题记
"This is the worst telecom hack in our nation's history."
------Mark Warner，美国参议院情报委员会主席，2024年11月
这两年，运营商搞AI，是真火了。
中国电信的星辰、中国移动的九天、中国联通的元景，三家的大模型全部进了业务系统：星辰撑着上海12345政务热线，九天的工业互联网平台连着30万家企业。比大模型更值得关注的是网络本身------三大运营商都在推自智网络，公开规划全部指向L4，也就是多数场景下网络自己感知、自己分析、自己决策、自己执行。
说实话，这个速度比外界想象快得多。先给个公允的判断：在AI落地这件事上，中国运营商是全球第一梯队。
但今天这篇，我们想聊的是另一件事：当运营商把AI请进网络的同时，攻击者也拿到了AI。
故事得从一个大案子讲起。
Part 01：史上最严重的电信入侵，全程没有用一个0day
2024年11月，Mark Warner对《华盛顿邮报》说了题记里那句话。他评论的事件，微软叫Salt Typhoon，趋势科技叫Earth Estries，卡巴斯基叫GhostEmperor，CrowdStrike叫OPERATOR PANDA。
一家攻击组织同时拥有四个名字，是因为四家安全公司在不同年份、不同国家，分别撞见了它的碎片------谁都没拼出全貌，直到2024年秋天，碎片自己浮出水面。
先把时间线走完。
1.进去：公开记录显示，该组织从2019年起持续渗透美国及亚太、中东的电信运营商，最终波及80多个国家、200多家组织。2024年9---10月，《华尔街日报》披露AT&T、Verizon、Lumen被深度渗透------攻击者在部分网络里已经待了超过三年。
2.藏：Cisco Talos事后披露了一款叫JumbledPath的定制工具：专门跑在运营商的Linux网络设备上，篡改回环地址绕过访问控制、清理日志、禁用审计组件。但更多时候，他们连恶意软件都不用------直接复用系统自带的合法工具。
3.拿什么：最具冲击力的是这个：攻击者访问了运营商依法建设的CALEA合法监听系统------1994年美国《通信协助执法法案》要求运营商为法院命令预留的监听接口。他们顺着这扇门，看到了"执法机关正在监听谁"的名单，还可能顺走了约1,462份网络设备的配置文件------那是全网设备的图纸和花名册。
翻译成人话：为执法者留的门，走进了间谍。
为执法者留的门，走进了间谍
CISA、NSA、FBI联合多国发布加固指南，罕见建议官员改用端到端加密通信------等于官方承认"运营商网络本身不可信了"；Forrester甚至在2026年度预测里写了一条：至少5国政府将因此对关键电信基础设施实施国有化或限制。
但整件事里，最该被安全行业记住的是另一句话。美国政府通报归因时，给出的原因是受害网络的"配置管理薄弱、分段不足、基本卫生缺失"。看一下入口清单：PAN-OS的CVE-2024-3400（CVSS满分10.0）、Ivanti的CVE-2024-21887、Cisco IOS XE的CVE-2023-20198，甚至还有陈年旧账Exchange ProxyLogon。
没有零日神话，没有外星科技。史上最大规模的电信入侵，用的是已知漏洞加合法工具，外加三年耐心。
这个时间点：2024年。这一切，发生在AI大规模介入网络攻击之前。
Part 02：攻击面的"3+1"：三层老的，一层新的
要理解AI给运营商带来了什么，得先看清运营商这张网的攻击面长什么样。
先打个比方。
把运营商网络想象成一个超大小区：围墙和大门是一层，保安的对讲机频道是一层，物业管理处是一层。这三层的问题，安全行业修了三十年。而现在，小区又装了一套"AI智能物业"------它能开所有的门，能在对讲机里发号施令，还能直接操作管理处的中控台。
这就是我们说的攻击面"3+1"。
- **第一层：边缘设备层------大门和围墙。**路由器、防火墙、VPN网关，Salt Typhoon的主入口。存量设备以百万计，骨干设备按十年以上生命周期运行，补丁节奏以月甚至季度计------不是不想打，是现网稳定性、兼容性验证、停机窗口都不允许快。这一层打了几十年补丁，也打不完。
- **第二层：信令层------保安对讲机。**SS7、Diameter、GTP，是网络设备之间互相调度用的"内部频道"，设计于"运营商之间互相信任"的年代：默认用这个频道说话的都是自己人，从不验证身份。所以谁拿到对讲机喊一声"开门"，门就开------位置跟踪、短信劫持，在学术文献和黑产案件里被验证了二十年。这一层的问题不是补丁，是协议从出生起就没装锁。
- **第三层：管理与特权层------物业管理处。**网管系统、AAA认证、计费系统、运维堡垒机，还有为配合执法监管建设的合法监听类高权限接口。Salt Typhoon证明了这层是最甜的果子：拿下一处，等于拿到全网的图纸和花名册。这套"内部可信"的设计哲学全球通用，不是哪一家的问题。
- **+1层：AI层------新装的智能物业。**自智网络的智能体、网优大模型、客服大模型，还有作为"卖水人"输出给政务、医疗、工业客户的行业大模型服务。这一层刚开张，但它有一个特性值得单独强调：它横跨前三层。网优智能体的知识库连着工单系统，推理服务跑在云资源池里，操作权限直达现网设备；对外输出的行业大模型一旦发生供应链问题，波及的是租用能力的千行百业。
前三层修了三十年，+1层刚开张
**一句话总结这个3+1：**前三层的攻击面是工程师留下的，+1层的攻击面是商业模式带来的。前者修了三十年没修完，后者刚刚开张------而且运营商被攻破，从来不只是运营商自己的事。它是通信的底座，底座一晃，上面的金融交易、政务热线、应急指挥，都跟着晃。
Part 03：AI没有改变攻击的目标，它改变的是攻击的组织方式
三层老毛病摆在那儿三十年，为什么今天突然要紧张？
因为以前利用这些毛病，靠的是人。非法攻击组织团队经营一个目标要按年算，信令攻击是黑产里的"手艺人"行当------地下市场租个SS7接入，数千美元一个月起步，还得有懂协议的老手手工构造探测消息。门槛高，所以虽然毛病一直在，出事的频率始终可控。
AI把这门手艺，从手工作坊搬上了流水线。
看几组公开研究里的数字：
- **漏洞利用：**Fang团队的研究里，LLM智能体自主利用"一日漏洞"的成功率是87%；CVE-Genie多智能体框架，复现一个漏洞的平均成本是2.77美元。
- **攻击速度：**CrowdStrike《2026全球威胁报告》显示，攻击者从突破到横向移动的平均时间是29分钟，最快27秒；82%的检出事件里根本没有恶意软件------全是合法工具的滥用。
- **防守侧的时间：**修补一个高危漏洞，行业平均要63天；63天后，仍有32.1%的已知漏洞敞着口。而漏洞从披露到被武器化，中位数只有37天（Qualys口径）。
- **社工成本：**20到30秒的语音素材就够训练声纹克隆，钓鱼邮件中AI生成的占比已超八成，鱼叉式钓鱼从"一天骗成个位数"变成"千次级并发外呼"。
两张对不上的时间表
月对小时，这不是差距，是代差。
而对运营商来说，还有一道独有的加试题：自智网络冲L4，意味着AI的指令直接下发到真实网络，不是沙盘。
我们在内部推演过这条链（情景推演，非真实事件）：攻击者不碰任何一台设备，而是攻击"做决策的那个东西"------往工单系统、告警文本、用户投诉这些会被智能体读取的输入里埋指令（提示注入），或者污染网优大模型的知识库和微调数据（供应链投毒）。得手之后，智能体以"正常优化"的名义下发一批错误配置。
最麻烦的是，全程可能没有任何一条告警会响。因为在系统看来，这是"自己人"按流程干的活。故障定位的第一反应会是误操作或软件缺陷，攻击者有充足的时间差。
这不是猜想，攻击面已经从协议端口变成了自然语言接口。英国NCSC给关键网络运营商的建议因此非常直白：确保你能"拔电源"------AI系统失控时，能降级、能回滚、能人工接管。
所以，AI没有改变攻击的目标，它改变的是攻击的组织方式：从手工作坊到流水线，从单点经营到并行收割。运营商网络里那些"一直存在但一直没出事"的老毛病，第一次遇上了不会累的对手。
Part 04 ：判断一家运营商的AI安全能力：三条标准
聊完问题，说点建设性的。这一篇不想只扔焦虑------我们试着给出三条可操作的判断标准，运营商侧的同志可以拿去当体检表。
- **第一条：盘不盘得清家底。**网络里跑着哪些AI组件、供应商是谁、数据从哪来、模型能不能动真实配置？显性部分好数------星辰、九天、元景、智能客服、自智网络试点。难的是隐性的：设备商新版本软件里悄悄升级的智能运维模块、代维团队自用的模型服务、OSS系统里外挂的推理组件。答案是建一份AI物料清单（AI-BOM），像管软件供应链一样管AI供应链。说个我们一线的真实体感：在主机与云原生环境做资产梳理时，我们清点出的AI相关组件，数量普遍是客户自查清单的数倍------很多AI是顺着管道"流"进来的，没人给它上户口。
- **第二条：断不断得开链条。**AI的权限和关键网元之间，有没有物理或逻辑的隔离带？核心配置变更，有没有保留人工审批？网管侧的一条错误配置，就是现网的一次真实变更------这个"拔电源"的答案如果不存在，自智网络冲L4就还缺一块安全地基。
- 第三条：拿不拿得出证据。《关键信息基础设施安全保护条例》（国令745号）要求运营者每年至少一次检测评估；2025年"人工智能+"行动意见（国发〔2025〕11号）进一步明确提升AI安全能力。监管要的正在从"我测过了"的报告，变成"我扛住了"的证据------而真正的证明只有一种：对抗的结果。据行业了解，有关部门已在探索以"AI对抗AI"的实战化测评作为能力验证手段。演练记录、防御日志，就是到时候能拿出来的东西。
划这三条标准，不是为了给谁贴标签，而是因为账很好算：家底盘不清，出事连影响范围都圈不出来；链条断不开，AI出错的代价就是现网的代价；证据拿不出，合规做得再好也过不了"证明防得住"这一关。
Part 05："3+1"不是一张图，是一个倒计时
最后把三层老攻击面和+1层放在一起看。
它们不是孤立的：前三层每多暴露一天，+1层被利用的价值就多一分------AI层拿到的是能开所有门的权限，老三层提供的是进小区的通道。反过来，前三层修得越慢，AI层就越像一个站在漏风小区里的全能管家。
站在防守视角，这个3+1怎么解，我就武断而残暴地总结：
- 第一层，看补丁速度------不是补没补，是63天能不能压到37天以内；
- 第二层，看架构换代------信令的老锁修不好，就隔离、监测、限制它能碰到的东西；
- 第三层，看钥匙管理------特权通道按"默认不可信"重建，合法不等于可信；
- +1层，看有没有给AI上户口------盘家底、断链条、留证据。
每一条都不轻松。但值得清醒的是：这一切发生在AI还没有真正上场的年代。已知漏洞、合法工具、三年耐心------这套打法的每一项要素，今天都在被压缩成可以批量复制的能力。窗口期里做的每一分准备，都是挣的。
通信是底座。底座上的每一层------金融、政务、能源、应急------都在看着运营商先答完这份卷子。而这份卷子最先该做的不是追加采购，是把那三条标准在内部先过一遍。
以上是青藤云安全近期在运营商行业攻防实践与研究中的一点阶段性结论，抛砖引玉，欢迎运营商一线的安全同行交流指正。如有不同意见，那一定是你对。
附：参考来源列表
-
FBI与CISA关于Salt Typhoon入侵商业电信基础设施的联合声明（2024-11-13/14，经国会证词脚注转引）：congress.gov
-
《华盛顿邮报》关于Warner"史上最严重电信黑客事件"表态的报道（2024-11-21）：washingtonpost.com
-
Salt Typhoon事件综述与Earth Estries早期活动记录（Hedgehog Security）：hedgehogsecurity.co.uk
-
JumbledPath恶意软件技术分析（SecurityAffairs，2025-02-20）：securityaffairs.com
-
CISA/NSA/FBI及盟友《通信基础设施增强可见性与加固指南》（2024-12-03，含端到端加密建议）
-
欧洲电信经Citrix NetScaler遭Salt Typhoon式入侵（Darktrace记录，SecurityAffairs转引）
-
三大运营商大模型应用实践（沙丘社区，2024-07-30）：shaqiu.cn
-
中国移动九天大模型及工业互联网平台连接30万家企业（国资委网站转载，2026-07-22）：sasac.gov.cn
-
Fang团队"LLM智能体自主利用一日漏洞"研究（arXiv，2024，87%成功率）
-
CVE-Genie多智能体漏洞复现框架（平均2.77美元/CVE）
-
漏洞利用窗口从63天到负值、32.1%披露当日或之前被利用（2025，二级汇编口径）
-
CrowdStrike《2026全球威胁报告》（2026-02-24，突破时间29分钟、最快27秒、82%检出无恶意软件）
-
Qualys漏洞修复周期37天以上（经Brinqa转引）
-
英国NCSC《Managing the cyber risk of agentic AI》（2026-08-20，"拔电源"原文）：ncsc.gov.uk
-
五眼联盟六家机构《谨慎采用Agentic AI服务》指南（2026-05）
-
NIST《对抗性机器学习：攻击与缓解的分类与术语》（AI 100-2e2023，2024-01）
-
GoldPickaxe手机银行木马（Group-IB，2024-02-15）
-
香港AI换脸开户团伙案（2025-04，SCMP转引）
-
CISA《关基所有者和运营者AI风险指南》（2024-02，AI-BOM要求）
20.《关键信息基础设施安全保护条例》（国令第745号，2021-09-01施行）：gov.cn
-
国务院《关于深入实施"人工智能+"行动的意见》（国发〔2025〕11号，2025-08-21印发）
-
Forrester《Predictions 2026: Cybersecurity and Risk》（2025-10，含电信基础设施国有化或限制预测）