业利益不使观察失效，但关联证据不要求所有防线都向同一家供应商采购。共享标识符、规范化日志、开放标准与严谨的事件处理，都能连接证据；平台集中也可能让一次失效波及多层防御。公私部门共享可补充上下文，但必须保护客户和调查敏感信息。
NIST AI 风险框架提供设计、部署、测量与治理的生命周期视角，而非取代网络安全控制。下一步值得看的是透明的漏洞武器化时间定义与分布、实验室以外已核实的自主活动、更短的暴露与驻留时间，以及更少的失败变更。眼前的结论很具体：AI 降低攻击者的工作成本，而防御者必须及时连接身份、智能体行为与脆弱资产，既切断危险访问，也不破坏所保护的系统。
来源与相关阅读
微软数字防御报告 · 十月报告解读 · 攻击生命周期中的 AI · 知识库访问边界 · AI 攻击战术研究 · NIST AI 风险框架 · 威胁形势分析 · AI 扫描与防御 · 微软修复能力调查 · CISA 已利用漏洞目录 · 主要报道发现记录 · 补充报道发现记录