AI 蠕蟲解析：自適應惡意軟體威脅

什麼是 AI 蠕蟲？

AI 蠕蟲是一種會自我傳播的惡意軟體類型旨在利用大型語言模型及其自動化流程。此惡意軟體的運作方式不同於傳統病毒：AI 蠕蟲不會投放可執行檔，而是注入可自我複製的提示，劫持 AI 系統的輸出，迫使每一次回應、摘要或 API 呼叫都將感染持續傳播。作為首個針對 GenAI 生態系統設計的蠕蟲，Morris II 概念驗證展示了單一封遭污染的電子郵件如何在無需任何使用者互動的情況下，使助理跨多個 AI 平台讀取、竊取並重新傳送機密訊息。

為聊天機器人提供支援的 LLM API、搜尋內部知識庫的 retrieval-augmented-generation 流程管線、處理電子郵件的 SaaS 外掛程式，以及排程任務的自主 AI 代理程式，全都成為現成的傳播通道。一旦進入其中，威脅便會透過共用的嵌入儲存區或 API 呼叫在模型之間跳轉，重寫自身提示以符合各種情境，並規避特徵碼防禦。

這類攻擊的零點擊特性意味著，您可能永遠不會看到常見的警示跡象。當您的 AI 基礎架構持續擴展時，了解此類威脅如何在互連系統中移動就變得至關重要。

歷史根源：從 Morris Worm (1988) 到 Morris II (2024)

最初的 Morris Worm 由 Cornell 研究生 Robert Tappan Morris 於 1988 年釋出，成為第一個因在早期網際網路上傳播而受到廣泛關注的蠕蟲。有時它會被錯誤地稱為 morris virus；它利用 Unix 系統中的弱點，特別是 sendmail 和 finger 服務中的弱點，透過猜測密碼與利用緩衝區溢位在網路間傳播。雖然其原意是作為用於衡量網際網路規模的概念驗證，但該蠕蟲具侵略性的複製邏輯導致數千個系統當機，實際上使當時約 10% 連上網際網路的機器癱瘓。

時間快轉到 2024 年，Cornell Tech 與 Technion Institute 的研究人員將其 GenAI 概念驗證命名為「Morris II」，直接向原始蠕蟲致敬。它不是利用作業系統漏洞，Morris II 鎖定的是新型基礎架構，也就是互連 AI 代理程式的環境。它展示了對抗性提示如何劫持電子郵件助理，迫使其外洩資料，並在 ChatGPT、Gemini 和 LLaVA 平台上將受感染訊息重新傳送給新的受害者。兩者的相似之處很明顯：這兩種蠕蟲都利用了各自時代最具變革性的技術網路，揭露出未能跟上創新的基本安全假設。

這種從利用網路通訊協定到利用自然語言處理的演變，顯示出攻擊面會隨著技術進步而轉移。Morris 鎖定的是程式碼中的技術性漏洞，而 Morris II 則利用使 LLM 實用的語意理解，證明無論底層載體為何，相同的自我複製原理都適用。

AI 蠕蟲對網路安全的影響

AI 蠕蟲可即時適應網路安全戰術，並繞過傳統特徵碼式解決方案所建立的防禦。它們利用機器學習來自我複製惡意軟體，並動態調整其攻擊策略。 

一個經典例子是 Morris II AI 蠕蟲，其開發目的是利用 gen AI 服務。最終它擴散並竊取了資料。

AI 蠕蟲的主要影響包括：

• AI 蠕蟲可透過結合多型與變形技術來進行進階規避。它們會持續改變其程式碼與行為，以避免被傳統防毒解決方案偵測到。
• 它們可以快速掃描網路、自動利用程序，並對系統發動高度精準的定向攻擊。其精確度與準確性可能超越人類能力。 
• AI 蠕蟲可以製作高度個人化且極具說服力的電子郵件、深偽，以及其他欺騙性內容來誘騙受害者並散播感染。它們也可以透過對抗性自我複製提示操控組織使用的其他 gen AI 工具，以誤導或欺騙系統。
• AI 蠕蟲可擴大攻擊面並危害關鍵基礎設施，例如電網、金融網路和內部流程。它們可能影響業務持續性，並對供應鏈營運造成負面影響。

AI 蠕蟲如何運作？

AI 蠕蟲透過以下關鍵機制運作：

• 對抗性自我複製提示 - 這些是會入侵AI 模型並透過操控它們來使其產生惡意程式碼的特殊提示。常見類型包括提示汙染、零點擊傳播和提示複製。如果應用程式使用 Retrieval Augmented Generation (RAG) 技術，這些惡意提示就會被儲存在 AI 資料庫中。
• 規避與適應 - AI 蠕蟲可以分析網路活動、系統資源和安全工具。它們能識別模式並學習規避偵測的戰術。AI 蠕蟲可以嘗試不同的攻擊路徑，並持續改變其結構與行為，即時產生新的特徵碼。
• 定向社交工程 - 談到定向社交工程時，AI 蠕蟲可以建立逼真的音訊與視訊深偽內容來冒充個人。它們也可以同時管理並協調跨多個通訊管道的攻擊。自動化魚叉式網路釣魚也可由它們執行。
• 自動化利用 - 自動化利用是 AI 蠕蟲運作的另一種方式。它們會快速尋找並利用漏洞，並部署新發現的利用手法。系統遭感染後，AI 蠕蟲可自動投遞酬載、外洩資料、部署勒索軟體，甚至散播垃圾訊息。

AI 蠕蟲如何傳播

在您能防禦 AI 蠕蟲之前，必須先了解讓它繞過傳統控制並在您的環境中擴散的四種機制。這些傳播方法使 AI 蠕蟲惡意軟體有別於依賴檔案執行或網路漏洞的傳統威脅。

• 對抗性自我複製提示注入會迫使 AI 系統外洩資料，並將自身複製到每一則外寄訊息中。在 Cornell Tech 的概念驗證中，單一精心設計的提示就讓電子郵件助理竊取收件匣內容，並對任何會解析回覆的大型語言模型重複此循環。這個單一向量會將您的 AI 助理從生產力工具轉變為自動化的資料外洩引擎，全天候運作。
• 模型對模型傳輸會透過共用 API、向量資料庫和嵌入儲存區發生。當多個代理程式使用相同的 retrieval-augmented generation 來源時，注入到某個收集點的酬載會立即成為所有人的問題，讓您的知識庫變成散布樞紐。
• 外部工具利用 發生於遭入侵的 LLM 呼叫 shell 命令、SaaS 外掛程式或無伺服器函數時。每次呼叫都會繼承對抗性指令，使其能直接存取 端點 與雲端服務，並可在其中擷取機密、啟動惡意工作負載，或進行橫向移動。控制您 AI 工具存取權的蠕蟲，實際上等同於掌控該 AI 可觸及的每個系統，使攻擊面呈指數級擴大。

• AI 產生的魚叉式網路釣魚 完成感染循環。透過探勘公開與內部資料，AI 驅動的惡意軟體可製作高度個人化的誘餌、大規模投遞，並反覆調整措辭直到點擊率飆升。每個步驟都已自動化，因此威脅擴散的速度比安全團隊分流警示的速度更快。

這些機制會利用支撐現代工作流程的持續運作代理對代理通訊，使 AI 蠕蟲同時具備網路威脅的擴散能力與邏輯炸彈的隱匿性。

社交工程如何助長 AI 蠕蟲傳播

網路釣魚本來就已經很有效。現在想像一下，電子郵件、語音訊息或影片 deepfakes 是由研究過您的寫作風格、行事曆與近期工單的 LLM 所產生。關於 Morris II 的研究 顯示，遭感染的代理可分析目標偏好、即時調整語氣，並在每則回覆中嵌入新的自我複製提示。

由於內容感覺像是人類撰寫且具備情境感知能力，基於靜態特徵碼的過濾機制會放行，而收件者也會本能地信任它。接著，威脅會藉由這些回應回流至企業聊天機器人、工單助理或 CRM 自動化流程，在不需任何惡意附件的情況下擴大影響範圍。

您面對的是一種對手：能在數秒內擬出完美誘餌、以機器速度投遞，並在您微調規則集的瞬間轉換策略：由您自身 AI 堆疊驅動的大規模社交工程。為了防禦這種新威脅，除了傳播方式之外，了解 AI 蠕蟲與傳統蠕蟲有何不同也很重要。

關鍵特性：AI 蠕蟲 vs. 傳統蠕蟲

您可能過去已與經典網路威脅交手過，但 AI 驅動的變體會透過即時演化進一步提高風險。新興對手很快就可能將自我複製惡意軟體的能力與提示工程及 生成式 AI 的 自動化結合，賦予其自適應優勢。

此表格凸顯了為何熟悉的修補與掃描作業手冊已不再足夠。當威脅能因應您的防禦而重寫自身時，您需要能監看偏差並自主回應的行為式 AI。

預防策略

在 AI 蠕蟲進入您的環境之前加以阻止，需要能同時處理基礎架構與人員因素的主動式安全措施。預防策略會建立多重屏障，讓攻擊者必須逐一突破，從而大幅降低您的攻擊面。

1. 實施嚴格的 API 驗證與速率限制

對所有 API 存取強制執行 多重要素驗證，並對模型查詢設定嚴格的速率限制。將 API 金鑰限制於特定 IP 範圍與服務。監控權杖耗用模式，以標示使用量突然激增的帳戶，這是自動化利用的常見指標。這些控制措施會迫使攻擊者緩慢且明顯地行動，讓您的安全團隊有時間介入。

2. 維持分段的 AI 環境

以嚴格的網路邊界隔離開發、預備與正式環境的 AI 系統。絕不可允許面向客戶的聊天機器人與內部知識儲存庫直接通訊。針對不同風險等級使用獨立的嵌入儲存區。分段可確保遭入侵的公開展示環境無法觸及您的專有訓練資料或正式工作流程。

3. 定期進行安全意識訓練

訓練員工辨識 AI 產生的 網路釣魚 攻擊，尤其是那些模仿內部溝通風格或提及近期工作的內容。使用 AI 產生的內容執行模擬攻擊，以測試回應程序。隨著威脅技術演進，每季更新訓練內容。對於繞過技術控制的社交工程攻擊，人員警覺性仍是您的第一道防線。

4. 部署輸入驗證與內容過濾

在所有提示到達您的 LLM 之前，先移除特殊字元、系統命令和嵌入式指令，對其進行淨化。在執行任何工具呼叫之前，根據可接受動作的允許清單驗證輸出。拒絕嘗試覆寫系統指令或存取受限資料的提示。這些過濾器會在攝取時攔截惡意酬載，從源頭防止感染。

5. 為 AI 系統建立零信任架構

要求每一次 AI 對 AI 的互動和工具調用都必須經過明確授權。切勿僅根據初始驗證授予廣泛權限。記錄每一次 API 呼叫的完整上下文，以保留稽核軌跡。在工作階段到期後自動撤銷存取權限。 零信任 原則可確保即使攻擊者入侵了一個元件，也無法在不觸發多重授權失敗的情況下進行橫向移動。

當預防措施與下方概述的偵測策略分層搭配時，效果最佳。雖然這些措施可大幅降低風險，但沒有任何單一方法能對適應性 AI 威脅提供完整防護。

防禦策略

阻止 AI 蠕蟲需要分層方法，同時處理對抗性提示以及其所利用的自動化工作流程。

1. 輸入淨化與輸出驗證

在提示到達您的 LLM 之前，先移除其中的對抗性指令。根據可封鎖嵌入式命令、可疑 API 呼叫或資料外洩企圖的政策，驗證每一個回應。這會建立一道檢查點，在惡意酬載擴散之前將其攔截。

2. 模型隔離與 API 分段

分隔您的 AI 代理，使遭入侵的聊天機器人無法存取您的知識庫或雲端服務。對每個 API 金鑰和服務帳戶使用最小權限的 存取控制。如果某個模型失守，隔離可限制爆炸半徑。

3. 行為異常監控

留意異常模式：代理請求其從未需要過的 API 範圍、權杖使用量激增，或對外電子郵件突然暴增。行為 AI 會在人工分析師察覺之前很久就標記這些偏差。

4. 具備行為 AI 的自主 EDR/XDR

AI 驅動的 威脅會即時改寫自身，使僅依賴特徵碼的工具毫無用處。像是 SentinelOne's Singularity 這類平台會使用靜態與行為 AI 來標記異常的代理間通訊或突然發生的憑證蒐集行為。

5. 每季桌上演練與 Runbook 更新

這些威脅會在幾秒內擴散；您的回應手冊不能耗費數小時。模擬感染、演練遏制步驟，並每季更新 Runbook。

行為 AI 是共同主軸：它會監看可揭露自動化擴散的偏差，遠早於人工分析師察覺之前。 Singularity's AI SIEM 將這種可視性延伸至端點、雲端工作負載和身分，並整合於單一主控台中。

事件回應工作流程

面對活躍中的 AI 威脅時，速度就是一切。以下是您的必要回應工作流程：

• 識別並隔離受感染的模型或外掛程式
• 在幾秒內透過網路隔離遏制受影響的端點
• 從乾淨的快照回復或重新訓練遭入侵的模型
• 輪替該代理可能接觸到的所有密鑰、API 金鑰和 OAuth 權杖
• 稽核記錄中的 橫向移動，並撤銷任何可疑的權限變更

AI 驅動的威脅能在您讀完警示所需的時間內於代理之間跳躍。經過演練的工作流程可將恐慌轉化為程序，並為您爭取切斷感染鏈所需的關鍵幾分鐘。當您考量到仍有許多組織對 AI 安全抱持過時假設時，理解這些防禦措施就顯得更加重要。

常見錯誤與迷思

即使是經驗豐富的防禦者，仍執著於一些關於 AI 威脅的迷思，而這些迷思可能讓您暴露於危險之中。讓我們釐清這些觀念。

"AI 驅動的威脅仍只是科幻情節。"

雖然今日的電腦病毒新聞仍高度聚焦於勒索軟體和傳統惡意軟體，但 Morris II 概念驗證已在即時研究展示中竊取電子郵件、對新受害者發送垃圾訊息，並重新感染 ChatGPT、Gemini 和 LLaVA，以及即時進行零點擊傳播。這些展示讓威脅在今天而非明天變得具體可見。

如果您的安全策略假設 AI 威脅仍屬假設性風險，那麼您的環境將對整整一類攻擊處於未監控狀態。先盤點您基礎架構中的每個 AI 系統，從內部聊天機器人到第三方 API。立即在這些系統上實施行為監控，並建立基準使用模式。透過專門聚焦於 AI 攻擊情境的桌上演練，測試您的事件回應團隊隔離遭入侵模型的能力。

"傳統 AV 已經足夠。"

傳統防毒軟體會尋找靜態檔案特徵碼；AI 威脅則隱藏在自然語言提示中並即時調整，這種行為能避開特徵碼引擎，甚至連 polymorphic-malware 啟發式偵測也難以發現。AI 病毒可在每次感染之間改寫自身，使傳統模式比對失效。

若僅依賴基於特徵碼的偵測，您將直到 AI 蠕蟲已在代理基礎架構中擴散後才會發現它。升級為 由行為 AI 驅動的 XDR，以監控異常的 API 呼叫、不尋常的權杖消耗，以及可疑的代理間通訊模式。稽核您目前的安全堆疊以找出 AI 系統可視性的缺口，然後實施可在惡意動作執行前捕捉提示注入企圖和對抗性輸出模式的監控。

"只有 AI 供應商才有風險。"

任何嵌入大型語言模型的組織都會創造新的進入點。想想 RAG 知識庫、SaaS 外掛程式或內部聊天機器人。遭感染的 wiki 頁面或 API 請求可能會將威脅傳播到您的整個工作流程堆疊。

認為 AI 威脅只會影響 AI 公司的誤解，讓大多數組織無法看見其實際曝險。如果您使用 ChatGPT 整合、具備 LLM 功能的 Slack 機器人，或自動化電子郵件助理，您其實已經在運行 AI 基礎架構。請盤點組織中使用生成式 AI 的每一個實例，包括 影子 IT 部署，這些部署可能是資安團隊尚未掌握的。請對這些系統實施存取控制與監控，就像對待任何其他關鍵基礎架構元件一樣。在資料外洩迫使您發現 AI 已多麼深入整合到您的營運中之前，不要等到那一刻才採取行動。

破除這些迷思有助於您理解，為何熟悉的作戰手冊已不再足夠。

AI 蠕蟲範例

Morris II 是 2024 年建立的第一個 gen AI 蠕蟲。它展示了 AI 系統的安全風險，並利用了 Retrieval Augmented Generation (RAG) 元件中的弱點。Morris II 曾散播錯誤資訊、從 gen AI 應用程式中竊取資料，並將惡意軟體散布給其他 AI 代理。

資安研究人員也成功讓 Lenovo 的 AI 聊天機器人 Lena 洩露敏感資訊並執行惡意程式碼。Lena 的輸出會持續保留在對話歷史中，而且一旦遭到感染，它也會協助產生惡意 HTML 和酬載。

接著，我們還有 AI 賦能惡意軟體的案例，雖然它們不是真正的 AI 蠕蟲，但已相當接近。Stuxnet、WannaCry 以及其他 AI 生成惡意軟體變種不需要人工介入。它們可以建立多型性惡意軟體、規避偵測，並利用 AI 自主掃描脆弱目標，快速在網路中傳播。

使用 SentinelOne 阻止 AI 蠕蟲

您需要能像其對抗的惡意軟體一樣快速思考與行動的防禦。SentinelOne 的 Singularity™ Platform 將自主預防、調查與修復整合到單一主控台中，利用行為式 AI 偵測快速橫向移動、零點擊傳播，以及由提示驅動的異常行為，這些都是 AI 蠕蟲的訊號。當可疑鏈出現時，平台會隔離端點、回復惡意變更，並在人工分析師甚至尚未建立工單之前，即時阻止進一步傳播。

Purple AI 是全球最先進的 gen AI cybersecurity 分析師；它讓新手與經驗豐富的應變人員都能以自然語言查詢取代複雜查詢語言，更快速地調查威脅。它可執行自主威脅狩獵、將您的問題轉換為進階查詢，並根據情境式威脅情報建議下一步調查行動。調查筆記本讓團隊能在複雜案件上協作，而自動摘要則可加快回應時間。SentinelOne 相較於傳統系統還可提供 88% fewer alerts，減少誤報數量，同時維持對端點、雲端工作負載與身分的完整可視性。 

Prompt Security 也能協助您防禦新興 AI 威脅，包括提示注入、模型投毒、denial-of-wallet 與阻斷服務攻擊，同時封鎖未經授權或影子 AI 的使用。其內容審核與匿名化控制可在使用 AI 模型與工具時防止敏感資料外洩，並阻止未經授權的 agentic AI 行動，讓使用者免受有害 LLM 輸出的影響。 

由 SentinelOne 提供支援的 Prompt Security 可對 AI 代理套用防護措施，以確保大規模的安全自動化。您也擁有 SentinelOne's AI Security Posture Management，可協助您探索 AI 管線與模型。它可以對 AI 服務設定檢查。您也可以運用 Verified Exploit Paths™ 於 AI 服務。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

AI 蠕蟲會透過對抗性提示利用 LLM 弱點，並在無需使用者互動的情況下透過代理對代理通訊傳播。這些威脅會即時調適，繞過基於特徵碼的防禦。請以監控異常、輸入淨化、API 分段，以及自主 XDR 的行為式 AI 來阻止它們。傳統工具無法跟上會自我改寫的惡意軟體。

這些攻擊的零點擊特性意味著感染會在數秒內而非數小時內擴散，在資安團隊甚至收到警示之前，就已透過 RAG 管線、SaaS 外掛程式和共用嵌入儲存庫傳播。預防需要嚴格的 API 驗證、分隔的 AI 環境，以及定期的安全訓練，以對抗 AI 生成的社交工程。雖然 AI 蠕蟲目前大多仍停留在研究環境中，但組織現在就應準備事件回應作戰手冊，並每季進行桌上推演演練，而不是等到首次正式環境遭入侵後才行動。