《微软2026数字防御报告》解析：AI攻击提速

微软《数字防御报告 2026》同时讨论两类变化。攻击者利用 AI 加快既有攻击流程，AI 系统本身也逐渐成为攻击目标。报告统计 2025 年 7 月至 2026 年 6 月的初始访问路径（攻击者进入目标环境的第一步），用户执行、有效账户、社会工程和钓鱼四类方式合计占 73.3%。

73.3% 统计攻击者进入目标环境时采用的路径，微软没有按生成式 AI 的参与情况拆分。入口数据与 AI 使用案例需要分开理解。报告显示，AI 正在改变攻击速度与自动化程度，账号、用户操作和权限管理仍是防守重点。

统计范围

报告覆盖 2025 年 7 月至 2026 年 6 月。微软称其每天处理超过 165 万亿条安全信号。这个数字反映微软安全产品和威胁情报的观测规模，并非每日攻击数或全球企业的完整统计。其覆盖的用户、终端和云环境会影响能够观测到的活动。

报告摘要将用户执行、有效账户、社会工程和钓鱼四类初始访问方式合计为 73.3%。另一篇 Microsoft Security Insider 解读引用 Microsoft Defender Experts 团队数据，单列用户执行占 30%、有效账户占 20%。两组统计来源和表述不同，图中分开展示，不据单项比例推算 73.3% 的剩余构成。两组数据都描述常见入口，未标注 AI 是否参与。

用户执行通常涉及诱使用户打开内容、运行命令或完成某项操作；有效账户则指攻击者使用可登录服务的账号。两种路径对应不同控制点，用户执行涉及邮件、终端和操作流程，账户滥用涉及认证、会话和权限。

初始访问指标只描述攻击者如何进入，不能直接说明后续能访问哪些资源。使用有效账户的攻击者可能只有普通用户权限，也可能获得高权限身份；横向移动、数据访问和响应速度都会改变事件后果。73.3%反映微软观察到的尝试构成，无法推算受害企业数量。

报告还给出两项过去一年的检测数据：超过 4,600 万次商业邮件冒充攻击，以及超过 1.45 亿次二维码钓鱼攻击。后一个数字来自 Microsoft Defender for Office 365，统计窗口为 2025 年 7 月至 2026 年 6 月。

这两项数据来自不同类别的检测，应分开呈现。安全系统识别到一次攻击活动，不等于攻击者已经入侵成功。微软未披露其中由 AI 生成的比例，因此二者合计不能称作“AI 发起了 1.9 亿次攻击”。

报告还提到，2026 年 2 月至 5 月初，超过 110 万台独立设备执行了 ClickFix 式攻击者命令。这类手法诱使用户复制、粘贴并运行攻击者提供的指令；相关活动规模约增至原来的八倍。微软未量化 AI 对这组增长的贡献。用户执行仍是初始访问中需要单独管理的路径。

这些数字回答不同问题。73.3%反映入口分类，邮件与二维码数字反映检测量，ClickFix 数字反映执行范围。它们来自微软安全产品遥测和威胁情报观察，受产品覆盖与检测规则影响，无法换算为受害企业数或全球攻击总量。微软也没有提供足以区分攻击活动变化和检测能力变化的数据。

历史脉络

微软与 OpenAI 在 2024 年 2 月披露，五个受监测的威胁组织曾尝试利用 AI 服务辅助既有网络活动。公开材料提到的用途包括资料搜集、翻译、内容生成和代码辅助。相关案例显示 AI 已进入攻击者的辅助工作，未显示模型独立完成从目标选择到系统入侵的完整流程。

微软 2025 年数字防御报告进一步给出 AI 钓鱼的比较性结论，称 AI 驱动的钓鱼行动比传统行动“有效约 3 倍”。同一份报告对事件响应案例的回顾显示，28% 的初始访问涉及钓鱼或社会工程，18% 来自未修补的互联网资产，12% 利用了暴露的远程服务。

28%、18% 和 12% 来自微软事件响应案例，描述案例中的初始访问方式；“约 3 倍”是报告对 AI 钓鱼效果的比较性判断。网页摘要没有说明参与比较的邮件样本和成功标准，也未定义“有效”指点击、提交凭证还是入侵成功。因此，这个数字应按微软的比较性结论理解，不能换算成每封 AI 钓鱼邮件的成功率。

2026 年 3 月，微软威胁情报团队描述了 AI 在更多攻击环节中的用途，包括起草钓鱼内容、翻译文本、整理窃取的数据，以及生成或调试恶意代码。2026 年报告还将 AI 系统本身列为受攻面，涉及输入、模型数据和权重、服务基础设施、用户数据及生成结果。

2026 年报告对自主化的判断比早期披露更进一步。微软称，过去半年观察到的活动正从 AI 辅助人工操作，转向由 AI 指挥部分攻击活动，并朝自主执行发展；威胁情报团队也报告现实环境中出现 AI 编排活动。报告还提到，前沿系统在受控评测中曾串联 32 个攻击阶段。这个数字反映系统在测试环境中的能力。微软同时指出，大多数复杂现实入侵仍由人类进行实质性指挥。

AI 在攻击中承担的角色有层次。辅助阶段，模型替人起草内容或分析信息；指挥阶段，模型根据前一步结果选择下一项行动。自主执行要求系统在少量或无人监督下推进多阶段任务。报告所说的 AI 编排，是把若干任务按步骤衔接起来。微软描述了这类能力变化，但未公布真实攻击中各阶段的占比。

微软公开材料用了多种观察方法。2024 年记录 AI 用于既有活动的情况；2025 年比较钓鱼效果，并回顾事件响应入口；2026 年结合威胁情报观察、受控评测和安全产品遥测。统计对象不同，无法据此计算 AI 攻击的年增长率。

归因要靠独立证据。措辞流畅的邮件无法单独证明由 AI 生成，钓鱼告警也不能证明攻击者调用了模型。事件记录可区分“疑似 AI 生成”和“确认模型参与”，保留邮件来源、账号登录记录、令牌使用和工具调用日志，再与后续数据访问关联。这样才能判断 AI 参与了哪些环节，并评估事件造成的影响。

提效机制

微软披露的 AI 用途，大多落在攻击流程中耗时、重复、依赖文字处理的工作。它们缩短了准备时间，也让攻击者更容易针对不同对象调整内容。

模型可以处理部分文字和数据工作。攻击者仍需设定目标、筛选结果、决定下一步行动，并取得相应凭证与权限。微软公开的案例记录了具体任务，没有统计这些任务组成无人值守流程的比例。

• 情报整理： 模型可以归纳公开资料、翻译文本和整理目标背景，减少跨语言和筛选信息所需的时间。目标的非公开资料仍需从其他渠道取得。
• 社会工程内容： 模型能够生成语句通顺的邮件或消息，再按对象、语言和场景改写。仅靠拼写错误和生硬译文识别诱饵的能力会下降，防守还要核验发件人、链接去向和后续登录行为。
• 技术辅助： 微软威胁情报人员报告过攻击者用 AI 生成或调试恶意代码。公开案例支持 AI 辅助编写和修改代码的判断，没有显示攻击者普遍让 AI 独立发现新漏洞、绕过防护并完成入侵。
• 数据处理： 攻击者取得数据后，可以用模型分类、摘要或提取重点，缩短从窃取到使用数据的处理时间。微软没有提供这类活动的普遍发生率，也未量化 AI 对实际损失的贡献。

这几类用法影响攻击流程的环节不同。文案生成影响准备时间，代码辅助影响技术任务，数据归纳影响失窃后的筛选速度。微软没有公布 AI 使用程度与入侵成功、数据损失之间的对应关系。评估 AI 的影响，需要分别观察任务耗时、初始访问结果、实际权限和事件损失。

常见攻击链从诱饵制作开始。AI 协助撰写内容后，用户可能点击、扫码或提交凭证，攻击者再利用账号或会话访问业务资源。微软报告的初始访问数据仍指向用户决策和权限控制这两个环节。

漏洞修复时差

微软报告分别统计了漏洞发现至武器化的速度和企业修复所需时间。微软称 2026 年上半年公开披露的 CVE（漏洞编号）接近 4 万个，按当时速度推算，全年数量可能接近上一年的两倍。这个数字反映公开披露数量；漏洞是否可利用，还取决于受影响系统的暴露情况和防护状态。报告将 AI 列为加快漏洞发现与攻击链压缩的因素之一。

在微软的观察中，从漏洞在野外被发现到被武器化（形成可用于攻击的利用手段）的中位时间已低于 24 小时；企业修复严重的外网漏洞则需要 30 至 60 天。两项数字描述不同环节，也不是对同一批漏洞做的配对测量。这个时间差压缩了防守窗口，攻击工具化可能早于补丁部署。组织应先识别外网暴露资产和在野利用漏洞，再安排修复优先级。

修复排序应结合资产暴露范围、在野利用证据和业务影响。暂时无法修补的系统，可以先限制网络访问或增加监测，缩短暴露窗口。

AI 系统风险

报告把 AI 系统列为新的威胁面，涉及模型运行前、运行中和输出后的多个环节。清单说明这些组件需要进入安全设计，并不代表每项都已有大规模入侵案例。

输入环节会接收用户提示、上传文档和外部数据。模型回答时检索的资料可能有误或遭到篡改。模型权重（决定模型行为的参数文件）和部署包需要限制修改权限。推理服务（接收请求并返回模型结果）依赖调用凭证、云账户和计算资源；用户数据与生成结果也要设置访问范围和保存期限。

检索数据遭到篡改时，模型可能给出受误导的回答；未经授权修改模型文件或部署包，也会改变模型输出。服务凭证泄露后，攻击者可能冒用接口。以上是基于系统组件的风险分析，微软报告没有把它们作为同类真实事件统计。

模型接入邮箱、代码库或云端工具后，工具调用权限也成为新的控制边界。权限过大的令牌或缺少审批的流程，可能让输入操纵触及实际数据和服务。风险取决于应用设计，评估时需要检查模型调用和授权逻辑。

提示词过滤只覆盖输入层。模型仓库、检索数据、推理凭证、工具连接器和日志都应纳入资产与访问管理。报告列出的是风险面，不能与已发生事件混为一谈。

趋势判断

以下趋势分级依据微软报告和公开材料，微软没有发布相同的预测。

钓鱼与社会工程更容易规模化｜高置信。 微软近年报告仍将钓鱼与社会工程列为常见入口，2025 年报告也比较了 AI 钓鱼效果。多语言、按对象调整的诱饵会更容易批量制作；各组织的实际受骗率仍取决于身份防护和用户流程。

漏洞利用窗口继续缩短｜高置信。 报告给出的在野发现至武器化中位时间低于 24 小时，而企业修复严重外网漏洞需要 30 至 60 天。微软将 AI 列为加速因素之一，但没有标记每次漏洞利用是否使用 AI。

智能体与机器身份成为防守重点｜中高置信。 企业智能体（AI Agent）、服务账户和自动化工作流可能需要读取邮箱、代码库、云平台或内部数据。每个账号、令牌和工具授权都可能扩大可调用范围。微软报告没有统计智能体身份被攻击的数量，因此这是基于身份依赖和自动化部署趋势的判断。

模型与服务供应链进入常规检查｜中高置信。 报告已将模型数据、权重和服务基础设施列为受攻面。企业采购模型或部署推理服务时，应检查数据权限、服务凭证和连接器的变更记录。实际攻击规模仍需后续事件数据验证。

现实环境出现 AI 编排活动｜中置信。 微软报告称现实环境中已出现 AI 编排活动，也记录了受控评测中串联 32 个攻击阶段的案例。报告没有给出实地活动发生率；受控评测与现实入侵属于不同证据。微软同时指出，大多数复杂现实入侵仍有人类进行实质性指挥。公开材料支持“已经出现”，其普及程度仍需更多数据。

防守重点

报告中的初始访问数据指向明确的防守次序。先减少账号与钓鱼风险，再管理 AI 系统及其自动化权限。

邮件防护应核验发件人和链接，并监测异常登录。高风险业务可采用抗钓鱼多因素认证；转账或权限变更还需通过独立渠道确认。这类认证降低攻击者窃取密码后直接复用的风险。二维码和邮件附件的检测量也说明，这些传统渠道仍需要防护资源。

企业应为智能体和服务账户建立身份清单，记录各自可访问的数据、可调用的工具和持有的令牌。智能体使用独立身份，不复用员工的个人登录状态。读取与写入、查询与执行应分开授权；凭证设置合理有效期，权限按任务最小化。转账、删改数据、调整访问权限等高影响操作应要求人工确认。任务结束后撤销临时令牌，并保留可追溯工具调用和数据访问的日志。

AI 系统应纳入既有的软件供应链和云安全管理。模型权重、检索数据和连接器都要明确责任人并保留变更记录。推理服务凭证应与个人账号分开管理。企业需要分别约束外部输入、模型输出和工具调用权限，提示词过滤不能覆盖这些环节。上线前可用模拟任务检查模型能否访问未授权数据或调用未授权工具；新增连接器后，重新核验授权并检查日志。

组织可以把安全指标从补丁数量和告警数量扩展到处置时间与权限复核。记录关键外网资产从发现到隔离所需时长，再追踪异常会话的撤销速度和智能体权限的复核覆盖率。微软报告没有公布这些指标，组织可以用它们检验自身响应能力。

报告显示，AI 已进入攻击者的准备、沟通、代码和数据处理，身份与权限仍是常见落点。企业部署 AI 后，还需管理新增的模型资产和机器身份。尚未梳理智能体权限的组织，可以先盘点其身份和可调用工具，再核查相应的数据访问范围。

参考

• Microsoft：Microsoft Digital Defense Report 2026（2026-10）
• Microsoft Security Insider：2026 Digital Defense Report（2026-10）
• Microsoft：Microsoft Digital Defense Report 2025（2025-10）
• Microsoft Security Blog：AI as tradecraft（2026-03-06）
• Microsoft Security Blog：Staying ahead of threat actors in the age of AI（2024-02-14）