Between Two Nerds: Attribution is dead, long live attribution
三句話摘要
AI 時代網路攻擊歸因的危機：LLM 如何破壞傳統取證分析與攻擊溯源 LLM 使網路攻擊在技術層面變得難以溯源，但高階行為特徵與業務模式仍是破不掉的歸因層。 工具成本的破壞性下降 — 傳統上，攻擊者必須重複使用昂貴自製的惡意軟體或工具組，因為開發和維護成本極高。這種成本結構使得安全研究人員可以通過工具特徵和程式碼簽名來追蹤攻擊者。LLM 自動化了代碼生成與維護工作流，使得攻擊者可以輕易為每個目標生成新工具，或改用通用系統工具，導致傳統的工具特徵分析失效。
重點整理
重點- 1
工具成本的破壞性下降 — 傳統上，攻擊者必須重複使用昂貴自製的惡意軟體或工具組，因為開發和維護成本極高。這種成本結構使得安全研究人員可以通過工具特徵和程式碼簽名來追蹤攻擊者。LLM 自動化了代碼生成與維護工作流，使得攻擊者可以輕易為每個目標生成新工具，或改用通用系統工具，導致傳統的工具特徵分析失效。
- 2
所有取證證據都在攻擊者掌控之中 — 無論是使用的 IP 位址、惡意軟體類型或戰術流程，這些都是攻擊者的主動選擇。即使看似是隨機巧合，攻擊者仍有能力在事前決定留下什麼痕跡。因此，所有可恢復的取證證據本質上都是攻擊者願意暴露的信息。
- 3
LLM 削弱工具簽名但保留高階行為特徵 — LLM 經過公開駭客技術訓練，使不同使用者產生相似的攻擊模式。然而，勒索軟體集團、國家級行為者的受害者選擇、贖金要求方式或目標模式等高階特徵仍具有識別價值。例如，鎖定加密交易所的攻擊幾乎只能指向朝鮮。
- 4
人工技能與業務需求的持久性 — 語音釣魚等需要人工技能的攻擊手段不會被完全自動化，反而會由 LLM 輔助加強。高級行為者會用 LLM 擴增自身能力而非完全替代，導致更多量級的精巧攻擊；低層行為者則會執行更多大量的基礎釣魚。
實用技巧與重點
乾貨- 關鍵概念與框架
- 反取證三層框架（2002-2004年提出）：資料銷毀、資料隱藏、資料預防（保留在記憶體）
- r/K 策略：投資少量優質工具（如 NSA 的 Snake 惡意軟體）vs. 大量廉價通用工具
- Living off the land：使用系統內建工具（如 Orc、GDB）而非自製惡意軟體
- 戰術、技術與程序（TTP：Tools, Techniques, Procedures）
- 歷史案例
- Olympic Destroyer（2018）：冬奧會惡意軟體，被誤認為朝鮮所為，實際為假旗行動
- 烏克蘭戰爭網路戰：WhisperGate、Caddy Wiper 等大規模通用破壞工具
- Shiny Spiders、Lapses 等勒索軟體組織：使用 SSH、Git 等系統工具進行憑證填充與資料庫洩露
- 成本降低的具體體現
- T-34 坦克生產：蘇聯將製造步驟從 12,000 減至 6,000（如移除拋光潛望鏡）
- LLM 自動化：將維護成本從「開發新工具一樣複雜」降至「與開發一樣簡單」
- 取證限制
- Kaspersky 對 NSA 惡意軟體的稱呼：「惡意軟體的死亡之星」（The Death Star of Malware）
- 所有 IP、惡意軟體、戰術都是攻擊者控制的選擇
結論
結論“LLM 使網路攻擊在技術層面變得難以溯源，但高階行為特徵與業務模式仍是破不掉的歸因層。”
完整解析
詳細在網路安全領域，能否識別攻擊者身份一直是尋求司法問責與威脅情報的核心挑戰。傳統的歸因方法依賴於分析攻擊者留下的技術痕跡——特別是客製化惡意軟體的代碼特徵。然而，隨著大型語言模型的普及，這套方法面臨根本性的危機。
Gruck 在 2002 年和 2004 年發表的反取證框架提出了一個深刻的觀察：攻擊者可以通過三個層級來消除取證證據——直接銷毀、隱藏在系統中，或根本不生成。更激進的是，他指出所有可恢復的取證證據本質上都在攻擊者掌控之中。攻擊者選擇使用什麼 IP、什麼工具、什麼攻擊流程，這些看似客觀的技術事實，實際上都是主動的戰術決策。傳統上，攻擊者之所以被迫重複使用相同工具，是因為開發和維護客製化惡意軟體的成本極其高昂。精心製作的工具如 NSA 的 Snake 或其他國家級攻擊工具代表著多年的研發投資，因此必須被反覆使用以獲得回報。這種成本結構矛盾地使安全研究人員得以通過工具特徵進行溯源——攻擊者被迫暴露自己以節省成本。
LLM 打破了這個平衡。通過自動化代碼生成、混淆和維護工作，LLM 可以讓攻擊者為每個受害者生成獨特的工具，就像生產了多個「死亡之星」而非重複使用一個。同時，Living off the land 攻擊方法（僅使用系統內建工具如 SSH、Git、GDB）已經展示了如何完全避免留下自製工具的簽名。烏克蘭戰爭中的網路戰爭進一步驗證了這個趨勢：WhisperGate 和 Caddy Wiper 等工具不是精巧的「優質」武器，而是大規模部署的廉價工具，就像二戰時蘇聯製造 T-34 坦克時透過跳過拋光步驟來加快生產。在 LLM 時代，攻擊者不再需要在「投資少量優質工具」和「製造大量通用工具」之間二選一，因為前者現在和後者一樣便宜。
然而，攻擊者的身份並非完全藏不住。受害者選擇本身就是強大的線索。被盜取的加密交易所資金流向特定的洗錢管道，或者特定產業遭受持續攻擊，這些高層次的行為特徵難以偽裝。勒索軟體集團需要品牌認同性來建立可信度，因此即使使用通用工具也容易被識別。國家級攻擊者的戰略目標和目標模式往往具有唯一性。此外，人工技能——如語音釣魚中的社交工程——不會被 LLM 完全替代，而是被增強。高級攻擊者將使用 LLM 來擴大其操作規模，執行更多精巧且量級更大的攻擊；而低層行為者則會透過自動化工具進行更多基礎釣魚嘗試。歸根結底，取證分析正在從「基於工具特徵」進化到「基於業務邏輯與戰術目標」。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
