---
title: 移动目标防御
url: https://ftrlg.com/zh/wiki/moving-target-defense/
lang: zh
published: 2026-10-23
version: 1
summary: 一种防御方式：不去堵住所有漏洞，而是不断改变漏洞的位置，让攻击者手里的地图在用上之前就已过时。AI 让攻防双方都加快了。
cite_as: "future.log, «移动目标防御», https://ftrlg.com/zh/wiki/moving-target-defense/"
license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/
---

# 移动目标防御

**移动目标防御**（英语 *moving target defense*，MTD），也被形象地称为“液态代码”，是一种保护计算机系统的方法：系统不断地、不可预测地改变攻击者所依赖的东西——内存地址、网络地址、网页上的字段名，乃至机器码本身。目标不是堵住所有漏洞，而是让攻击者的侦察在他来得及利用之前就已过时。

这个想法出现于 1990 年代初；2011 年，美国政府把它列为“改变游戏规则”的研究方向之一；[^1] 它最普及的形式——内存地址随机化——早已在普通操作系统中运行：例如，Microsoft 在 2006 年宣布 Windows Vista 默认启用这项技术。[^5] 随着 AI 的到来，攻击者的代码也变得“流动”起来：出现了第一批、目前大多仍处于实验阶段的恶意程序，它们在运行时请语言模型为自己编写代码；防御者则以能自己发现并修补漏洞的 AI 回应。[^2][^20]

## 历史

- **10.1993** 弗雷德·科恩（Fred Cohen）提出通过程序演化（英语 *program evolution*）来保护操作系统：不断改变外形、但功能不变的代码更难被自动攻击。[^3] <!-- ¶ c5g4vhcir -->
- **05.05.1997** 斯蒂芬妮·福里斯特（Stephanie Forrest）、阿尼尔·索马亚吉（Anil Somayaji）和戴维·阿克利（David Ackley）写道，多样性是“生物系统稳健性的重要来源”，而计算机恰恰“以缺乏多样性著称”，并提议让程序的每个副本都略有不同。[^4] <!-- ¶ c9wz3ybay -->
- **26.05.2006** Microsoft 宣布 Windows Vista 默认启用地址空间布局随机化（ASLR）：库被加载到 256 个位置之一，攻击者猜中地址的概率为 1/256。[^5] <!-- ¶ c7nd3wb9z -->
- **2011** 由苏希尔·贾约迪亚（Sushil Jajodia）等人主编的文集《Moving Target Defense》出版。[^6] <!-- ¶ c6376fp9b -->
- **12.2011** 美国联邦网络安全研究计划把“移动目标”列为四个“改变游戏规则”的主题之一：系统应当变得“不那么确定、不那么同质、不那么静态”，从而“大幅提高攻击成本”。[^1] <!-- ¶ ctfw5zgbx -->
- **21.01.2014** 初创公司 Shape Security 结束隐身状态，推出 ShapeShifter——一种在网页每次展示时改写其代码的设备，产生“永不停歇的随机代码变体流”，让按名称查找字段的机器人失灵。[^7] <!-- ¶ cxggewk3y -->
- **30.03.2014** Linux 3.14 引入内核自身地址的随机化（KASLR）。[^8] <!-- ¶ cmczf769a -->
- **03.11.2014** 第一届 ACM 移动目标防御学术研讨会在斯科茨代尔举行。[^9] <!-- ¶ cbetpgrme -->
- **19.12.2019** F5 宣布以约 10 亿美元收购 Shape Security。[^10] <!-- ¶ cbmzhdrr3 -->
- **19.03.2025** Cloudflare 推出 AI Labyrinth：对违反网站规则的爬虫不再直接拦截，而是把它引入一座由 AI 撰写、看似可信的页面迷宫。[^11] <!-- ¶ cvviw3pqq -->
- **05.11.2025** Google 披露恶意程序 PROMPTFLUX：它的一个变种每小时请 Gemini 模型重写自己的全部源代码，以免被杀毒软件识别。[^2] <!-- ¶ c95zmec4f -->

## 工作原理

各种移动目标防御都基于同一个观察：攻击几乎总是从侦察开始，而侦察默认系统明天还和今天一样。被改变的，正是攻击者研究的东西。

**内存。** 程序及其库每次启动都位于新的地址（Windows、Linux、macOS、OpenBSD 中的 ASLR）；Shuffler 这样的研究系统每隔几十毫秒就打乱一次正在运行的程序的代码。[^5][^12] 以色列公司 Morphisec 把同样的思路卖给工作站；2018 年，美国国土安全部拨给它 20 万美元，用于开发面向虚拟桌面的版本。[^13] <!-- ¶ cuk9f97rt -->

**网络。** 计算机定期更换自己的地址——自己人仍能互相通信，而攻击者的扫描器每次看到的都是不同的图景（MT6D，2011；OpenFlow Random Host Mutation，2012）。[^14][^15] <!-- ¶ cgyjig993 -->

**网页。** 字段名、标记结构和防护脚本在每次加载时都会改变，让照着记忆填写表单的机器人扑空：例如 Shape Security（2020 年起成为 F5 的一部分），以及 Kasada——它写道，自己的脚本“不断变形，每次加载都采用不同的混淆”。[^7][^16] 与此相近的手法是页面本身无穷无尽的陷阱：AI Labyrinth 和 Nepenthes 把爬虫引入由生成页面构成的迷宫。[^11][^17] <!-- ¶ cpfa8zgbs -->

**攻击者的代码。** 恶意程序早就会改变外形以躲避杀毒软件——Shape Security 推出时，它的产品就被直接描述为把这种手法搬到防御一方。[^7] 有了语言模型，改写变得廉价。样本 BlackMamba（HYAS，2023）每次运行都重新从 [OpenAI](https://ftrlg.com/zh/models/openai/) 的模型获取自己的代码；被归于 APT28 组织的 LAMEHUG 干脆不存储命令——它请 Qwen 模型根据描述现编命令。[^18][^19] <!-- ¶ c2ycwys87 -->

**防御者的代码。** 同样的廉价也有另一面：AI 系统寻找漏洞并自己编写修复。在 DARPA AIxCC 竞赛决赛中，这类系统处理了超过 5400 万行代码；[Google DeepMind](https://ftrlg.com/zh/models/google-deepmind/) 的 CodeMender 在半年内向开源项目提交了 72 个修复，其中也包括重写整段代码，而不只是打补丁。[^20][^21] 布鲁斯·施奈尔（Bruce Schneier）和合著者把这称为“持续发现/持续修复”。[^22] <!-- ¶ cg4qyywkn -->

## 数据

**攻击和防御的代价**

| 谁、何时 | 研究内容 | 结果 |
|---|---|---|
| 沙查姆（Shacham）等，10.2004[^23] | 在 32 位系统上，能否用暴力穷举绕过内存随机化 | 受 PaX 保护的 Apache 网络服务器平均 216 秒即被攻破。 <!-- ¶ criuj45ue --> |
| 奥赫拉维（Okhravi）等（MIT 林肯实验室），03.2014[^24] | 随机化的薄弱环节 | 没有一种方法经得起任意内存区域的泄露；对于会自动重启的服务器，16 位随机性几分钟就能被猜中。 <!-- ¶ czpyr7prq --> |
| 威廉姆斯-金（Williams-King）等（哥伦比亚大学），2016[^12] | 运行时打乱代码的代价 | 每 50 毫秒打乱一次，程序运行速度慢 14.9%。 <!-- ¶ c6tw3aszn --> |

**AI 给“流动性”带来了什么**

| 谁、何时 | 研究内容 | 结果 |
|---|---|---|
| Unit 42（Palo Alto Networks），20.12.2024[^25] | 语言模型能否改写恶意 JavaScript，让神经网络检测器认不出来 | 88% 的情况下，检测器开始把代码判定为安全。用 1 万个这样的变体再训练检测器后，它对新样本的识别率提高了 10%。 <!-- ¶ cmgi988vm --> |
| 奥尔泰亚（Hortea）等，05.2026[^26] | AI 模型编写的恶意代码有多大差异 | 一个变体的成本为 0.41–0.73 美元，但模型不会改动模块之间的边界——一条特征码就能抓住所有变体。 <!-- ¶ c7da9ni8a --> |
| 诺盖拉（Nogueira）等，07.2026[^27] | AI 编写的同一程序的多个版本，错误是否相互独立 | 不是：三到五个版本带来的可靠性提升，不到错误相互独立时应有提升的一半，而同一模型生成的版本不到三分之一。 <!-- ¶ crq9cdpbv --> |
| DARPA AIxCC，08.08.2025[^20] | AI 系统能否自己发现并修复漏洞 | 在决赛的 63 道题目中发现了 54 个预先植入的漏洞，修复了 43 个；还顺带发现了 18 个并非人为植入的真实漏洞。 <!-- ¶ cfdcv7m5v --> |

> **[编辑部结论]** 移动目标防御提高了攻击的代价，但并不能让攻击变得不可能：如果随机性不足，内存随机化几分钟就能被穷举破解（沙查姆、奥赫拉维），而持续的变动要以防御者的速度为代价（威廉姆斯-金）。AI 让双方的“流动”都变得更便宜，但目前还只停留在表面：模型改写的代码能骗过神经网络检测器（Unit 42），却会被一条精确的特征码抓住（奥尔泰亚），而 AI 写出的同一程序的不同版本会犯同样的错误（诺盖拉）——也就是说，AI 目前还带不来真正的多样性。最可衡量的变化发生在防御一方：能自己发现并修复漏洞的系统（AIxCC）。 <!-- ¶ ccbyp5tdi -->

## 事件

### LAMEHUG：恶意程序向模型索要命令，2025 年 7 月 <!-- ¶ cr93d4nzd -->

乌克兰计算机应急响应小组 CERT-UA 报告了一次针对安全和国防部门机构的邮件投递：附件中的程序按照预设的描述，通过 Hugging Face 服务请语言模型 Qwen 2.5-Coder 生成命令，然后执行这些命令。CERT-UA 以中等置信度将这次攻击与 APT28 组织联系起来。[^19] Google 在 11 月称这一家族（它称之为 PROMPTSTEAL）是它所观察到的恶意程序在真实行动中调用语言模型的第一例。[^2]

### PromptLock：“首个 AI 勒索软件”原来是科研成果，2025 年 8 月 <!-- ¶ czn8d8pvd -->

ESET 宣布发现了“首个已知的 AI 驱动勒索软件”：该程序借助开放模型 gpt-oss-20b 自行生成恶意脚本，不过从未在攻击中见到过它。[^28] 不久后查明，在 VirusTotal 上发现的这些样本是纽约大学坦登工程学院研究人员的原型：ESET 于 9 月 3 日补充更新了文章，大学则在 9 月 17 日对此作了说明。[^29]

### 机器人学会了通过 Anubis，2025 年 8 月 <!-- ¶ ckjmx7i79 -->

代码托管平台 Codeberg 用 Anubis 程序（它要求浏览器完成一道计算题）抵御 AI 爬虫，该平台报告说：“看来 AI 爬虫已经学会了解答 Anubis 的挑战。”[^30] 研究者塔维斯·奥曼迪（Tavis Ormandy）算了一笔账：这种题目对爬虫几乎毫无成本——一周内访问所有使用 Anubis 的网站，花费“大约 0 美元”。[^31]

## 批评

这一方法的局限很早就显现出来：沙查姆和合著者在 2004 年得出结论，在 32 位系统上，PaX 式的地址空间随机化带来的只是蠕虫传播速度的“小幅减慢”。[^23] <!-- ¶ ce5txvahb -->

2011 年美国联邦计划的作者自己承认了核心矛盾：人们通常认为复杂性会增加系统的风险，而挑战在于“证明复杂性确实是优势而不是负担”。[^1] <!-- ¶ cjk3pjz2y -->

同样的问题也摆在了本站面前。在 future.log 评论表单的原型中，表单每次打开都会生成新的随机字段名，并混入顺序打乱的诱饵字段。上线前复查时，这些做法被放弃了：既然新人的头几条评论由编辑部审核，信任又绑定在作者固定的签名（tripcode）上，随机字段名对防护几乎没有增益。留下的是一次性签名令牌、一个陷阱字段和频率限制。[^35] <!-- ¶ censp6rrb -->

研究者马库斯·哈钦斯（Marcus Hutchins）认为围绕 PROMPTFLUX 的炒作言过其实：代码中没有任何机制能保证新版本与旧版本不同并且能够运行，而改写功能本身已被注释掉。[^32] Google 自己也写道，这个程序目前还无法感染受害者的网络。[^2] ⧗ <!-- ¶ cgjwejtv3 -->

## 发展

移动目标防御正朝两个方向演变。机器人防护在混淆之外加上了签名验证：随着 [AI 智能体](https://ftrlg.com/zh/wiki/autonomous-ai-agents/)流量的增长，Cloudflare 写道，什么才算机器人“已不再泾渭分明”，并建议诚实的机器人对请求进行加密签名——这样网站就不必再靠容易伪造的特征去辨认它们。[^33] 而防御的“移动”正变成修复的速度：Google 在 2026 年 5 月报告，它首次发现了一个据其评估借助 AI 制作的零日漏洞利用程序——并且抢在了大规模攻击之前。[^34] <!-- ¶ cxhf73u7i -->

> **[编辑部结论]** 最初，移动目标防御意味着“打乱，让敌人找不到”。在 AI 时代，它越来越意味着“改写得比敌人找到得更快”：双方都用模型来改变代码，谁的循环更短，谁就赢。随机化依然能对付廉价的大规模自动化，但面对像人一样阅读系统的攻击者，关键不再是代码的形式，而是修复它的速度。 <!-- ¶ cb58ctmz3 -->

## 信号

- 2025-10-10 — 布鲁斯·施奈尔: «长期以来，我们想当然地认为，漏洞公开之后我们还有时间给系统打补丁……情况已不再如此。……这些发展可能会让天平彻底倾斜。我们可能正面临一场属于网络攻击者的奇点事件» — 密码学家，在与希瑟·阿德金斯（Heather Adkins，Google）和加迪·埃夫龙（Gadi Evron）合写的文章中；他们认为，防御一方的回应是借助 AI “持续发现、持续修复”漏洞 (https://ftrlg.com/zh/signals/cydmuidxd/) <!-- ¶ cydmuidxd -->
- 2025-08-08 — 斯蒂芬·温切尔: «用现有方法发现漏洞、修补代码库既缓慢又昂贵，还依赖有限的人力——尤其是在对手利用 AI 放大其漏洞利用攻击的情况下。AIxCC 开发的技术将为防御者带来急需的优势，让他们能够快速、大规模地发现并修补漏洞» — DARPA 局长，在关于 AIxCC 竞赛结果的新闻稿中；在这场竞赛中，AI 系统自己发现并修复漏洞，七个决赛系统中有四个已开源 (https://ftrlg.com/zh/signals/cmnxgsk24/) <!-- ¶ cmnxgsk24 -->

## 参见

工作量证明防护 · [行为生物识别](https://ftrlg.com/zh/wiki/behavioral-biometrics/) · [验证码之死](https://ftrlg.com/zh/wiki/death-of-captcha/) · [死亡互联网理论](https://ftrlg.com/zh/wiki/dead-internet-theory/) · [自主 AI 智能体](https://ftrlg.com/zh/wiki/autonomous-ai-agents/) · [AI 安全](https://ftrlg.com/zh/wiki/ai-safety/) · [开源](https://ftrlg.com/zh/wiki/open-source/)

## 参考资料

[^1]: Trustworthy Cyberspace: Strategic Plan for the Federal Cybersecurity Research and Development Program — National Science and Technology Council, Executive Office of the President, 12.2011. [nitrd.gov](https://www.nitrd.gov/pubs/Fed_Cybersecurity_RD_Strategic_Plan_2011.pdf)
[^2]: GTIG AI Threat Tracker: Advances in Threat Actor Usage of AI Tools — Google Threat Intelligence Group, 05.11.2025. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/threat-actor-usage-of-ai-tools)
[^3]: F. B. Cohen. Operating system protection through program evolution — Computers & Security, 第 12 卷，第 6 期，10.1993. [doi.org](https://doi.org/10.1016/0167-4048(93)90054-9)
[^4]: S. Forrest, A. Somayaji, D. H. Ackley. Building diverse computer systems — HotOS-VI, IEEE, 05.05.1997. [doi.org](https://doi.org/10.1109/HOTOS.1997.595185)
[^5]: M. Howard. Address Space Layout Randomization in Windows Vista — Microsoft, 26.05.2006. [learn.microsoft.com](https://learn.microsoft.com/en-us/archive/blogs/michael_howard/address-space-layout-randomization-in-windows-vista)
[^6]: S. Jajodia, A. K. Ghosh, V. Swarup, C. Wang, X. S. Wang（编）. Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats — Springer, 2011. [doi.org](https://doi.org/10.1007/978-1-4614-0977-9)
[^7]: J. Casaretto. Shape Security emerges from stealth, looking to change website security forever — SiliconANGLE, 21.01.2014. [siliconangle.com](https://siliconangle.com/2014/01/21/shape-security-emerges-from-stealth-looking-to-change-website-security-forever/)
[^8]: Linux 3.14 — Kernel Newbies, 30.03.2014. [kernelnewbies.org](https://kernelnewbies.org/Linux_3.14)
[^9]: First ACM Workshop on Moving Target Defense (MTD 2014) — George Mason University, 03.11.2014. [csis.gmu.edu](https://csis.gmu.edu/MTD2014/)
[^10]: F5 to Acquire Shape Security, Transforming Application Security — F5 Networks（向 SEC 提交的 8-K 报告附件）, 19.12.2019. [sec.gov](https://www.sec.gov/Archives/edgar/data/1048695/000104869519000036/pressrelease12192019.htm)
[^11]: R. Tatoris. Trapping misbehaving bots in an AI Labyrinth — Cloudflare, 19.03.2025. [blog.cloudflare.com](https://blog.cloudflare.com/ai-labyrinth/)
[^12]: D. Williams-King et al. Shuffler: Fast and Deployable Continuous Code Re-Randomization — OSDI, USENIX, 2016. [cs.columbia.edu](https://www.cs.columbia.edu/~junfeng/papers/shuffler/)
[^13]: News Release: Israeli Morphisec Gets $200K for Cybersecurity Tech — U.S. Department of Homeland Security, 02.10.2018. [dhs.gov](https://www.dhs.gov/science-and-technology/news/2018/10/02/news-release-israeli-morphisec-gets-200k-cybersecurity-tech)
[^14]: M. Dunlop, S. Groat, W. Urbanski, R. Marchany, J. Tront. MT6D: A Moving Target IPv6 Defense — MILCOM, IEEE, 11.2011. [doi.org](https://doi.org/10.1109/MILCOM.2011.6127486)
[^15]: J. H. Jafarian, E. Al-Shaer, Q. Duan. OpenFlow random host mutation: transparent moving target defense using software defined networking — HotSDN, ACM, 13.08.2012. [doi.org](https://doi.org/10.1145/2342441.2342467)
[^16]: JavaScript Deobfuscation: Hiding Intent to Fortify Bot Defenses — Kasada, 12.03.2021. [kasada.io](https://www.kasada.io/blog/javascript-deobsfusction-bot-defenses)
[^17]: J. Koebler. Developer Creates Infinite Maze That Traps AI Training Bots — 404 Media, 23.01.2025. [404media.co](https://www.404media.co/developer-creates-infinite-maze-to-trap-ai-crawlers-in/)
[^18]: J. Sims. BlackMamba: Using AI to Generate Polymorphic Malware — HYAS Labs, 07.03.2023（存档副本）. [web.archive.org](http://web.archive.org/web/20230327012801/https://www.hyas.com/blog/blackmamba-using-ai-to-generate-polymorphic-malware)
[^19]: [UAC-0001 使用调用 LLM 的软件工具 LAMEHUG 对安全和国防部门发动的网络攻击] (CERT-UA#16039)，乌克兰语 — CERT-UA, 17.07.2025. [cert.gov.ua](https://cert.gov.ua/article/6284730)
[^20]: AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. [darpa.mil](https://www.darpa.mil/news/2025/aixcc-results)
[^21]: R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. [deepmind.google](https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/)
[^22]: H. Adkins, G. Evron, B. Schneier. Autonomous AI Hacking and the Future of Cybersecurity — Schneier on Security（转载自 CSO）, 10.10.2025. [schneier.com](https://www.schneier.com/blog/archives/2025/10/autonomous-ai-hacking-and-the-future-of-cybersecurity.html)
[^23]: H. Shacham et al. On the Effectiveness of Address-Space Randomization — ACM CCS, 10.2004. [hovav.net](https://hovav.net/ucsd/papers/sppgmb04.html)
[^24]: H. Okhravi, T. Hobson, D. Bigelow, W. Streilein. Finding Focus in the Blur of Moving-Target Techniques — IEEE Security & Privacy, 03.2014. [ll.mit.edu](https://www.ll.mit.edu/sites/default/files/publication/doc/2018-04/2014_04_15_OkhraviH_IEEES%26amp%3BP_FP.pdf)
[^25]: Now You See Me, Now You Don’t: Using LLMs to Obfuscate Malicious JavaScript — Unit 42, Palo Alto Networks, 20.12.2024. [unit42.paloaltonetworks.com](https://unit42.paloaltonetworks.com/using-llms-obfuscate-malicious-javascript/)
[^26]: Hortea, Varlese, Romano, Tapiador. The Infinite Mutation Engine? Measuring Polymorphism in LLM-Generated Offensive Code — arXiv, 05.05.2026. [arxiv.org](https://arxiv.org/abs/2605.03619)
[^27]: Nogueira, Pattabiraman, Vieira, Campos. A Systematic Methodology for Evaluating Failure Independence in LLM-Generated Code — arXiv, 02.07.2026. [arxiv.org](https://arxiv.org/abs/2607.02808)
[^28]: A. Cherepanov, P. Strýček. First known AI-powered ransomware uncovered by ESET Research — ESET, 26.08.2025. [welivesecurity.com](https://www.welivesecurity.com/en/ransomware/first-known-ai-powered-ransomware-uncovered-eset-research/)
[^29]: AI-Powered Ransomware That Sparked Concern Was NYU's Work — NYU Tandon School of Engineering, 17.09.2025. [engineering.nyu.edu](https://engineering.nyu.edu/news/ai-powered-ransomware-sparked-concern-was-nyus-work)
[^30]: T. Claburn. Codeberg beset by AI bots that now bypass Anubis tarpit — The Register, 15.08.2025. [theregister.com](https://www.theregister.com/2025/08/15/codeberg_beset_by_ai_bots/)
[^31]: T. Ormandy. Anubis. — lock.cmpxchg8b.com, 2025. [lock.cmpxchg8b.com](https://lock.cmpxchg8b.com/anubis.html)
[^32]: R. Lakshmanan. Google Uncovers PROMPTFLUX Malware That Uses Gemini AI to Rewrite Its Code Hourly — The Hacker News, 05.11.2025. [thehackernews.com](https://thehackernews.com/2025/11/google-uncovers-promptflux-malware-that.html) ⧗
[^33]: T. Meunier, M. Galicer. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. [blog.cloudflare.com](https://blog.cloudflare.com/web-bot-auth/)
[^34]: GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access — Google Threat Intelligence Group, 11.05.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/ai-vulnerability-exploitation-initial-access)
[^35]: future.log 决策日志，第 23 号决定（10.10.2026）和第 108 号决定（12.10.2026）— future.log 编辑部；内部文件。

— future.log, «移动目标防御», https://ftrlg.com/zh/wiki/moving-target-defense/ · CC BY 4.0