提示词注入攻击拿下“官方编制”：MITRE ATT&CK首次为AI攻击编号

近日，全球网络安全（885459）行业最具影响力的攻击知识库MITRE ATT&CK 发布 v20 版本。

这次更新迎来一个历史性变化，在业界引发广泛关注：AI攻击，第一次以独立技术条目的形式，正式进入全球威胁建模框架。

ATT&CK v20 更新公告截图 / 矩阵图

一次入编五个

收录ATT&CK第一份AI攻击官方案例

v20的更新清单里，入编内容包括直接提示注入、间接提示注入、AI 辅助数据外泄、AI 结果投毒、干扰自主防御5项：

更值得警惕的是同步收录的真实案例C0064：攻击者使用AI生成的49模块攻击工具包，入侵墨西哥政府基础设施，从 IT 网络一路穿透到市政供水系统的工控环境——这是ATT&CK历史上第一份“AI 辅助入侵”的官方案例档案。

当攻击手法有了编号、真实事件有了档案，意味着：AI攻击已经完成了从“概念验证”到“规模化实战”的进化。

为什么“入编”是里程碑？

因为ATT&CK是安全界的通用语言

不熟悉ATT&CK的读者可能会问：进了一个知识库，为什么算大事？值得这么激动吗？

值得。因为ATT&CK不只是一个“攻击百科”——它是全球安全团队的工作语言：

企业的SOC按它的技术条目编写检测规则；

红队按它规划攻击模拟演练；

威胁狩猎按它做覆盖度评估；

安全事件报告按它的编号统一口径。

一个攻击手法进了ATT&CK，就等于进入了全球安全运营的正式流程。以前安全团队发现提示词注入，报告里只能写“我们发现了一种针对AI的新攻击”；现在可以写“我们检测到T1698间接提示注入”——一句话，全球同行、监管审计、供应商评估全都听得懂。

这也是给所有甲方的一个直接答案：AI安全怎么和现有安全体系结合？从v20更新开始，答案有了——按ATT&CK的标准结合。

五个新条目里

藏着攻击进化的三条暗线

这五个技术条目不是并列的清单，而是遵循三条演进方向：

暗线一：攻击从“骗 AI 说话”升级到“借 AI 动手”

直接注入（T1699）和间接注入（T1698）被拆成两个独立技术，说明MITRE观察到的真实攻击已经足够多、手法已经足够成熟。尤其是间接注入——攻击者不再正面对话AI，而是把恶意指令埋进AI会读的邮件、网页、错误日志里。今年6月披露的Agentjacking攻击就是典型：一条伪造的错误报告，让AI编码助手以开发者本人权限执行了恶意命令，受控测试执行成功率高达 85%。

暗线二：AI 成为数据外泄的“加速器”

T1700 AI辅助数据外泄单独成项，意味着监管者已经意识到：AI不只是攻击目标，更是攻击工具——它让“批量套取数据”这件事的成本趋近于零。

暗线三：攻防正在互相瞄准

AI结果投毒（T1608.007）和干扰自主防御（T1685.007）入编，说明对手已经开始攻击“AI防御系统”本身——污染数据源、瘫痪智能防线。

三条暗线，手法各异，但都指向同一个事实：这些攻击全部发生在语义层——它们不攻击机器，不攻击网络，攻击的是AI“理解的那句话”。

而语义层，恰恰是传统安全工具唯一看不见的地方。

有了编号

还差一双看得见语义层的眼睛

ATT&CK 入编解决的是“怎么说得清”，但有个更难的问题没解决：怎么看得见？

提示词注入是一种语义层攻击——它不改变进程、不落地文件、不产生异常流量。员工对AI说的一句话，在EDR眼里是一个正常进程的正常网络请求，在WAF眼里是一段合法文本。传统安全工具的所有“眼睛”，都看不见意图。

这正是AI安全需要专门防御体系的原因，也是安恒AI安全产品矩阵的设计原点——我们的能力版图，恰好可以对应v20的每一个新条目：

安恒AI安全矩阵×ATT&CK v20映射图

更重要的是，安恒的检测与防护能力可按ATT&CK技术条目输出映射——客户的SOC团队不需要重建一套AI安全运营流程，AI告警可以直接接入现有SOC，按标准编号流转、响应、复盘。

从2022年提示词注入第一次进入公众视野，到2026年它拥有了自己的官方编号——四年间，攻击者完成了技术成熟化，而防御侧的体系建设，才刚刚开始。

ATT&CK v20给行业递上了一把尺子：AI安全建设，从此可以按标准度量、按标准验收。

安恒信息（688023）将持续跟踪AI攻击技战术演进，以“检测+防护”双轮驱动的AI安全体系，帮助企业把每一个新出现的攻击编号，都变成一道可落地、可验证、可审计的防线。