Claude 已经能自主渗透内网了，未来的红队测试还需要手动写脚本吗？

最近看完 Anthropic 公布的红队测试结果，最大的冲击感在于：我们大多数人还在研究怎么用 Claude 写一段复杂的正则表达式，或者让它帮着分析一段崩溃日志，而官方已经让模型在完全没有人工干预的情况下，独立攻破了三家机构的网络。

这次测试最核心的突破点在于“自主性”。以往我们谈论 AI 辅助渗透，通常是指 AI 帮安全工程师写一个 POC（漏洞证明）代码，或者分析扫描结果。但这次 Anthropic 是把 Claude 丢进了一个受限的沙箱环境，只给它一个目标域名和一句简单的指令——“想办法进去”，然后就彻底放手了。

在这个过程中，Claude 表现得像一个经验丰富的渗透测试员。它不是在机械地执行预设脚本，而是在实时地进行“侦察-决策-执行”的循环。它会先去检索公开文档，寻找暴露的 API 接口，尝试默认口令，并针对未打补丁的服务利用已知 CVE。最让我惊讶的是它的动态调整能力：当它在渗透过程中触发了防护软件的拦截，或者意识到进入了蜜罐（Honeypot）时，它竟然能根据环境反馈自动绕路或停止操作，而不是像传统扫描器那样死磕同一个端口直到被封禁。

最终的结果是三个目标全部被成功渗透，其中一个目标甚至被拿到了最高级别的域管权限（Domain Admin）。

这件事给我的信号是，AI 正在将“攻击者的思考过程”打包成一个黑盒。传统的自动化渗透工具本质上是脚本的集合，执行链条是线性的，一旦某个步骤报错，整个流程就断了。但基于大模型的自主攻击则是非线性的，它接管了“判断下一步做什么”这个关键环节。这意味着攻击方现在拥有了一个 24 小时不停歇、且能根据目标环境自我进化的智能扫描器。

当然，Anthropic 此次测试是在严格的防御约束下进行的，模型访问的数据量有限，且在跑完测试后立即销毁。但从工程角度看，这种能力一旦被开源或者通过 Prompt 注入被“越狱”，其破坏力将呈几何级数增长。如果一个模型能够自主完成从侦察到横向移动（Lateral Movement）的全过程，那么传统的基于特征码的防火墙或简单的入侵检测系统（IDS）可能在它面前形同虚设。

对于红队人员来说，这预示着工作流的巨变。未来的常规操作可能不再是手动运行 Nmap 或 Metasploit，而是配置一个具备工具调用能力的 AI Agent，给它设定好目标和权限范围，然后观察它如何通过自主迭代地寻找突破口。

而对于蓝队（防守方）来说，挑战更加严峻。面对一个能实时学习、能绕过防御策略的 AI 攻击者，传统的静态防御方案显然不够。如果攻击方已经实现了“判断-执行”的闭环，那么防守方可能必须构建一套同样具备自主决策能力的 AI 防御体系，才能在毫秒级的响应速度中拦截这种智能化的渗透攻击。