导语
生成式 AI 推动攻击自动化、社工精准化与代码生产力跃升，勒索软件组织正加速从“单点打击”转向“供应链放大”。与此同时，企业云化、协同与远程办公常态化，进一步扩大攻击面并提升后渗透横向移动的效率。我们以近阶段多起勒索与渗透事件为锚点，梳理攻防迁移的三条主线：AI 驱动的攻击自动化、协同平台/企业软件的供应链脆弱性、以及“零信任+ASM（攻击面管理）+SBOM”三位一体的防护落地。
今日速读
- 产业媒体披露：SharePoint 等协同平台曝出系列安全事件，出现被勒索组织链式利用的趋势，云端权限与租户边界配置成为高频失陷点。
- 安全研究社区持续跟踪：AI 驱动的勒索组织开始使用大模型生成渗透脚本、鱼叉邮件与对话脚本，运营效率显著提升。
- 行业案例显示：汽车与工业供应链上游部件供应商成为新“重灾区”，第三方库、接口与弱口令设备成为隐患源。
攻击技术趋势
- 生成式攻击流水线化：
- 初始进入：利用 LLM 生成针对性的鱼叉内容（多语种、多角色）、生成恶意宏/脚本（自动规避简单静态规则）。
- 权限提升：自动化检索持久化路径（计划任务、注册表、云函数）、凭据与令牌抓取、横向移动脚本生成。
- 勒索与外传：自动选择加密目标、优先处理价值数据与备份位置；根据目标构建多语种勒索说明与谈判脚本。
- 供应链与协同平台：
- SaaS 与企业协作：文档/项目/知识库平台的 OAuth 应用、外部共享链接与租户混用造成权限边界模糊。
- 插件与生态：第三方插件未审计、SBOM 不完整、签名/发布流程缺乏双人复核，导致“无文件投毒”。
- 工业与车联网：
- 生产网络与办公网络隔离薄弱，VPN 与远程维护口成为突破口；
- 固件与边缘设备弱口令、默认证书与过期 TLS，形成“隐蔽但长期”的入侵面。
防守路线图：三位一体的工程化落地
- 零信任与租户边界：以身份为中心，细化机器身份/服务身份，强制条件式访问（设备姿态、地理位置、风险分）。云端租户策略与跨租户协作必须显式审批与时效绑定。
- ASM + 攻击路径削减：建立“持续盘点—验证—处置”的攻击面管理工作流；将影子资产、临时暴露接口、测试环境纳入同一视图，并通过策略自动化收敛暴露面。
- SBOM 与发布供应链：强制 SBOM（含插件与二方包）、签名与复制控制；对构建链（CI/CD）启用最小权限与密钥分段存储，防“上游投毒”。
- 事件响应与勒索处置：预置“断网—凭据轮换—取证—业务降级—恢复演练”的 SOP，确保 RTO/RPO 有量化与演习结果追踪。
红蓝对抗建议
- 红队：将“生成式自动化链路”纳入评估（prompt 到脚本到社工到横移），模拟使用多语种与多角色；重点覆盖协同/插件生态与租户边界绕过。
- 蓝队：建设“可观察性+安全”融合的 TDIR（检测/调查/响应）平台，连接 IAM、EASM、EDR、NDR 与日志湖；在协同平台侧启用 DLP 与外分享审计。
参考资料
- SharePoint 相关勒索报道（综合） — https://news.google.com/rss/articles/CBMib0FVX3lxTFB5Sl9sY0hiOVJwd3JVZndyV2o0MnpvZWQ2REcxcVNmdzJpU2d1U19UWE1PRWk1UmdMT2VfQXZXTVZqc3VlMDVFeldkVjgyTFZiWm5uaGRiSHc0NXU5N2FLM293S3BZaFp1amlxUEh3NA?oc=5
- AI 驱动的勒索组织（安全内参） — https://news.google.com/rss/articles/CBMiTkFVX3lxTFBtQkhuZ1pJUndlMmd6a0hhazdsWXUwX3RjOElIT09YTGhzalA2aHZyZHNlc3dXaHlBS1NhZ2hnWGt4Vjl1V3diRG9xSHQ0Zw?oc=5
- 汽车供应链安全风险（国际电子商情） — https://news.google.com/rss/articles/CBMiUkFVX3lxTE5mM0U4cUFzR2JqaWVKUk1PTlBzblZxd3JrWDlla1lmX05VUHlXa2U1QVFzVHpVTEdwa21VTnBxUDM4VDBEd2JWdmp2MzdMdWdzVnc?oc=5
