首次披露AI驱动的勒索软件攻击全链条，俄罗斯黑客组织使用Phantom框架让AI自主扫描、入侵、加密，7158台设备被扫，535个管理员账号被偷，这不再是人写代码，是AI在干活。

你以为勒索软件还是黑客坐在电脑前，一行行写加密脚本、一个个找目标？

醒醒，2026年了。现在的情况是：AI自己扫描边缘设备，自己破解管理员密码，自己生成勒索信，自己部署加密器，甚至连EDR（终端检测与响应）都是自己写驱动去干掉的。

人类干什么？审批。坐在后面点头说”可以”。

这不是科幻小说，这是SOCRadar威胁研究单元（STRU）刚刚披露的真实案例。俄罗斯勒索软件组织INC和The Gentlemen的关联成员，已经搭建了一套完全由AI驱动的入侵生态系统，代号Phantom。

一、Phantom框架：AI执行的自主攻击流水线

先说数据，感受一下规模。

SOCRadar的研究人员是怎么发现这个框架的？不是靠攻击者良心发现，而是因为他们的OPSEC（操作安全）出了问题——一个C2（命令与控制）服务器暴露在公网上，研究人员直接拿到了完整的AI会话数据库、目标追踪账本，还有Phantom框架的源代码。

看完源代码，研究人员倒吸一口凉气。

Phantom不是一个简单的AI辅助工具，它是一个完整的”自主红队杀伤链框架”。商业大语言模型（LLM）通过OpenCode界面接入，经由OpenRouter路由，在133个会话中产生了8257条消息，API调用花费超过23,920美元。

这些AI在干什么？

扫描阶段： AI自主扫描了7158个边缘设备，包括FortiClient EMS（CVE-2026-35616漏洞）和SimpleHelp（CVE-2024-57727漏洞）等远程访问系统。

入侵阶段： AI利用扫描到的漏洞，成功获取了535个特权管理员账户，攻陷了4140个受管理端点。

加密准备阶段： AI准备了46个自定义的INC加密器二进制文件，等待统一部署。

勒索阶段： AI从被盗的会计账目中自动进行财务分析，为每个受害者生成个性化的勒索金额和通信内容。

反检测阶段： AI编写内核级驱动程序，在加密开始前自动终止EDR代理。

整个过程，是”AI执行、人工审批”的模式。人类操作员提供针对特定受害者的提示词，审核AI的每一步操作，但实际的入侵、加密、勒索通信，全是AI自己干的。

这不再是”人写代码、机器执行”，而是”机器写代码、机器执行、人只负责点头”。

二、32个MCP服务器：AI的”工具箱”有多豪华

Phantom框架最让人震惊的地方，不是它用了AI，而是它把AI用到了极致。

攻击者部署了32个自定义的MCP（Model Context Protocol）服务器，让AI能够调用各种外部工具和服务。这意味着什么？意味着AI不仅能读写代码，还能：

自动扫描目标网络的资产和漏洞
自动尝试破解弱密码和利用已知漏洞
自动从财务系统中提取收入数据，计算”合理”的勒索金额
自动生成针对不同行业、不同规模的个性化勒索信
自动编写针对特定EDR产品的内核级驱动程序
自动协调多个攻击阶段的执行时序

举个例子。AI扫描到一个制造企业的FortiClient EMS存在漏洞，自动利用CVE-2026-35616获取管理员权限，然后自动连接到企业的财务系统，读取过去三年的营收数据，计算出”建议勒索金额”为500万美元。接着，AI生成一封勒索信，提到”我们了解到贵公司2025年营收为1.2亿美元，500万美元的赎金对您来说应该是可以承受的”。最后，AI编写一个专门针对该企业使用的CrowdStrike EDR的内核驱动，在加密前自动卸载。

全程不需要人类写一行代码、做一笔计算、写一封信。

人类只做了两件事：

告诉AI”去扫描这个目标”
在AI生成的勒索信上点”发送”

这是工业化的AI网络犯罪。不是实验室里的demo，不是PPT里的概念，是已经在实际运营、已经造成实际损害的犯罪流水线。

三、Phantom Agent v3.1：伪装成Windows Update的后门

SOCRadar的研究人员还披露了Phantom Agent v3.1的技术细节，这是一个部署在受害者端点上的后渗透植入物。

这个植入物有多狡猾？它把自己伪装成一个合法的Windows Update组件。进程名称、文件路径、数字签名，全是模仿微软的。如果你不看代码，根本发现不了它。

技术架构上，Phantom Agent v3.1分为五个阶段：

第一阶段：打包和加载。 使用Nuitka或PyInstaller编译，隐藏Python字节码。运行时，一个编码的加载器读取加密数据块（cache.dat），动态解码到内存执行模块（sync.py），避开磁盘上的静态杀毒签名。

第二阶段：C2网络握手。 Windows代理通过默认端口443发起出站HTTPS连接，连接到攻击者中转服务器上监听的外部端口9443的aiohttp异步HTTP守护进程。

第三阶段：加密信封。 所有通信都用AES-256-CBC加密，加上HMAC-SHA256签名，保护底层JSON载荷不被拦截或篡改。

第四阶段：注册和任务轮询。 代理发出初始注册请求到POST /api/v1/checkin，接收一个唯一的agent_id字符串。然后进入轮询循环，发出GET /api/v1/tasks/agent_id。轮询包含15到45秒的随机抖动，当没有任务排队时，转为45到75分钟的长空闲模式，带指数退避。

第五阶段：任务分发和结果返回。 代理引擎支持15种原生任务执行原语，包括进程执行、文件暂存、凭证提取和内存抓取。任务完成后，结果通过POST /api/v1/results发送回监听器。

这套架构，跟正规安全公司的EDR产品相比，除了目的不同，技术含量毫不逊色。甚至可以说，比很多中小安全公司的产品还要精致。

四、AI网络犯罪的产业化：从”手工作坊”到”平台经济”

Phantom框架的出现，说明AI网络犯罪已经进入了一个新阶段：产业化。

以前的勒索软件，是”手工作坊”模式。几个黑客写一个加密器，找一个目标，手动入侵，手动加密，手动发勒索信。效率低，规模小，容易被追踪。

现在呢？变成了”平台经济”模式。

INC和The Gentlemen不只是自己做勒索，他们还做”基础设施提供商”。Phantom框架就是他们的”产品”。其他勒索组织想搞钱，不需要自己开发AI攻击工具，直接租用Phantom的基础设施就行。

SOCRadar的研究人员发现，Phantom不只是一个攻击工具，它是一个完整的”勒索即服务”（Ransomware-as-a-Service, RaaS）平台。攻击者可以用它扫描目标、入侵系统、部署加密器、生成勒索信、协调赎金支付。整个过程，从扫描到收款，全自动。

这意味着什么？意味着AI网络犯罪的门槛，已经被降到了极致。你不需要懂代码，不需要懂网络，不需要懂加密。你只需要有一个目标，然后告诉Phantom”去搞它”。剩下的，AI全干了。

这是网络犯罪的”平民化”。只不过，这个”平民”是给犯罪分子用的。

五、企业该怎么办？AI时代的防御新思路

面对AI驱动的自动化攻击，传统的防御手段还有用吗？

有用，但不够。

第一，边缘设备是重灾区。 这次攻击针对的是FortiClient EMS、SimpleHelp等边缘和远程访问系统。这些设备通常是企业网络的”第一道门”，一旦失守，攻击者就能长驱直入。企业必须立即排查所有暴露在公网的边缘设备，检查是否存在已知漏洞（如CVE-2026-35616、CVE-2024-57727），及时修补或下线。

第二，特权账号是命门。 攻击者通过AI自动获取了535个特权管理员账户。这说明，很多企业的特权账号管理存在严重问题：弱密码、未启用MFA（多因素认证）、权限过大、未定期轮换。企业必须立即审计所有特权账号，强制启用MFA，实施最小权限原则，定期轮换凭证。

第三，EDR不是万能的。 这次攻击中，AI自动编写内核级驱动来干掉EDR。这说明，传统的EDR产品面对AI驱动的攻击，可能不堪一击。企业需要部署更深层的检测机制，比如行为分析、内存完整性检查、内核监控等，不能只依赖EDR的表面防护。

第四，AI对抗AI。 既然攻击者用AI自动化攻击，防御者也必须用AI自动化防御。传统的人工分析、人工响应，已经跟不上AI的攻击速度。企业需要部署AI驱动的SOC（安全运营中心），实现自动化威胁检测、自动化响应、自动化修复。

第五，零信任是底线。 这次攻击中，攻击者获取管理员权限后，能够在企业内网长驱直入。这说明，很多企业还是”边界防御”思维，一旦边界被突破，内部就是畅通无阻。零信任架构要求”永不信任、始终验证”，即使是内部网络、即使是管理员账号，每次访问都要验证身份和权限。

AI不会停下来。攻击者已经用上了AI，防御者还在用人工，这仗不好打。要么跟上，要么挨打。

更多AI知识，请扫码关注Aiker World社区公众号