防守方开始换一种找法
在截至 11 月 3 日的一周里，安全厂商 Wiz 发布了一份基于真实案例的报告，把近期一类攻击讲得很具体：攻击者控制的 agentic workflow 先做侦察，再利用暴露的 LLM 工作流服务器（文中点名了 Flowise），随后跨云链式提权，最后把密钥往外传。Wiz 的写法值得注意——它没有给出一个能一刀切的病毒特征，而是归纳出七条行为指纹，供防御者在威胁狩猎与遥测里识别这类攻击。
这七条指纹里，有几条很能说明智能体攻击的脾气。其一是机器节奏的并行：人类操作工具会有停顿、有先后，而 Agent 可以在毫秒级同时铺开一大批同构动作；其二是推理产物残留在工具里：智能体把思考过程、中间结果留在日志、临时文件与工具返回中，等于主动留下了轨迹；其三是自适应重试：遇到拦截不是停下来，而是换路径继续。把这三条合起来看，智能体攻击的 signature 不是某一条恶意指令，而是它做事的节奏、留下的残片与重试的执拗。
从查 prompt 到查行为模式
过去两年，防守思路大多停在提示注入那一层：识别一段诱导性的文本、拦一道恶意工具调用。但 Wiz 这份报告指向的是更上游的问题——当攻击者用 Agent 当工具时，单看每一步往往都合法，串起来才是入侵。它的建议也相应上移：把指纹接进威胁狩猎与遥测，去看日志的节奏、工具输出的产物、跨系统的并行度，并用重放的 agentic 序列来测试检测是否生效。
这和本站此前写过的思科开源检测语言 Quarry 方向一致，却站在不同位置。Quarry 是把检测规则写成公共语言，让各家在同一套语法上写针对单步与轨迹的检查；Wiz 则是云端视角下的行为指纹，更接近 ATT&CK 式的战术归纳，覆盖的是跨云、跨账户的真实入侵链。一个把规则下沉到各家产品，一个把经验上浮成可复用的狩猎指标，两条路合起来，才勉强接住智能体攻击的多样性。
指纹是事后归纳，不是免死金牌
冷水照例要说。行为指纹是事后对已经发生过的攻击做的归纳，攻击者完全可以针对这些特征做规避——放慢节奏、清理产物、减少重试，都能让指纹变钝。检测还强依赖已经采集到的遥测，如果日志、临时文件、工具返回压根没被记录，再好的指纹也无米下锅。更现实的是，这份报告是厂商视角的案例汇总，覆盖的是 Wiz 在云上能观察到的那一部分世界，不能代表全部攻击形态。
但它提出的转向是对的：当攻击的主体从脚本变成会自己规划、自己调工具的 Agent，防守方的注意力也必须从「这段话有没有害」挪到「这个系统在用什么节奏、留了什么痕迹、跨了哪些边界」。本站此前记录的多起智能体安全事件，几乎都符合这一条——单步都合规，连起来越了界。Wiz 的七条指纹，是把这种直觉系统地写成了可操作的清单。