适应 AI 渗透测试编排器：现代安全模型

在过去一个月里，大语言模型（LLM）渗透测试与编排框架的数量激增。就在几周前，ARTEX——一个自动化进攻性安全工作流的开源自主渗透测试系统——还是唯一可用的框架。而仅仅在过去三天里，我们就看到超过 50 个框架家族尝试对全球 Cloudflare 客户进行扫描。运行这些框架的 Internet Protocol（IP）地址数量已增长至数千个，并且仍在与日俱增。这些框架的泛滥极大地改变了网络防御的现状：防御方正艰难应对这些自主引导攻击在数量规模上的冲击。

ARTEX 于 10 月 8 日被其创建者 Autumn-27 下架。（“对该工具的恶意利用完全违背了它的初衷，”他们用中文写道。）但在此后的一个月里，该生态系统呈爆炸式增长，涌现出众多新的碎片化版本。目前已有超过 12,000 个仓库，其中有数百个独特的 fork 承载着源自原始仓库的血统。此外，自 10 月 8 日以来，还创建了数百个其他类似的自主编排框架。自 10 月 1 日以来，AI 渗透测试（pentesting）与利用工具的每日请求量增长了 30 倍。在一些更复杂的攻击中，这些工具还开始串联窃取来的客户凭据，例如在整个环境中进行横向移动串联。

我们预计这些框架将继续泛滥，每个组织都应做好准备应对这一威胁。为对抗基于 LLM 的渗透测试框架，我们建议所有组织采用我们所谓的现代安全模型（Modern Security Model），它包含六大关键支柱：

• 加固前门：部署具备速率限制等高级规则的 Web 应用防火墙（WAF）。

• 门厅安全检查站：对你客户访问的所有 Web 应用进行异常检测。

• 识别虚假访客：部署 Bot Defense。

• 移除后门：对所有高风险的外部与内部 Web 应用部署 Identity-Gated Access。

• 检查投递内容：强制执行经过验证的模式和明确的安全控制。

• 邻里守望：部署 Threat Intelligence，以获得对攻击的可见性。

什么是 LLM 渗透与利用编排器？

开源渗透测试框架能够编排 AI agent，大规模执行传统网络杀伤链（Cyber Kill Chain）的各个阶段。像 ARTEX 这样的工具能够快速接入现有的 Model Context Protocol（MCP），并以新颖的方式连接传统的独立渗透测试工具。有些甚至允许操作员指示要完成何种类型的任务。这些工具能够从内部和外部对环境和资产进行测绘与枚举。ARTEX 及其 fork 将资产和环境映射到一张图上，使多个独立的并行 agent 能够以推理的速度进行枚举、验证、原型构建和攻击。这些工具将入侵转化为一个可爬山求解的问题，而这正是 agent 特别擅长的。

目前存在的 AI LLM 渗透测试工具

我们目前正在追踪 50+ 个 AI LLM agent。下表展示了排名前五的 LLM 渗透与利用编排器。每一个都极受欢迎（1k+ GitHub star）且完全自主。这些 agent 的完全自主性质代表着进攻性网络能力上的一次理念转变：

• 人类技能不再是限制：一个 harness 通过观察环境、定位自身以优先处理有价值且/或易受攻击的目标、决定行动并自主行动，完成 OODA 循环的每一步。

• 速度提升：多个并行 agent 朝着一个目标工作，与单一操作员或由 AI 增强的多个操作员相比是一个巨大转变。

• 规模：单个操作员可以同时针对多个组织，大大增加了其影响范围。

• 小错误容易被发现：自主框架会无情且系统地测试暴露的服务，包括其配置。

架构

规划模型

内置能力/执行环境

后利用能力

ARTEX（及其分支）

规划器和并行 agent

目标、线索和发现的图与目标的独立资产图相链接

直接在主机或具有网络/root 访问权限的容器上，可按需安装/开发工具

无内置，需要用户指令

LuaN1aoAgent

监督 agent、规划 agent 和通用执行 agent

三个图，包含目标/任务/阻塞项、证据/假设/利用，以及目标/本地

具有网络/用户访问权限的容器，可按需开发工具并安装用户包

内置 SSH 和 Chisel 用于隧道传输，并在中断后尝试重新连接

调度专家子 agent 的编排器 agent

带先决条件的目标图

以 root 运行的 Kali 容器，可按需开发工具

专用的后访问、Active Directory 和云 pivoting 技能

将工作编排到现有 AI harness（Codex、Claude Code、Pi）的调度器

事实和线索图；新节点触发调度器

具有 root 访问权限的 Kali 容器或直接在主机上，可按需开发工具

提示指导和 Kali 工具

PentestGPT-Agent

监督 agent 和一个通用执行 agent

带依赖、目标和证据的任务列表

在主机上运行，可按需开发工具

无内置，需要用户指令

来自全球最大网络的观察

截至 11 月 12 日，ARTEX 及其分支占目前已知 AI 渗透测试编排器的 60% 以上。下面的图表帮助我们理解这些工具的采用在过去六周内如何变化。自 10 月 8 日原始 ARTEX 仓库被移除以来，流量增长了十倍以上，并且自 10 月 1 日以来增长了 30 倍以上。

如上所示，10 月 8 日对 ARTEX 的取缔（以及对其的广泛报道）很可能引发了“九头蛇效应”：原始仓库被移除后，分支和修改的数量激增，这可以从 10 月 8 日前后唯一实例数量的急剧加速中看出。

身份链式 LLM 利用

在过去的八周里，我们的 Cloudforce One 团队被召入多起涉及 ARTEX 及基于 ARTEX 的 LLM 利用框架的事件响应调查。我们亲眼看到暴露的凭据如何与基于 LLM 的利用框架串联起来，从而在与防御者的对抗中占据上风。我们观察到多起事件中，威胁行为者获得了对超大规模云环境的初始访问权限，并直接转向客户的 Cloudflare 环境。根本原因分析揭示了一个常见的凭据卫生失误。攻击者反复攻陷了在 CI/CD 管道中运行的静态、永不过期的令牌，这些令牌授予了跨组织超大规模云基础设施的广泛、跨环境访问权限。LLM 框架极大地增加了客户的 API 密钥被横向利用以接管其他租户环境的可能性。

ARTEX 的实际行动

在一起事件响应调查中，我们的团队观察到 ARTEX 获取了一个此前用于 CI/CD 的受损账户级 API 令牌，该令牌没有 IP 限制或速率限制。现有证据表明，此次攻陷很可能源自第三方超大规模云服务商。

我们观察到大量新的 Worker 脚本被创建，名称各异，如 artex-、artex-pgrecon-、artex-pgw- 和 artex-do-。每个 Worker 脚本的命名与其所执行的不同行为和操作相对应，且通常后缀一个字母数字标识符。我们观察到在其 Cloudflare 基础设施的多个不同部分，活动超过每分钟 69 个请求，并在一小时内出现 400 个数据库转储请求。我们还观察到尝试的持久化机制以及尝试验证其他第三方应用程序的会话令牌。尽管我们认为其中大部分活动是由人类操作员轻度引导的，但这只是 ARTEX 及类似框架在攻陷后所能达到的速度和广度的一个例子。

我们的建议：现代安全模型

大型语言模型增强了威胁行为者针对目标快速迭代网络杀伤链的能力。它们通过赋予行为者速度和验证的优势来实现这一点。网络杀伤链的每一步都可以被验证并输入到攻击的下一阶段。这种级别的编排是无与伦比的，并有效地蒸发了传统的网络安全模型。必须使用现代模型来对抗这些攻击。

为了帮助进一步解释这一模型，让我们用保护庄园中的房屋来作比喻。以下每一节都概述了如何在每个步骤防御威胁。

加固前门：实施流量控制并部署具有高级规则的 WAF

在任何人踏上你的草坪之前，他们必须先到达外围围栏。

适应 AI 渗透测试编排器：现代安全模型

在一个没有防护的宅邸里，对手可以把无穷无尽的诱饵卡车车队直接开进你的车道，完全堵住入口并撞破路障（Layer 3/4 流量型洪水攻击和直接 IP 探测）。

有了外围大门防护后，所有传入流量都会被路由到距主宅数英里之外的大型分布式外门。异常送货卡车被过滤到高速公路上，试图窃听你物业的异常公用隧道被切断，只有合法的步行流量才能到达你的住宅地址。

网络流量控制在阻止流量型攻击方面发挥着重要作用。

门厅里的安全站：异常检测

一旦访客到达主入口，他们会在门厅遇到严格的安全站。

自动化的潜入者不会只是踹门；他们会伪装自己。他们尝试用奇怪的方式进门——把纸塞进锁里，尝试类似 //front-door//back-room/ 的变体，诱骗门锁机构弹开。

门口的保安执行明确规则：

• 你不能在五秒内敲门 500 次。

• 你不能用花招伪装路径。

• 你不能试图把巨型平板推车滚过前厅，运走房屋的内部蓝图（诊断堆转储）。可疑行为会被立即拒之门外。

• 实施安全密钥和基于硬件的 FIDO 密钥。

Web Application Firewall（WAF）通过速率限制和异常检测，是阻止应用漏洞利用的关键防御机制。

识别虚假访客：实施 Bot Defense

老练的入侵者很少看起来像蒙面窃贼；他们会伪装成普通访客。但自动化代理、无头浏览器爬虫和 AI 侦察工具的行为不像真人。

它们不会眨眼，姿态僵硬得令人不安，节奏机械，而且它们的“身份证明”往往是对真实访客徽章的粗糙模仿。

Bot Defense 和挑战机制充当行为专家，透过单向玻璃观察人群。它会标记不自然的节奏，捕捉合成的微观行为，并在这些机器碰到任何一个门把手之前，悄悄将它们请出物业。

移除后门：实施 Identity-Gated Access 和微隔离

许多住宅历史上建有侧门或地窖舱口（内部管理面板、/actuator 诊断端点和远程网关）。即使锁着，潜入者也能站在人行道上，用手电筒照地窖门，然后开始撬锁。

零信任应用访问做了一件激进的事：它从外面把门口砌死，并限制可以进入哪些房间。

对任何在外围徘徊的人来说，地窖门不存在。没有锁可撬，没有把手可摇，里面也没有灯亮着。唯一的进入方式是由引导员陪同，检查你的生物识别徽章，确认你的设备健康状况良好，并直接把你带入你需要的那间特定房间——房屋其余部分则不露踪影。

![security-model.png](https://blog.cloudflare.com/_image?href=https%3A%2F%2Fblog.cloudflare.com%2F_emdash%2Fapi

入侵者经常试图通过发送未经验证的有效载荷或伪造的投递清单，来绕过面向受限内部系统的控制。

门廊协议要求对所有流量进行彻底检查和 schema 验证：

• 每个传入请求都必须经过 OpenAPI schema 验证，以确保其严格符合预期的定义和结构。

• 司机和快递员必须出示经过验证的双向 TLS（mTLS）证书，以建立可信、经过身份验证的连接。

• 任何未通过检查或缺少有效凭据的请求都会在边界处立即被拒绝。

• 默认拒绝姿态：每个正向安全实现都以规则集底部的一条显式全拒绝规则收尾。

邻里守望：实施威胁情报以获得对攻击的可见性

即使有铁壁般的围墙，如果犯罪集团在城镇另一头发明出全新的渗透技术，一座孤立宅院也可能变得脆弱。

威胁情报充当您与邻近庄园之间的预警网络。当恶意行为者在路那头设立新的命令与控制安全屋，或开始在你的辖区部署动态隧道厢式车时，你会收到一份早期情报档案。你的庄园会更新监视列表、重新校准传感器，并在行为者转入你所在街道之前把大门关上。

如何获得实时帮助

ARTEX 及类似的基于 LLM 的框架对传统网络防御模型构成重大挑战。即便是历来强调经典网络 DMZ 的纵深防御模型，在当今复杂架构中也力有不逮。随着编排工具成为新常态，未来的攻击只会不断升级。

保护传统设备和本地部署设备需要一种身份门控方法，从逻辑上使这些设备无法通过互联网访问。除身份之外，延缓横向移动或让横向移动产生更多噪音是微隔离的目标。该架构强调安全上的遏制优先方法，当用户持续丢失密钥时，这一点至关重要。结合起来，Modern Security Model 的各个要素就是应对这一棘手问题的答案。

如果您正面临正在发生的安全事件，需要 Cloudforce One 团队到场协助响应事件，或需要威胁情报支持，请立即联系我们。如果您需要帮助实施本文概述的 Modern Security Model，请联系我们的 Solutions Engineering 团队。