AI降低攻击门槛：勒索软件走向“平民化”

安全专家早有预判，AI早晚会造出“完全自动化”的勒索软件，入侵、横向移动、加密勒索整套流程都不用人插手。眼下这个节点还没到，另一种更隐蔽的威胁却已经扩散开来：看上去技术平平的攻击者，正拿着AI工具打出高效又密集的勒索攻击。

AI把攻击门槛拉了下来，勒索软件进入“平民化”阶段

以前想发动一起勒索攻击，手上得有真功夫：恶意软件要自己写或改，命令控制服务器要搭，目标网络的漏洞要一个个找。现在生成式AI和自动化工具把这些活儿打包成了“服务”。攻击者靠AI写出以假乱真的钓鱼邮件，成批筛出可能上钩的人；靠AI帮忙写混淆代码，把传统杀毒软件绕过去；甚至拿大语言模型翻看泄露数据，照着受害者的底细精准开价。

WIRED的报道提到，最近多起勒索事件里，攻击者的黑客功底并不深。他们更像“脚本小子”的升级版，使的是AI工具加现成攻击套件，靠数量堆效果。安全公司记录到，中小企业、医院和地方政府机构被攻击的次数明显增多，这类目标通常没有专业安全团队。

AI究竟怎么改写了勒索攻击链

入侵刚开始时，AI能翻社交媒体和公开信息，自动写出量身定制的钓鱼话术，成功率比千篇一律的模板邮件高得多。到了侦察环节，AI可以快速扫出目标网络的暴露面，找出没打补丁的漏洞和弱口令。投递载荷时，AI辅助生成的恶意脚本能动态变形，让基于签名的检测扑空。

谈判环节的变化更该警惕。有攻击者用大语言模型实时写勒索信，模仿谈判专家的口气，甚至参照受害者公开的财务数据给赎金“智能定价”。一位安全研究员这样形容：“这就像给每个低端犯罪团伙配备了一个24小时在线的犯罪顾问。”

自动化勒索的“最后一公里”还没打通

AI工具确实让攻击效率大涨，可完全自动化的勒索软件仍有技术瓶颈。从拿到初始访问到最终加密数据，中间不少环节得靠人来判断：挑高价值目标、躲开安全响应、管理加密货币支付等等。眼下更常见的是“半自动化”——重复性、规模化的事交给AI，关键决策还是人来拍板。

安全研究人员的普遍看法是：真正全自动的勒索软件眼下还没现身，可攻击者已经在借AI把每个环节的速度和规模都往上提一个数量级，光是这一点就够改变威胁格局了。

防御方该怎么接AI驱动的勒索潮

针对这一趋势，安全专家给出的建议是多层设防：员工钓鱼意识培训要加强，但更要假定员工会出错，把零信任架构和网络分段部署起来；漏洞要及时补，远程访问服务尤其要紧；离线备份和快速恢复能力也得建好，减少对赎金的依赖。安全行业同时在做另一件事——用AI对抗AI，靠机器学习发现异常行为，自动分析恶意软件的变种。

编者按：勒索软件不是AI发明的，但AI正在把犯罪效率放大。攻击成本一路走低、攻击面一路铺开，网络安全也就不再只是技术层面的问题，而成了组织治理和风险管理里绕不开的核心议题。完全自动化的勒索软件也许迟早会来，可在那之前，半自动化的AI攻击已经够防御方警醒了。