AI 黑客攻破系统后，还能长期潜伏吗？203 项任务揭示持久化能力边界

模安局·共研计划

本文研究论文经「模安局·共研计划」推荐，由《模安局》独立完成解读。

近年来，AI 在网络安全领域展现出的攻击能力越来越强。从自动发现漏洞、编写利用代码，到尝试独立完成渗透测试，一系列研究正在不断刷新人们对 AI 黑客能力的认知。

不过，这些研究大多存在一个共同的特点：当 AI 成功利用漏洞、拿到目标系统的访问权限时，评测就结束了。

但在真实的网络攻击中，攻破一台服务器往往只是开始。攻击者还需要解决另一个问题：如果管理员修复了漏洞、修改了密码，甚至重启了服务器，之前获得的访问权限还能保留下来吗？

这就涉及网络安全中的一个重要概念——持久化（Persistence）。

2026 年 9 月，上海人工智能实验室的研究团队发布了论文《CyberPersistBench: Evaluating LLM-Based Cyber Attackers on Installation and Persistence》，将 AI 网络攻击能力的评测从初始入侵推进到了持久化阶段。

论文原文（arXiv）

研究者构建了包含 203 项核心任务、46 类细分机制的评测基准，并提出一套六级能力评估方法，测试五个前沿大模型 Agent 能否在初始权限被撤销、服务被中断甚至系统重启后，继续保持对目标系统的访问能力。

实验发现，在统一的 Agent 执行框架下，五个模型的任务成功率为 27.6%～42.4%。当目标系统启用原生安全防御后，成功率进一步下降至 5.5%～13.3%。

这些数字背后，实际上揭示了 AI 网络攻击能力发展中的一个新问题：AI 已经能够完成越来越复杂的渗透任务，但距离具备稳定、持续的系统控制能力，还有多远？

为什么攻破系统，并不意味着攻击已经完成？

假设一个 AI Agent 发现了某台服务器的漏洞，成功执行了一段程序，并获得了一个可以远程操作的 Shell。

在许多传统网络安全 Benchmark 中，这已经足以判定攻击成功。因为评测目标通常是发现漏洞、执行指定命令，或者获取某个预先设置的 Flag。

但从真实攻击的角度看，这种成功可能非常短暂。

服务器上的漏洞一旦被修复，原有攻击入口就可能消失；管理员修改了密码，之前窃取的凭据可能立即失效；某个服务重启后，附着在其进程上的程序也可能随之终止。

如果攻击者希望在这些变化之后仍然拥有访问能力，就必须建立独立于最初入侵入口的持久化机制。

这也是为什么在 MITRE ATT&CK 框架中，Persistence 被单独列为一项攻击战术，编号为 TA0003。

持久化并不是简单地让一个程序始终运行，而是利用系统已有的启动、加载、认证或任务调度机制，使攻击者能够在特定条件下恢复执行或重新获得访问权限。

例如，Linux 的服务管理机制可以让程序随着系统启动，Windows 的某些启动机制可以在用户登录后自动运行程序，Kubernetes 则可以根据声明式配置重新创建被终止的工作负载。这些原本服务于系统可靠性和自动化运维的功能，同样可能被攻击者滥用。

系统为了保持正常业务持续运行而设计的恢复机制，也可能成为攻击者保持访问权限的工具。

这就带来了一个值得重新思考的问题：如果我们只评估 AI 能否获得初始访问权限，实际上可能低估了它在真实攻击链中的能力，也无法准确判断它距离成熟的自主网络攻击系统还有多远。

203 项任务，如何衡量 AI 的持久化能力？

为了解决这个问题，研究团队提出了 CyberPersistBench。

它没有要求 Agent 从头寻找漏洞，而是直接提供一个已经获得有限访问权限的受控环境。这样做是为了排除漏洞发现和利用能力的干扰，单独考察模型能否将临时访问转化为更加持久的系统级访问。

整个 Benchmark 包含 203 项核心任务，覆盖账户与认证、服务与守护进程、计划任务与事件触发、启动自动加载、应用组件、控制与编排，以及执行流程劫持七大类别。

这些任务进一步细分为 46 类具体机制，涉及 Linux、Windows、Kubernetes，以及 Nginx、PostgreSQL、WordPress、Jenkins 等不同软件环境。

研究者还额外构建了 65 项多主机任务，用于测试 Agent 能否协调不同系统完成持久化部署；同时从核心任务中选取 128 项可以配置原生安全控制的任务，用于比较防御开启前后的攻击效果。

不过，这篇论文最值得关注的设计，其实不是任务数量，而是它对持久化能力的分层评估。

研究者认为，简单地将任务判定为成功或失败，会掩盖 Agent 在不同阶段的能力差异。

例如，某个 Agent 已经编写了正确的服务配置文件，却没有成功注册到系统；另一个 Agent 完成了服务注册，但在重启后无法恢复。这两种任务都可能被判定为失败，但反映出的技术瓶颈完全不同。

因此，CyberPersistBench 将整个过程拆分为六个等级。

前三个等级属于安装阶段。

L1：机制构建。 检查 Agent 是否生成了正确的配置文件、脚本或其他持久化组件。这个阶段主要衡量模型对系统机制和配置语法的理解能力。

L2：原生注册。 检查生成的组件是否真正被操作系统或应用程序的原生管理机制接受。例如，一份服务配置文件不仅要写对，还必须被服务管理器正确加载和识别。

L3：初始激活。 确认持久化组件能够在正常系统环境中执行，产生有效的运行证据。

后三个等级则进入真正的持久化测试。

L4：访问独立性。 撤销 Agent 最初获得的访问凭据，验证新的持久化机制能否脱离原有入口独立工作。

L5：运行恢复。 模拟服务重启、进程终止等常见系统中断，检查相关机制能否恢复执行。

L6：重新初始化后存活。 进一步通过任务指定的系统重启、容器重启或容器重建等事件，验证持久化机制能否继续发挥作用。

这套设计的关键在于，后一个等级必须建立在前一个等级成功的基础上。Agent 只有依次通过这些检查，才能获得相应的能力评分。

研究者还引入了随机挑战值和原生机制归因检查，防止 Agent 使用旧日志或者没有纳入系统管理的后台进程冒充持久化成功。评测同时要求目标系统保持正常业务功能，不能以破坏系统稳定性为代价换取持续运行。

如此一来，评测就能够明确区分：AI 是只会生成一份看起来正确的配置，还是已经真正掌握了系统原生机制，并能够让相关操作经历生命周期变化后继续生效。

AI 最大的瓶颈，竟然不是系统重启

研究团队使用 GPT-5.6-sol、Claude Sonnet 5、DeepSeek-V4-pro、GLM-5.2 和 Kimi K2.6 五个模型进行测试，统一采用 Inspect ReAct 作为基础 Agent 执行框架。

实验采用 pass@3 统计方式，即每项任务独立尝试三次，只要其中一次通过全部检查，就视为任务成功。这一点需要特别注意，因为它不等于单次执行的成功概率。

在 203 项核心任务中，GPT-5.6-sol 的成功率最高，达到 42.4%；Claude Sonnet 5 为 40.4%，DeepSeek-V4-pro 为 37.9%，GLM-5.2 为 31.5%，Kimi K2.6 为 27.6%。

这意味着，即使已经获得有限的初始访问权限，当前前沿 AI Agent 在多数任务中仍然无法可靠建立符合要求的持久化机制。

但进一步分析六级能力的通过情况，会发现一个更有意思的现象。

AI 最大的能力断层，并没有出现在服务重启或者系统重新初始化之后，而是出现在从 L1 到 L2 的过程中。

以 GPT-5.6-sol 为例，它在 L1 阶段的通过率达到 74.9%，说明模型在接近四分之三的任务中能够生成符合要求的持久化组件。但到了 L2，成功率下降至 56.2%，到了 L3 则进一步下降至 48.3%。

随后，L4、L5、L6 的通过率分别为 46.3%、45.8% 和 44.8%，下降幅度明显变小。需要注意，最终任务成功率为 42.4%，因为还必须满足系统完整性等附加约束。

从全部八种模型与执行框架配置的平均结果来看，L1 到 L2 的通过率下降了 17.0 个百分点，L2 到 L3 下降了 7.3 个百分点，而 L3 到 L6 三个阶段合计只下降了约 3 个百分点。

这说明，当前 AI Agent 最突出的问题，并不是不知道系统重启后应该如何恢复程序，而是经常无法把正确的配置真正落实到操作系统中。

理解一份 systemd 服务文件的语法，与在真实 Linux 环境中正确注册并启动它，是两种不同的能力。后者还需要识别当前系统状态、处理权限约束、调用正确的管理接口，并根据反馈排查问题。

从这个角度看，AI 已经积累了大量系统配置知识，但将这些知识转化为可靠的系统操作，仍然存在明显障碍。

当然，L3 之后的曲线趋于平缓，并不意味着 AI 已经能够应对真实环境中的所有干扰。这里只能说明，在论文规定的中断条件下，通过前期安装和激活检查的任务，后续失败比例相对较低。

另一个关键发现：系统反馈决定 AI 的行动能力

为什么不同类型的持久化机制，成功率会存在如此明显的差异？

研究发现，五个模型在服务与守护进程类任务中的平均成功率达到 47.5%，应用组件类为 46.5%，账户与认证类为 44.8%。

相比之下，计划任务与事件触发类只有 19.2%，执行流程劫持类更低，只有 16.3%。

研究者提出了一种可能的解释：不同机制向 Agent 提供的反馈质量存在很大差异。

对于系统服务类任务，Agent 往往可以通过服务状态、命令执行结果和系统日志，迅速判断自己的操作是否成功。如果出现错误，还可以利用这些信息修改配置并再次尝试。

但计划任务可能需要等待特定时间或事件触发才能确认结果，而程序加载流程涉及的运行时依赖和执行上下文更加复杂，错误信息也未必能够立即观察到。

当系统无法提供及时、清晰的反馈时，Agent 就更难判断问题出在哪里，也更难通过反复调试完成目标。

这与当前 Coding Agent 的能力特点十分相似。

AI 编写代码已经越来越熟练，但它真正完成软件开发任务，往往依赖测试结果、错误日志和运行环境提供的反馈。如果反馈信息不足，模型即使掌握正确的知识，也可能在实际操作中不断试错。

这项发现提醒我们，Agent 的行动能力不仅由底座模型决定，还与工具环境、系统接口和可观测性密切相关。

不过，论文并没有专门设计控制变量实验来独立验证反馈质量的影响，因此这仍然是一种有数据支持的解释，而不是已经严格证明的因果结论。

面对 AI 持久化攻击，传统安全机制还有效吗？

如果说前面的实验是在衡量 AI 能做到什么程度，那么论文的另一组实验，则提供了更加直接的防御启示。

研究者从核心任务中选择了 128 项任务，为目标系统配置原生安全控制，包括签名校验、执行隔离、Kubernetes 准入策略以及证书认证约束等，然后分别测试开启和关闭防御时的成功率。

结果非常明显。

GPT-5.6-sol 的成功率从 40.6% 下降至 13.3%，DeepSeek-V4-pro 从 40.6% 下降至 10.9%，Claude Sonnet 5 从 33.6% 下降至 8.6%。

所有五个模型的任务成功率都出现了显著下降，启用防御后的成功率落在 5.5%～13.3% 之间。

这里有一个值得关注的细节：这些防御措施并不是专门用于识别恶意 Prompt 的大模型护栏，而是操作系统和应用程序自身的安全控制。

例如，某个 Agent 即使成功生成了服务配置文件，如果系统要求安装操作必须通过授权校验，而它无法获得相应授权，那么服务仍然不能被注册和启动。

研究者观察到，面对这些策略拒绝，Agent 往往无法准确理解失败的原因，而是将其视为普通的命令错误，反复调整参数并重新执行。即使经过多次尝试，也很难跨越真正的权限边界。

论文附录中还展示了两个具有代表性的案例。

在一个服务安装任务中，签名授权机制持续拒绝 Agent 的安装请求。虽然 Agent 反复调整配置并重试，但最终仍然无法激活服务，防御成功。

另一个 WordPress 插件任务则呈现了相反的结果。系统原本限制了受保护插件目录的写入权限，但其上层目录存在权限配置缺陷，使 Agent 能够破坏原有目录保护并完成组件安装。最终，该组件在应用进程重启和容器使用原有数据卷重建后仍然能够加载。

第二个案例说明，安全机制是否存在，与安全边界是否真正完整，是两回事。如果权限控制只覆盖某个局部对象，却没有保护相关的资源层级，仍然可能留下可以被利用的缺口。

对于 AI Agent 安全而言，这组实验提供了一个重要结论：系统级安全控制仍然能够显著限制 AI 的实际行动能力，但前提是这些控制被正确配置，并覆盖关键操作路径。

AI 距离真正的自主持续性攻击，还有多远？

CyberPersistBench 的结果表明，AI 已经能够在部分受控环境中建立持久化机制，并通过凭据撤销、服务中断和系统重新初始化等测试。

但这并不意味着 AI 已经具备成熟的自主长期潜伏能力。

首先，研究并没有要求 Agent 自主发现目标、寻找漏洞或者获取初始访问权限。所有任务都从一个预先设置好的有限立足点开始，评测的只是后续持久化能力。

其次，所谓的重启存活，也只代表通过了任务指定的生命周期测试，并不意味着 Agent 能够在真实企业网络中持续潜伏数周，或者对抗不断变化的安全策略与人工调查。

研究使用的还是隔离环境和无害测试组件，而不是实际部署恶意程序。

此外，Agent 在多主机任务中的表现仍然有限。在额外构建的 65 项多主机任务中，表现最好的 GPT-5.6-sol 最终成功率为 29.2%，GLM-5.2 为 27.7%。跨主机的权限管理、目标环境差异以及部署协调，依然是当前 AI 难以稳定解决的问题。

因此，这篇论文更准确地揭示了 AI 网络攻击能力的阶段性边界，而不是宣告 AI 已经能够独立开展成熟的持续性网络攻击。

不过，从长期趋势看，这种能力边界值得持续关注。

过去，研究者主要关心模型能否理解漏洞、生成攻击代码。随着 Agent 获得终端、浏览器、文件系统和基础设施管理接口等操作能力，评测对象开始发生变化。

模型生成的内容只是中间产物，真正需要衡量的是这些内容经过工具执行之后，会对系统状态造成什么影响，以及这些影响是否会在后续生命周期中持续存在。

这也意味着，未来 Agent 安全评测不能只停留在单次 Prompt、单次工具调用或者单轮任务的结果上，而需要进一步评估跨时间、跨状态乃至跨系统的行为后果。

对安全防护来说，同样需要将关注点从模型的输入输出扩展到真实执行边界。模型是否识别出风险固然重要，但工具是否具备相应权限、操作是否经过必要审批、系统能否在关键位置阻止不当变更，可能同样决定最终的安全结果。

写在最后

CyberPersistBench 的研究价值，不在于又提供了一份 AI 黑客能力排行榜，而是补齐了现有网络攻击评测中的一个重要环节。

传统评测主要关注 AI 能否获得初始访问权限，而这项研究开始关注：当最初的访问入口消失、系统经历正常生命周期变化之后，AI 是否还能继续保持访问能力。

研究结果表明，当前前沿模型已经能够完成一部分持久化任务，但其主要瓶颈仍然集中在将配置和代码转化为真实系统操作的过程中。与此同时，正确配置的原生安全机制，能够显著限制 Agent 建立持久化访问的能力。

随着 AI Agent 在真实计算机系统中的操作权限不断扩大，如何评估它们对系统状态的持续影响，将成为一个越来越重要的安全问题。

AI 能否打开系统的一扇门，已经有很多研究在回答。接下来，我们还需要知道，当这扇门被重新关上之后，AI 能否再次进入。