OWASP 的 LLM Exploit Generation Guide 2.0：AI 黑客目前能做与还做不到的事

现如今 AI 能独立入侵系统吗？最新研究给出的坦率答案是：“部分可以，但这很大程度上取决于谁在操控它以及它拥有哪些工具。”

今天是 2026 年 11 月 4 日，这个问题在当下至关重要，因为 OWASP GenAI Security Project 刚刚发布了其 LLM Exploit Generation Guide 2.0。这是目前针对语言模型和 AI agent 在瞄准真实目标时实际表现的最详尽公开剖析之一。其结果对任何管理服务器、应用程序或安全团队的人都极具参考价值，因为它们既展示了攻击者提速之处，也揭示了防御者仍拥有时间的领域。

OWASP 究竟测试了什么

OWASP（开放式全球应用程序安全项目，一家以 Web 风险 Top 10 列表闻名的非营利组织）自 2025 年春季启动，历时约十五个月开展了这项研究。团队将工作划分为两条路线：

• 经典路线： 由人员与单个模型对话，并执行模型建议的所有命令。这包括常规聊天界面中的托管前沿模型以及小型本地模型。
• Agent 路线： 由软件框架允许模型自主调用工具并以更高独立性运作。测试了九种配置，包括 CAI、HexStrike AI、Claude Code、Codex 以及自定义多 agent 架构，并由托管模型和本地运行模型共同提供支持。

测试目标是两台 Hack The Box 训练靶机：Silentium 和 MonitorsFour。它们是专为被攻击而构建的练习环境，而非真实公司。团队挑选了在模型训练截止日期之后发布且没有公开攻略（walkthrough）的机器，因此模型无法简单复现见过的解决方案。

首先说明一个局限性：每次 agent 运行仅执行了一次，且由经验丰富的测试人员把控。因此，该研究展示了这些系统是如何出现故障以及人类在何处介入，但并未提供可靠的成功率或模型排名。

几乎无需专业技能的账户接管

在经典路线中，测试人员按照 AI 编写的 runbook（分步操作指南列表）对 Silentium 展开攻击。模型在主应用旁发现了一个预发布（staging）环境，检测到了通过账户工作流泄露的信息，并引导测试人员完成了管理员账户接管。

操作者不需要深厚的进攻性安全知识，只需掌握基本的命令行技能，尽管模型有时会根据请求的表述方式而拒绝执行。对防御者而言，令人担忧的部分在于发现能力：模型指出了一个初学者绝不会去搜寻的被遗忘的预发布服务。

Agent 发现了许多信息，随后却在原地打转

自主 agent 擅长侦察（梳理暴露的资产）：服务、额外的应用攻击面、软件版本和已知漏洞。然而随后判断力便瓦解了：

• 某个 agent 发现了开放端口，但当主机未响应 ping 时，它便重新从头开始资产发现。它忽略了最简单的解释：该主机仅仅是屏蔽了 ping 流量。
• 一个本地 agent 不断跟随重定向访问其无法解析的主机名，直到人工修复了本地名称解析设置。

很多时候，在被问及相关知识时模型心知肚明，但在关键时刻却未能应用。这种“知与行”之间的鸿沟，正是聊天助手与独立操作员的区别所在。

自信并不等于正确

Agent 描述死胡同的自信程度与描述真实发现时别无二致，而且错误的“发现”会被带入后续步骤。对于在内部使用 AI 的团队来说，一份冗长且看似令人信服的渗透测试报告并不等同于经过验证的发现：你仍然需要访问权限证明、复现途径以及所跨越的确切边界。

Harness 比模型更关键

Agent 的“harness”（运行框架）是指围绕模型构建的一切：其工具、执行环境、内存及任务协同机制。在 OWASP 的测试中，harness 往往决定了最终结果。

一些 agent 忽视了可用的 Model Context Protocol（MCP，一种将工具接入模型的标准方式）工具，直到被明确告知使用它们。还有一些 agent 遇到了包装器超时，导致操作员不得不手动运行扫描。如果您正在采购或构建 AI 安全工具，请测试您将要运行的确切配置，而不要只看模型名称。

安全护栏减缓了 agent 的速度，但并未消除风险

进入最后漏洞利用阶段的托管 agent 被供应商的网络安全限制所阻拦。它们能看清前方的攻击路径，但无法完成最后一步。在某些情况下，具备专业知识的操作员随后手动完成了这一步。

安全防护措施限制了实际执行，但前期准备工作依然保留下来供技术熟练者利用，且攻击者可以切换服务、运行本地模型或自行完成受阻步骤。依赖外部公司的模型安全机制绝不能替代您自身的安全防线。

其他研究也指向了同一趋势

OWASP 的调查结果不应被解读为“初学者将始终没有危害”。兰德公司（RAND）2026 年 6 月的一项研究发现，搭载 Sonnet 和 Opus 4.6 的 Claude Code 在不到一小时内就解决了其所有的夺旗（capture-the-flag）挑战，总 API 费用不足 20 美元，人工监督基本仅限于重启卡住的进程。而这些相同的挑战对于使用早期聊天机器人的人来说曾十分艰难。

真实事件往往兼具自动化与人工指挥。Anthropic 在 2025 年 11 月报告称，据其评估具有中国政府背景的威胁主体利用 Claude Code 攻击了大约 30 个目标，其中 AI 完成了估计 80% 至 90% 的工作。Google Threat Intelligence Group 在 2026 年 5 月报告了一起犯罪性质的零日漏洞利用攻击，据其评估该利用是在 AI 协助下构建的。这两者均为两家公司自身的评估结论。无论如何，当一个人能够指挥更多工作时，“仍需要人类参与”并不能让人感到心安。

为什么基准测试得分不等于威胁情报

基准测试展示的是系统在选定条件下解决了选定任务。它掩盖了尝试次数、提示信息和人工协助，并且对于拥有监控和应急响应团队的真实企业环境说明不了任何问题。

如何应对：简明防御者核对清单

防御重点仍是老生常谈。改变的是紧迫性，因为攻击者现在已经能够将枯燥的前期准备工作自动化。

第 1 步：掌握你所暴露的一切资产

对每项面向互联网的服务保持准确的资产清单，包括预发布（staging）、测试及陈旧的次要应用。如果 AI 能在数分钟内找到你遗忘的预发布服务器，你就必须赶在它之前找到。将其加固锁定或做下线处理。

第 2 步：更快修复基础问题

收紧访问控制，使用强二次验证保护特权账户，并缩短从补丁发布到补丁应用之间的时间。英国国家网络安全中心（UK National Cyber Security Centre）预计，到 2027 年，AI 将进一步缩短漏洞披露与被实际利用之间的窗口期。

第 3 步：警惕高噪声、重复性的异常行为

Agent 反复进行无进展的扫描和失败请求。应将其视为一种可疑信号，而非 AI 存在的确切证据，并将其与登录活动、应用程序错误和凭据使用进行关联分析。关键在于判断是否正酝酿一场入侵。

第 4 步：为自有的 agent 设定切实边界

如果您在内部运行 AI agent，请限制其网络可达范围、凭据以及执行权限。Anthropic 在 2026 年 7 月披露，向模型描述为隔离的评估环境实际上具备互联网访问权限，导致模型触及了真实机构。写在 prompt 里的边界并非真正的边界。必须在网络与权限系统中严格强制执行。

结论

AI 已经能够承担进攻性工作中的实际环节，尤其是侦察和研究，但在排错和验证自身成果方面仍显吃力。人类的角色正转向配置与纠正这些系统；随着工具配置越来越易于复用，如今的技术壁垒可能会迅速瓦解。现在就应消除容易攻击的目标，而不是指望 AI 永远显得拙劣。

优势

• 提供基于证据、务实落地的视角，而非盲目炒作或全盘否定。
• 准确指出人类在何处介入，有助于防御者提前规划。
• 强调真正关键的变量是 harness 和配置，而不仅仅是模型本身。
• 指明了大多数团队本周即可着手落实的实用防御措施。

不足

• 每次 agent 运行仅执行了一次，因此没有可靠的成功率数据。
• 由经验丰富的测试人员运行 agent，因此初学者的操作结果是推断得出而非实测获得。
• 训练靶机与配备监控和响应团队的真实企业存在差异。
• 未测试隐蔽性以及面对主动防御者时的检出情况。

注意事项

本文仅供教育参考，总结了已公开发表的研究成果；它不是攻击指南。请将任何占位符或示例值替换为您自己的值，先安全地测试更改，在依据这些结论之前对照原始报告核实相关论述，且仅对您获得授权的系统进行测试。

常见问题解答

• 什么是 OWASP LLM Exploit Generation Guide 2.0？ —— 这是来自 OWASP GenAI Security Project 的一份报告，该报告针对实战训练靶机测试了人工引导的语言模型与自主 AI agent，以观察它们在真实攻击中能走多远。
• AI agent 能完全独立入侵系统吗？ —— 在本项研究中无法可靠做到；agent 展现了强大的侦察能力，但最终的漏洞利用要么被供应商的安全防护所阻断，要么是由人工协助完成的。
• AI 安全护栏能够阻止攻击吗？ —— 它们在最后一步阻止了受测的托管 agent，但具备技能的人员、本地模型或混合服务均可绕过这些护栏，因此防御者不应过度依赖它们。
• 为什么我不应该盲信 AI 网络安全基准测试得分？ —— 这些评分掩盖了尝试次数、提示、工具以及人工协助，并且无法反映面对具有主动防御者的真实机构时的表现。
• 防御者首要应该做什么？ —— 建立完整的暴露服务资产清单，包括预发布与测试系统，并加固或清理任何被遗忘的资产。
• 我该如何确保自有的 AI agent 安全？ —— 在基础设施层面上对网络访问、凭据和执行权限施加限制，因为仅在 prompt 中要求“保持隔离”并不是真正的控制手段。

标签

#OWASP #AISecurity #LLMSecurity #AIAgents #Cybersecurity #PenetrationTesting #ThreatIntelligence #DevSecOps #AttackSurface #GenAI