Anthropic 将 832 次 AI 攻击映射至 MITRE ATT&CK — API 安全风控新框架

一份 Anthropic 报告刚刚重写了每个运营 AI 网关团队的风险计算公式。6 月 3 日，Anthropic 发布了一项长达一年的分析，将 832 个恶意 Claude 账户的行为映射到 MITRE ATT&CK 框架，揭示了一个关键事实：AI 驱动的网络滥用已覆盖全部 14 个 ATT&CK 战术和 482 个独立技术与子技术。对 API 运营者而言，更尖锐的结论不是数量本身，而是最高风险行为不再只由技术能力或技术覆盖面定义，而是由行为体能否围绕模型构建 agentic 编排架构、以极少人工介入串联攻击阶段来定义。

发生了什么

Anthropic 威胁情报团队分析了 2025 年 3 月至 2026 年 3 月期间因违反网络安全政策而被封禁的 832 个账户。团队以 MITRE ATT&CK v18 为参考，在这些账户中记录了 13,873 次恶意行为，并将其映射到 ATT&CK 的所有战术阶段。三个发现值得关注：

中高风险行为体占比在一年内从 33% 跃升至 56%。 Anthropic 表示，增长集中在横向移动、凭证转储、web shell、账户发现和自动化外传等更高风险的后渗透活动，而不只是普通恶意软件构建。AI 正在让攻击链后端阶段对原本缺乏相关技能的行为体变得可达。

Agentic 编排架构是新的分界线。 Anthropic 于 2025 年 11 月阻断的网络间谍活动在风险评分上达到最高分 100，但使用的技术数量与许多中等风险行为体相当。真正的差异在于编排方式：一个 AI agent 在只需有限人工介入的情况下串联命令执行、漏洞利用、凭证窃取和战术决策。

MITRE ATT&CK 对最危险的行为没有对应技术编号。 自主编排的 kill chain、实时决策切换、无人干预的 AI 指挥执行——这些行为目前在 ATT&CK 框架中没有技术 ID。研究中 13,873 条观测全部映射到现有分类，但区分关键风险行为体的行为模式本身没有对应的分类体系。

Anthropic 同时在 Frontier Red Team 博客发布了交互式 LLM ATT&CK Navigator，并正与 MITRE 讨论扩展框架分类。

ARiES 风险框架：API 运营者需要知道什么

更完整的 Frontier Red Team 分析引入了 AI Risk Enablement Score（ARiES），一个 0–100 的复合评分，由三个维度组成：

• 威胁（0–35）： 意图清晰度、技术复杂度、规避策略——其中技术复杂度由 Claude 根据 prompt 模式和工具使用情况自动评估。
• 漏洞（0–35）： 模型提供有害能力的程度 加上接口风险。API 和 agentic 编码工具（如 Claude Code）评分最高，因为它们支持自动化操作。
• 影响（0–30）： 由安全分类器和人工调查员评估的实际后果。

对网关运营者的关键发现：用户访问模型的接口类型——API、agentic 编码平台还是对话界面——直接影响风险评分中的漏洞维度。 程序化接口承担更高的漏洞权重，因为它们能支撑工具调用和自主行为链。但 Anthropic 同时指出，接口本身并不能预测哪些观察到的行为体风险最高；更强的信号是他们要求模型执行哪些技术，以及其脚手架是否能自主串联这些技术。对网关团队来说，访问模式是风险修正因子，而不是完整检测器。

对 AI 工程团队为何重要

影响范围远超 Anthropic 安全团队的内部实践：

使用策略设计现在是安全问题。 大多数 API 运营者的使用策略基于内容限制——不许仇恨言论、不许虚假信息、不许 CSAM。ARiES 引入了新维度：当合法 API 用户围绕你的端点构建 agentic 编排架构时会发生什么？如果你的使用策略没有考虑工具链风险，它就是不完整的。

单靠速率限制无法保护你。 这 832 个账户值得关注不是因为请求量本身，而是因为行为模式。少量从侦察推进到账户发现再到凭证访问的请求，比大量低风险聊天流量更具安全意义。检测逻辑需要从请求计数转向请求模式分析。

Provider 依赖有安全维度。 如果你的 fallback 链从 Provider A 路由到 Provider B，而 A 的使用策略执行力度强于 B，你的 fallback 逻辑就制造了一个安全缺口。ARiES 框架的接口风险维度表明，不能因为不同访问路径或 provider 接受同一种 API 形状，就把它们视为等价。

Router/运营者视角：网关安全的改变

对运营多 provider API 网关的团队，Anthropic 的发现对应具体的运营问题：

审计你的接口加权假设。 ARiES 将程序化与 agentic 接口视为比聊天界面更高漏洞风险的访问模式。如果你的网关对所有访问模式应用统一策略，你就低估了实际风险表面。考虑为直接 API 调用、Claude Code 或 Cursor 这类 agentic SDK 连接、自定义 agent，以及对话访问制定差异化策略。

将可观测性映射到 ATT&CK 战术。 Agentic 攻击者现在覆盖全部 14 个 ATT&CK 战术这一事实意味着，网关日志应追踪：prompt 模式（不只是内容）、工具使用序列、provider 切换频率、跨 provider 的横向移动指标。一个在 30 秒内跨三个 provider 串联 侦察 → 资源开发 → 初始访问 的请求，与三个无关请求是完全不同的威胁模型。

压力测试你的 fallback 链安全态势。 当路由从使用策略严格的 provider fallback 到策略更宽松的 provider 时，风险不是减少——而是转移。你的 fallback 策略应包含安全等级感知，而不只是延迟和成本。

评估按团队的使用治理。 ARiES 框架对接口风险的强调表明，企业网关运营者应区分团队级访问模式：自动化 CI 流水线、交互式编码 agent 和人类驱动的 API 调用各自承担不同风险画像，应适用不同治理规则。

网关运营者决策框架

基于 ARiES 框架的三个维度，以下是运营 AI 网关的团队的实用检查清单：

1. 接口分类： 你能区分直接 API、agentic 编码、CI 自动化和对话访问吗？
2. 行为检测： 你的日志是否捕捉 prompt-工具序列和战术推进，而不只是请求计数？
3. 安全分级 fallback： 你的 provider fallback 链是否考虑使用策略执行强度，而不只是延迟和成本？
4. 工具链可见性： 你能检测单个行为体跨 provider 编排多步攻击阶段的行为吗？
5. 按团队策略差异： 自动化流水线和交互式 agent 是否有不同的风险阈值与审核路径？

TheRouter 用户应关注或尝试什么

ARiES 框架的接口风险维度验证了 TheRouter 统一使用治理 已支持的模式：跨 provider 的统一流量视图让行为检测在单 provider 仪表盘无法复制的维度上成为可能。Anthropic 识别的安全缺口——接口类型改变风险评分——正是路由网关应提供的跨 provider 可见性。

运行 多 provider fallback 链 的团队应审计：当流量从主 provider 转移到 fallback 时，安全态势是否劣化。如果主 provider 有严格使用策略而 fallback 没有，ARiES 框架表明你的网关刚刚为最高风险行为体提供了一条低摩擦路径。

这不是一次性合规练习。Anthropic 的数据显示风险分布在不到一年内发生了剧变。现在就将行为检测构建到网关中的运营者，将领先于一个——用 Anthropic 自己的话说——尚未对最危险攻击模式建立技术编号的框架。

来源：What we learned mapping a year's worth of AI-enabled cyber threats，Anthropic，2026 年 6 月 3 日。配套技术分析：LLM ATT&CK Navigator。