AI增强型窃密木马防御检测教程

一、教程目标

近年出现的一类窃密木马，与传统木马相比多出了一个环节。它在终端上完成数据窃取后，不会立即把数据交给攻击者，而是先把受害者的个人信息整理成结构化报告，再调用外部大模型服务进行分析。分析内容包括各类账户、凭据和加密资产可以如何变现，按价值排序并分级，以及评估受害者的账号安全习惯。这类木马把大模型调用写进了攻击流程，相当于让攻击者在不直接接触数据的情况下，先完成一轮”目标估值”。

本教程要帮助读者完成一个完整的防御工程实践：在自有环境中，建立一套能够发现、阻断并处置此类”大模型增强型窃密木马”的防护体系。 读完并完成实践后，你将能够：

1. 准确说清这类木马与传统窃密木马的关键差异，以及每一阶段在终端和网络上的可观测特征；
2. 梳理出本机构中风险最高的”高价值数据源”清单；
3. 在终端侧配置进程行为检测规则，在网络侧建立外部模型服务出口管控，并完成提示词与输出的审计能力建设；
4. 制定分级响应的应急处置流程，重点解决”账号会话已被窃取后如何安全止损”的问题；
5. 通过验证与排查方法，确认规则真实有效，而不是”配置了但从未触发过”。

二、适用读者与场景

本教程适合以下读者：

• 安全运营与威胁检测工程师：需要为检测平台补充规则、降低误报，并提升事件研判效率；
• 运维与终端管理人员：负责终端基线、备份工具、脚本与命令行工具的权限管理；
• 数据安全与合规人员：评估个人信息、支付信息、凭据类数据向外流动的合规风险；
• 研发技术负责人：研发与运维终端往往集中存放代码仓库凭据、云服务访问密钥和远程登录密钥，一旦失陷，攻击面会迅速扩大到生产系统；
• 中小企业与独立开发者：开发机通常同时存有多个平台的登录态与密钥，同样值得按本教程的思路做一次自查。

典型适用场景包括：办公终端与远程接入设备的持续监控、研发与运维终端的凭据保护、统一身份与会话管理、云上访问密钥治理，以及企业自建大模型应用的上游数据安全检查。此外，企业在使用百度智能云等云平台时，同样涉及密钥与会话安全。建议结合云平台的访问控制、身份认证、日志服务、监控告警等通用云产品能力，把终端侧规则与云上审计统一联动起来，形成闭环。

三、前置准备

在动手之前，建议先确认以下几项条件。

3.1 环境与数据

类别	具体要求	作用
终端检测与响应能力	具备进程创建、文件访问、网络连接等事件采集能力，并支持下发自定义检测规则	落地步骤2的终端行为规则
日志平台	能集中汇聚终端日志、DNS解析日志、出口代理或防火墙日志，支持结构化检索	跨终端与网络的关联分析
网络出口管控能力	出口防火墙、安全代理或应用网关支持按域名、应用和请求体特征做策略	落地步骤3的出口管控
身份与会话管理能力	支持查询、吊销指定用户或终端的全部活动会话，并批量轮换密钥	落地步骤5的应急处置
资产清单	记录各终端的用途（办公、运维、开发、财务等）以及其上安装的软件	步骤1的数据梳理

3.2 基础知识与权限

• 了解进程创建、文件访问、网络连接等操作系统事件的产生机制，以及常见日志字段（进程名、命令行、父进程、目的地址、请求头等）的含义；
• 了解常见窃密目标的位置：浏览器的密码与 Cookie 数据库、邮件与即时通信客户端的本地数据、命令行工具的配置与凭据文件、无线上网配置等；
• 了解大模型接口的一般调用方式：基于 HTTP 的请求与响应、API 密钥认证、模型名称、采样参数、按输入输出计费等。不同服务商的具体参数名称可能不同，以官方文档为准；
• 具备终端策略下发、网络策略变更、日志查询、账号与密钥管理所需的权限。

3.3 实施边界

本教程面向防守方建设。文中不包含任何恶意样本获取、分析或运行的方法，所有代码均为检测、审计或防御用途的通用示例。

四、攻击链剖析：这类木马与传统木马有何不同

动手配置之前，有必要先理解攻击链的完整结构。只有知道每一步会产生什么”动静”，才能有针对性地设计检测点。

4.1 攻击链五个阶段

[1] 数据收集  → 浏览器凭据、聊天与邮件客户端数据、支付与外卖会话、
                  远程登录密钥、云配置、无线上网配置、加密资产
       ↓
[2] 本地富化  → 用偷来的登录态查询订单与消费记录，交叉确认住址与身份信息
       ↓
[3] 报告组装  → 汇总为结构化身份评估报告
       ↓
[4] 外部分析  → 经 API 调用外部大模型，生成"价值排序 + 账号安全评估"
       ↓
[5] 结果回传  → 攻击者拿到一份可直接用于变现的"目标清单"

与”窃取后立即外传”的传统木马相比，有两个结构性变化：

• 收集范围明显扩大。 目标不再局限于密码，而是覆盖会话凭据、支付信息、远程访问凭据、无线上网信息、加密资产乃至工作协作数据，基本覆盖了个人数字生活的全部入口；
• 攻击链中新增了”分析”环节。 窃取者本身不一定有能力逐一判断每套凭据的价值，交给大模型完成估值与画像后，”低价值”数据也会被重新挖掘出变现空间。

传统木马往往是”偷了就走”，现在的木马更像”偷了以后先做一轮尽调”。从防御角度看，中间新增的这一环，恰恰是暴露攻击者意图最明显的一环。

4.2 各阶段可观测点

阶段	行为特征	主要观测位置
收集	批量读取浏览器密码库与 Cookie 数据库；枚举无线网络配置并导出明文；读取命令行工具凭据、远程登录密钥与云配置；读取加密资产相关文件	终端文件访问与进程事件
富化	使用窃取到的会话 Cookie 或令牌访问电商、外卖、支付等平台，检索订单、收货地址与消费记录；调用平台接口拉取历史数据	终端进程的网络连接、出口代理日志
组装	在本地生成结构化的文本或数据文件，作为后续外发的数据包	终端文件创建事件
外部分析	以 HTTP 方式向外部模型接口提交较大的结构化数据包，并接收分析结果	DNS 日志、出口代理日志、网关访问日志
结果回传	分析结果与原始报告一起被外传	出口流量与终端外联日志

4.3 大模型环节带来的三个新特征

基于公开的安全研究，这类木马的模型调用环节通常具备以下特征，这些特征可以直接转化为检测思路：

1. 以”分析报告”为目标设计提示词。 系统提示词要求模型扮演情报分析师角色，输出分为两节：一节是”可变现资产及价值分级”，另一节是”受害者的账号安全习惯评估”。也就是说，出现在出站请求体中的”价值分级””安全习惯评估”等关键词，本身就是高置信度的检测信号；
2. 低采样随机性、输出格式严格。 攻击者希望输出稳定、可解析，因此会把采样参数调得很低，并严格约束输出结构。对防守方而言，这类请求通常具有”输入体积大、结构规整、 repeatedly 调用”的规律；
3. 多模型降级与”拒绝恢复”。 为应对模型安全策略，攻击者会准备多个备用模型，依次尝试。首选模型拒绝时，就切换到下一家，并检测响应中是否出现类似”我无法……”的拒绝措辞，必要时还会改写提示词重新提交。

第三点尤其值得注意：拒绝恢复正在成为恶意软件集成AI能力的通用设计要求。 它意味着单靠”模型会拒绝有害请求”无法阻断攻击链，防守方必须建立独立于模型安全策略的检测与管控能力。

五、实施步骤

以下步骤按顺序执行。步骤1是其余步骤的基础；步骤2与步骤3可以并行实施，但步骤5依赖两者同时产出数据。

步骤1：梳理”高价值数据源”清单

做什么： 按终端类型逐项盘点上面可能被读取的数据，并标注位置、敏感级别和使用它的正常软件。

为什么做： 窃密木马的价值取决于终端上”有什么”。只有关注终端侧的数据资产，才能在海量文件访问事件中筛出真正值得告警的行为，避免对每一个进程的每一次文件读取都报警。

参考清单（示例）：

类别	典型数据	正常访问者示例
浏览器凭据	保存的网站密码、Cookie、支付卡信息、浏览历史	浏览器自身及其更新进程
聊天与邮件客户端	本地数据库、会话令牌、邮件账户配置、工作区数据	对应客户端自身
远程访问凭据	远程登录私钥、已知主机记录	命令行终端、运维工具
云与网络配置	云服务访问凭据、远程接入配置、无线网络配置	对应命令行工具、系统网络服务
加密资产	钱包数据文件、助记词或私钥备份	对应钱包客户端
即时可用资金	电商、外卖、支付等平台的会话凭据	对应客户端或浏览器
工作数据	协作平台登录态、代码仓库凭据	对应客户端或版本控制工具

注意： 清单要标注正常访问者，它是后续编写”排除条件”的依据。例如，备份软件在夜间批量读取浏览器数据文件属于正常行为，如果不排除，就会产生大量误报。

步骤2：配置终端侧行为检测规则

做什么： 围绕以下六类行为编写规则：敏感文件读取、无线网络配置导出、非浏览器进程的凭据访问、采集产物落地、敏感命令执行、向外部模型接口提交大体积结构化数据。

为什么做： 木马无论怎么混淆，最终都要落到”读文件、执行命令、发网络请求”这些操作系统可见的动作上。行为检测不依赖样本特征，变种也难以绕过。

规则编写原则：

1. 以”主体+对象+行为”为核心。 每条规则都要明确谁（哪个进程）对什么（哪类文件或接口）做了什么（读取、执行、外联）；
2. 排除已知正常行为。 把备份、同步、安全防护类进程加入白名单，误报会大幅下降；
3. 关注”组合”而非”单点”。 单个进程短暂读取浏览器数据库可能只是版本更新，但”同一个进程先读取凭据文件，再生成报告文件，再连接外部模型接口”的组合，几乎可以确定为恶意行为；
4. 高置信度规则实时阻断，低置信度规则先告警观察。 后者用于积累误报样本，逐步优化。

以下伪代码仅用于示意规则结构，实际编写时请使用所使用产品的规则语法：

# 规则1：非浏览器进程批量读取浏览器凭据与 Cookie 数据
rule: suspicious_credential_store_access
when:
  event: file_read
  object_path matches: ["*/browser_profile/*/Login Data*", "*/browser_profile/*/Cookies"]
  process.name not_in: [浏览器主进程, 浏览器更新程序, 备份代理, 企业同步工具]
  distinct_objects_read_by_same_process > 2 within: 60s
then:
  action: alert_high          # 短时间内读取多个浏览器配置文件，告警等级：高
  include: [process.hash, process.cmdline, parent_process, user, host]
# 规则2：非系统进程导出无线网络配置明文
rule: wifi_credential_dump
when:
  event: process_start
  cmdline matches_any: ["netsh wlan show profile", "netsh wlan export profile", "key=clear"]
  process.path not_in: [系统目录下的系统进程]
then:
  action: block               # 阻断进程执行
  include: [process.cmdline, parent_process, user, host]
# 规则3：同一终端短时间内批量访问多个电商、外卖、支付会话（富化阶段）
rule: session_enrichment_burst
when:
  event: network_request
  from_process in: [浏览器进程, 脚本解释器, 未知来源进程]
  uses_cookies_from: [多个电商类站点, 外卖类站点, 支付类站点]
  distinct_sites > 3 within: 120s
then:
  action: alert_medium
  include: [destination_domain_list, request_path_pattern]
# 规则4：向外部模型接口提交大体积结构化数据（分析阶段）
rule: outbound_to_external_ai_api
when:
  event: network_request
  direction: outbound
  destination_category: external_ai_api
  body_size_kb > 10
  body_content_type: application/json
then:
  action: alert_high
  include: [destination_domain_hash, body_sha256, body_keywords_hit]

注意： 规则4只记录请求体的摘要和命中的关键词，不记录原始内容。原始报告往往包含明文密码和个人信息，一旦原样落盘，等于在日志系统中制造了第二处泄露点。在生成规则4的告警前，应优先完成步骤3的出口管控，否则企业员工正常使用的AI工具也会大量触发告警。

步骤3：管控大模型接口的出口访问

做什么： 建立”统一网关+分级放行”的模型接口出口策略。

为什么做： 这类木马的分析环节必须访问外部模型接口，这是攻击链中最难隐藏的一步。模型接口通常使用规范的 HTTPS 调用，报文经过加密，终端侧难以查看内容；但请求的目的地址、体积和频次，在出口侧清晰可见。在出口侧收口，是检测与阻断效率最高的做法。

分级放行建议：

业务场景	策略	说明
企业统一接入的AI应用	经由统一网关转发	网关侧集中审计请求内容与响应，并执行数据脱敏
研发测试调用的模型接口	限制来源网段、限定模型、设置调用配额	防止凭据外泄后被滥用
其他终端的直连访问	默认拒绝	确有需要的，按域名逐个申请放行

注意：

• 放行域名要尽可能具体到接口域名，不要放行整个泛域名；
• 出口设备要能记录请求体积、目的地址、频次等元数据。体积和频次异常是最容易落地的检测维度；
• 攻击者会准备多个备用模型接口，逐个封禁单个域名很难彻底阻断。因此要把检测重点放在”请求特征”上，而不只是”目的地址”。

步骤4：建设请求审计与响应质量评估能力

做什么： 在统一网关侧建立大模型调用的审计机制，包括敏感信息识别与脱敏、风险关键词识别，以及拒绝率与重试行为监控。

为什么做： 当攻击者改用企业允许访问的模型接口，或利用被盗凭据调用时，出口域名就失去了区分度，必须转向内容审计。

敏感信息识别与脱敏示意（通用伪代码）：

# 各模式的具体格式需按业务实际调整
PATTERNS = {
    "payment_card": r"\b(?:\d[ -]*?){13,19}\b",   # 支付卡号：需结合校验算法降低误报
    "phone_number": r"\b1[3-9]\d{9}\b",            # 中国大陆手机号（示例）
    "email":        r"[\w.+-]+@[\w-]+\.[\w.-]+",
    "id_number":    r"\b\d{17}[\dXx]\b",          # 身份证号（示例）
    "api_key":      r"\b(?:sk|ak|key)[-_][A-Za-z0-9]{16,}\b",  # 常见密钥前缀（示例）
    "private_key":  r"-----BEGIN [A-Z ]*PRIVATE KEY-----",
}
def mask(text: str) -> str:
    for label, pattern in PATTERNS.items():
        text = re.sub(pattern, f"[MASKED:{label}]", text)
    return text
# 网关侧处理：记录脱敏后的文本 + 命中类型统计，不记录原始内容
audit_record = {
    "request_id": req_id,
    "model": model_name,
    "input_size_kb": len(body) / 1024,
    "hit_types": detect_types(body),   # 返回命中的敏感类型列表
    "masked_preview": mask(body)[:512],
}

风险语义检测： 在网关侧增加轻量检测，对提示词中要求”评估账号安全习惯””按价值对凭据排序””评估可变现资产”等语义组合进行识别。这能发现即使不含具体敏感信息、但目的可疑的请求。

拒绝率与重试监控： 对目标评估类请求，统计以下指标：

• 同一类请求的拒绝率是否明显偏高；
• 是否存在”同一载荷在多个不同模型上连续提交”的降级模式；
• 提示词是否反复微调后重试。

一旦同一来源频繁出现上述行为，即使每次请求都被模型拒绝，也应视为高风险信号并触发告警。要记住：拒绝只是对话层面的回应，不会阻止攻击者换模型重试，更不会阻止数据已经离开终端这一事实。

步骤5：制定分级响应与凭证止损流程

做什么： 针对告警分级编写应急处置剧本，明确”发现—确认—遏制—清除—恢复—复盘”各环节的责任人与操作动作。

为什么做： 此类木马窃取的核心资产是会话凭据，包括 Cookie 与登录令牌。只修改密码不足以止损，因为旧会话可能仍然有效，必须让旧凭据全部失效。

分级响应流程（示例）：

P1 高危：确认存在敏感文件批量读取 + 外部模型接口大体积外发
  → 网络隔离终端（保留取证所需的最小连接）
  → 保留内存与磁盘证据，不做立即重装
  → 吊销该用户在所有平台的活动会话，重置密码，启用多因素认证
  → 吊销终端上保存的全部 API 密钥、访问密钥、远程登录密钥并重新签发
  → 排查加密资产相关账户是否出现异常交易或授权变更
P2 中危：敏感文件访问异常，但未发现外发
  → 限制终端外联权限，仅放行必要业务流量
  → 全盘查杀并核查自启动项、计划任务、浏览器扩展
  → 对涉事账户执行会话吊销与密码重置
P3 低危：单一低置信度告警
  → 进入待观察队列，结合其他告警做关联研判
  → 累积误报样本，优化规则

注意： 流程中所有处置动作都要在测试环境中先行验证，避免误操作导致用户被大范围强制下线。例如，吊销会话可能影响正在进行的业务操作，应提前通知相关团队。

六、结果验证

配置完成后，必须验证规则”能发现、能阻断、不误伤”。

6.1 验证清单

1. 规则语法验证： 使用规则引擎自带的语法检查功能，确保规则能够正常加载；

2. 终端行为验证： 在隔离测试环境中，用无害的模拟脚本执行可观测行为，验证规则1、规则2能否触发。例如：

   • 以非浏览器进程读取测试浏览器配置中的凭据数据文件；
   • 运行系统内置的无线网络配置查询命令。

   测试数据必须是自建的模拟数据，不要使用真实凭据；

3. 出口管控验证： 在测试终端上向一个未放行的外部模型接口域名发送请求，确认连接被阻断、日志中有记录；
4. 审计能力验证： 向统一网关提交包含测试用支付卡号、手机号等格式化数据的请求，确认脱敏生效、命中类型记录准确、原始内容未落盘；
5. 告警链路验证： 确认从终端或网关产生的告警，能够在日志平台上被检索、关联和分派；
6. 误报评估： 在真实终端上以观察模式运行至少一个完整业务周期（建议 1～2 周），统计误报率，并据此调整白名单与阈值。

6.2 通过标准

检查项	通过标准
模拟收集行为	高置信度规则全部触发
模拟外发行为	请求被阻断，或产生高等级告警
模拟降级重试	多个模型接口的连续请求被关联识别为同一来源
审计日志	不含原始敏感信息，命中类型准确
误报率	高等级告警误报率控制在可接受范围，并有持续优化机制

七、常见问题与排查

问题1：终端规则频繁误报

• 现象： 备份软件、同步工具、安全防护软件、浏览器更新进程反复触发凭据读取告警；
• 原因： 白名单不完整，或规则未区分”批量读取”与”单次读取”；
• 思路： 逐条核查告警来源进程的数字签名与发布者，确认可信后加入白名单。白名单应精确到进程路径或签名指纹，避免只按进程名放行而被伪装进程绕过。同时，将触发条件收敛为”短时间内读取多个不同配置文件”。

问题2：外发请求经过加密，终端侧看不到内容

• 原因： 模型接口普遍使用 HTTPS 加密通信；
• 思路： 不要试图在终端侧解密内容，应把检测重心移到出口侧的元数据，包括目的地址分类、请求体积、调用频次、时间间隔等。如需查看内容，必须在统一网关侧集中审计，并配套脱敏机制。

问题3：统一网关上线后业务调用频繁被拦截

• 原因： 放行策略过严，或阈值设置过低；
• 思路： 新策略先以观察模式运行，收集一段完整业务周期内的调用数据，再按业务类型设定阈值与放行规则。研发测试类调用单独划分网段与配额，与办公终端区分开。

问题4：告警显示”模型拒绝”，是否不用处置

• 不是。 模型拒绝只代表本次分析没有完成，攻击者通常会换模型重试，或者直接在本地处理。此外，数据一旦离开终端，泄露就已经发生，必须照常启动凭证止损流程。

问题5：如何区分正常AI使用与恶意分析请求

可从多个维度综合研判：

• 调用来源：是统一网关和经批准的研发网段，还是普通办公终端上的未知进程；
• 请求内容：是否包含凭据、支付卡、住址等敏感数据的组合，是否包含”价值分级””安全习惯评估”等目标导向措辞；
• 调用行为：短时间内是否连续尝试多个不同模型，或反复调整提示词后重试；
• 上下文关联：同一终端此前是否出现过敏感文件批量读取告警。

单一维度都不足以定性，必须结合终端侧行为进行关联研判。

问题6：规则的维护成本越来越高

• 原因： 规则数量膨胀，相互重叠，缺少版本管理与回归测试；
• 思路： 建立规则生命周期管理机制：
  • 按ATT&CK等通用战术框架对规则进行分类；
  • 每条规则记录适用场景、负责人和最近验证时间；
  • 新规则上线前，先在模拟环境中执行回归测试，确认不会引入新的误报。

八、优化建议

1. 从”特征检测”走向”行为链检测”。 变种会不断更新，但”收集→富化→组装→分析→回传”的攻击逻辑相对稳定，围绕攻击链各环节设计检测点，比追求单一样本特征更持久；
2. 对高价值凭据实施会话级防护。 对电商、支付、邮箱等高价值账户，推行设备绑定、异常地点提醒、短时令牌等机制，降低 Cookie 被盗后的可利用窗口；
3. 收敛终端上的”常驻登录态”。 定期清理不再使用的浏览器登录、命令行凭据和云配置，遵循最小可用原则，从源头减少可被窃取的数据；
4. 对敏感文件做加密与访问审计。 对密钥、配置、钱包类文件启用加密存储，并对异常访问行为单独审计；
5. 建立模型调用的成本与安全双维度监控。 此类攻击会产生额外的模型调用费用，异常调用量本身就是需要关注的信号；
6. 保持纵深防御。 不依赖任何单一模型服务商的安全策略作为防线，终端、网络、网关、身份四层能力要能够相互印证。

九、总结

本教程围绕”如何应对将AI分析嵌入攻击链的窃密木马”这一目标展开。核心结论是：攻击者引入大模型，是为了更高效地把窃取的数据变成可直接变现的目标清单，但这同时让攻击链出现了更清晰、更可检测的行为节点。

回顾关键步骤：

1. 梳理终端上的高价值数据源；
2. 在终端侧配置六类行为检测规则；
3. 在出口侧建立”统一网关+分级放行”的模型接口管控；
4. 建设请求审计、脱敏与拒绝重试监控能力；
5. 制定分级响应流程，并以吊销全部活动会话作为凭证止损的核心动作；
6. 通过模拟验证与误报评估，确认防御真实有效。

这类木马证明了，大模型正在被写进完整的攻击工具链，”拒绝恢复”等设计思路正在成为恶意软件集成AI能力时的通用要求。防守方也随之需要新的能力组合：传统的终端检测与响应、网络出口管控、数据安全与身份治理，再加上针对大模型调用的专项审计。后续可以持续关注的方向包括：攻击者如何进一步降低对外部接口的依赖，如何绕过网关侧的内容审计，以及如何在遵守合规要求的前提下，提升对AI调用的内容级检测能力。