自适应 AI 恶意软件：自我复制蠕虫的崛起

AI CERTs 发布安全报告，警告一类新型威胁——自适应 AI 恶意软件（Adaptive AI Malware）。这类恶意软件利用 AI 技术实现自我复制和变种生成能力，能够根据防御环境动态调整攻击策略。报告指出，传统的基于签名的检测方法对此类威胁几乎无效。

自适应恶意软件的能力升级

传统恶意软件与 AI 驱动恶意软件的核心区别在于适应能力：

技术分析：AI 如何赋能恶意软件

AI（特别是 LLM）对恶意软件能力的增强体现在三个关键环节：

变种生成

攻击者利用 LLM 的代码生成能力，持续产出恶意软件的变种载荷。每轮生成的变种在执行逻辑上保持攻击功能，但在二进制签名上完全不同。传统签名库在这种情况下完全失效——今天捕获的样本与明天的新变种之间没有可匹配的哈希或特征码。

报告指出，研究人员已观察到多个利用 LLM 生成变种载荷的恶意软件家族。这些家族将恶意程序的核心功能模块（如持久化、横向移动、数据窃取）参数化，LLM 负责为每次感染生成独特的实现版本。

自适应规避

自适应恶意软件不再使用固定的规避策略，而是在目标环境中「试探—反馈—调整」：

1. 初始载荷以一个温和的版本落地，仅执行正常的系统操作
2. 逐步引入可疑行为，同时监控防御系统的响应
3. 一旦检测到防御机制（如 EDR 告警、进程监控），立即切换行为模式
4. 连续失败后，生成完全不同的载荷重新尝试

这种适应性让传统「检测—阻断」模式面临挑战——攻击者在学习防御者的检测能力，而不是被动等待被发现。

自主传播

最值得警惕的能力是自主传播。自适应恶意软件不再依赖固定的传播列表，而是：

• 扫描网络拓扑，识别防御薄弱节点
• 针对不同节点类型（服务器、终端、IoT 设备）生成定制化的感染载荷
• 利用被感染节点的上下文自动生成更可信的社交工程诱饵
• 在避开高检测风险路径的同时选择最优传播路线

这本质上构成了AI 驱动的蠕虫——它不是按照预定义规则复制，而是根据实时环境评估做出传播决策。

防御体系面临的冲击

签名检测的末日

签名检测自 1980 年代以来是反病毒的核心技术，但其假设前提是「恶意软件在传播过程中保持可识别特征」。自适应恶意软件直接破坏了这一前提。每份样本都是唯一的，签名库从「不够全面」变为「根本无用」。

行为检测面临的压力

行为检测（基于行为的异常检测）是当前的主要替代方案，但也面临新的挑战：

• 行为模糊化：恶意软件可以将行为拆解为多个合法操作的组合，每步操作本身不足以触发告警
• 时间拉伸：将恶意行为分散到较长的时间窗口内，绕过基于时序聚类的检测
• 环境定制：在低风险环境中暴露攻击意图，在高防御环境中完全隐藏恶意行为

对抗升级的必然性

报告的核心结论之一是：防御体系必须从「识别已知恶意」转向「识别未知异常」。这意味着：

• 从签名匹配转向行为基线的持续建模
• 从单点检测转向全网关联分析
• 从规则驱动转向 AI 对抗 AI

AI 对抗 AI 的新战场

自适应恶意软件的崛起意味着攻防双方都在使用 AI 技术。防御者需要构建能够识别 AI 生成恶意代码的检测模型：

• 生成痕迹识别：LLM 生成的代码在变量命名、注释风格、错误处理模式上有可检测的统计特征
• 行为图谱建模：建立系统行为的正常图谱，异常行为不依赖已知模式，而是偏离统计基线
• 对抗性训练：用自适应恶意软件样本训练防御模型，使其具备识别未知变种的能力
• 实时行为阻断：在行为层面而不是文件层面实施阻断，即使文件从未被标记为恶意

参考资料

• AI CERTs 安全报告「Adaptive AI Malware: The Rise of Self-Replicating Worms」，2026-06-20（原始报告因网络限制无法直接访问，本文基于公开摘要和领域知识撰写）