20世纪60年代，Elmyr de Hory靠伪造毕加索、马蒂斯和雷诺阿的作品骗过无数收藏家和博物馆。他的假画用旧画布和老颜料，签名、笔触、来源链条都模仿得滴水不漏。几十年里，上千幅赝品堂而皇之进了专家眼皮底下。
今天网络安全圈正上演一模一样的戏码。攻击者手握AI，把模仿玩得炉火纯青。他们不再靠传统恶意软件，而是直接借用合法工具、凭证和流量，让自己像正常用户一样游走。CrowdStrike 2026全球威胁报告点得明明白白：82%的检测事件已无恶意软件痕迹，纯靠合法手段潜行。
这股模仿风来得猛。过去两年，Living-off-the-Land攻击结合AI工具，把门槛拉得更高。攻击者像de Hory翻旧画布一样，复用系统自带命令、信任证书，把恶意操作裹进日常行为里。81%甚至更高的攻击比例显示，传统杀毒已越来越抓瞎。
先看Agentic AI这帮“自主演员”。它们能批量生成假身份、假代码，还能实时观察网络行为，自动调整自己的流量节奏。正常流量高峰来了，它们就把C2指令塞进那波峰里，调一调信号强度，就让异常检测系统看不出异样。便宜的AI代理不光用来骗人，还能吐出漏洞利用脚本、感染端点的代码，一条龙把攻击规模拉大。de Hory当年靠全球经销商和假名卖画，现在AI代理就是他的数字版网络，悄无声息却效率翻倍。
供应链和云端的假货更狠。攻击者用恶意AI代理把软件包改头换面，伪装成普通更新。Microsoft研究过的Shai Hulud v2蠕虫就是典型：它篡改几百个软件包，形成闭环生态，偷开发者凭证和API密钥，再通过内部网络共享扩散，全程装成合法更新。SolarWinds那类老攻击已经不够看了，AI让这类操作更快、更隐蔽。云端假登录页、假代码仓库也批量生成，设计和品牌跟真的一样，骗用户交出凭证的速度直线上升。
流量伪装手法同样老道。攻击者用IP隧道把恶意对话藏进合法协议里，或者故意制造请求与回复不匹配，绕过检测。得手后他们还能让后门在企业网里沉睡几个月，等时机成熟再动手。移动应用商店里假App也层出不穷，有的视觉搜索工具竟暗藏远程执行漏洞。基础设施层面，攻击者快速搭建假服务器、假域名、假服务，模仿Teams会议消息诱导用户点进假登录页，后面跟着凭证窃取、横向移动，最终可能直奔勒索软件。
钓鱼攻击更是把模仿玩到骨子里。假邮件地址用同形异义字符冒充内部域名，把对话悄然转到黑客手里，再接下一轮攻击。de Hory当年细抠每笔刷痕和色彩，今天攻击者同样在细节上死磕。
怎么破局？网络检测与响应（NDR）工具正成为关键。它像艺术专家对比多幅作品找风格指纹一样，盯着网络基线看偏差。异常登录时间、不寻常的数据传输、意外的横向移动，哪怕凭证看着正常，也能被它揪出来。协议和元数据不一致的地方更藏不住：奇怪的协议组合、新注册域名、证书细节异常，全都逃不过。NDR还给原始流量加上丰富上下文，让分析师快速判断是真威胁还是噪声。
Corelight的Open NDR平台就把这套能力打包起来，结合行为检测、异常检测和多层技术，帮SOC团队抓住AI驱动的新威胁。攻击者越会藏，防守方就越需要能看穿噪声的眼睛。把NDR和现有安全产品叠加使用，早一步发现，早一步止损。
现实里，BTC现报$68,731（24h -3.61%），ETH现报$2,060（24h -4.82%），加密市场同样在波动中寻找真实信号。黑客模仿术升级，防守方也必须跟上节奏。细节决定成败，眼睛要够毒，手法要够多层，才不会让假货继续蒙混过关。