事实 524 · 信号 29 · 条目 20 · 数据库 3,168 KB · 机器人 —guest@ftrlg这是你~/whoami你在匿名发言。若想每次署名一致，评论时设一个密钥——它会生成你的 tripcode。没有注册，也永远不会有

移动目标防御

由 AI 翻译，经编辑部审校

future.log 编辑部 · 发布于

移动目标防御（英语 moving target defense，MTD），也被形象地称为“液态代码”，是一种保护计算机系统的方法：系统不断地、不可预测地改变攻击者所依赖的东西——内存地址、网络地址、网页上的字段名，乃至机器码本身。目标不是堵住所有漏洞，而是让攻击者的侦察在他来得及利用之前就已过时。

这个想法出现于 1990 年代初；2011 年，美国政府把它列为“改变游戏规则”的研究方向之一；1 它最普及的形式——内存地址随机化——早已在普通操作系统中运行：例如，Microsoft 在 2006 年宣布 Windows Vista 默认启用这项技术。2 随着 AI 的到来，攻击者的代码也变得“流动”起来：出现了第一批、目前大多仍处于实验阶段的恶意程序，它们在运行时请语言模型为自己编写代码；防御者则以能自己发现并修补漏洞的 AI 回应。34

历史

  • 10.1993弗雷德·科恩（Fred Cohen）提出通过程序演化（英语 program evolution）来保护操作系统：不断改变外形、但功能不变的代码更难被自动攻击。5 ¶ c5g4vhcir
  • 05.05.1997斯蒂芬妮·福里斯特（Stephanie Forrest）、阿尼尔·索马亚吉（Anil Somayaji）和戴维·阿克利（David Ackley）写道，多样性是“生物系统稳健性的重要来源”，而计算机恰恰“以缺乏多样性著称”，并提议让程序的每个副本都略有不同。6 ¶ c9wz3ybay
  • 26.05.2006Microsoft 宣布 Windows Vista 默认启用地址空间布局随机化（ASLR）：库被加载到 256 个位置之一，攻击者猜中地址的概率为 1/256。2 ¶ c7nd3wb9z
  • 2011由苏希尔·贾约迪亚（Sushil Jajodia）等人主编的文集《Moving Target Defense》出版。7 ¶ c6376fp9b
  • 12.2011美国联邦网络安全研究计划把“移动目标”列为四个“改变游戏规则”的主题之一：系统应当变得“不那么确定、不那么同质、不那么静态”，从而“大幅提高攻击成本”。1 ¶ ctfw5zgbx
  • 21.01.2014初创公司 Shape Security 结束隐身状态，推出 ShapeShifter——一种在网页每次展示时改写其代码的设备，产生“永不停歇的随机代码变体流”，让按名称查找字段的机器人失灵。8 ¶ cxggewk3y
  • 30.03.2014Linux 3.14 引入内核自身地址的随机化（KASLR）。9 ¶ cmczf769a
  • 03.11.2014第一届 ACM 移动目标防御学术研讨会在斯科茨代尔举行。10 ¶ cbetpgrme
  • 19.12.2019F5 宣布以约 10 亿美元收购 Shape Security。11 ¶ cbmzhdrr3
  • 19.03.2025Cloudflare 推出 AI Labyrinth：对违反网站规则的爬虫不再直接拦截，而是把它引入一座由 AI 撰写、看似可信的页面迷宫。12 ¶ cvviw3pqq
  • 05.11.2025Google 披露恶意程序 PROMPTFLUX：它的一个变种每小时请 Gemini 模型重写自己的全部源代码，以免被杀毒软件识别。3 ¶ c95zmec4f

工作原理

各种移动目标防御都基于同一个观察：攻击几乎总是从侦察开始，而侦察默认系统明天还和今天一样。被改变的，正是攻击者研究的东西。

内存。 程序及其库每次启动都位于新的地址（Windows、Linux、macOS、OpenBSD 中的 ASLR）；Shuffler 这样的研究系统每隔几十毫秒就打乱一次正在运行的程序的代码。213 以色列公司 Morphisec 把同样的思路卖给工作站；2018 年，美国国土安全部拨给它 20 万美元，用于开发面向虚拟桌面的版本。14 ¶ cuk9f97rt

网络。 计算机定期更换自己的地址——自己人仍能互相通信，而攻击者的扫描器每次看到的都是不同的图景（MT6D，2011；OpenFlow Random Host Mutation，2012）。1516 ¶ cgyjig993

网页。 字段名、标记结构和防护脚本在每次加载时都会改变，让照着记忆填写表单的机器人扑空：例如 Shape Security（2020 年起成为 F5 的一部分），以及 Kasada——它写道，自己的脚本“不断变形，每次加载都采用不同的混淆”。817 与此相近的手法是页面本身无穷无尽的陷阱：AI Labyrinth 和 Nepenthes 把爬虫引入由生成页面构成的迷宫。1218 ¶ cpfa8zgbs

攻击者的代码。 恶意程序早就会改变外形以躲避杀毒软件——Shape Security 推出时，它的产品就被直接描述为把这种手法搬到防御一方。8 有了语言模型，改写变得廉价。样本 BlackMamba（HYAS，2023）每次运行都重新从 OpenAI 的模型获取自己的代码；被归于 APT28 组织的 LAMEHUG 干脆不存储命令——它请 Qwen 模型根据描述现编命令。1920 ¶ c2ycwys87

防御者的代码。 同样的廉价也有另一面：AI 系统寻找漏洞并自己编写修复。在 DARPA AIxCC 竞赛决赛中，这类系统处理了超过 5400 万行代码；Google DeepMind 的 CodeMender 在半年内向开源项目提交了 72 个修复，其中也包括重写整段代码，而不只是打补丁。421 布鲁斯·施奈尔（Bruce Schneier）和合著者把这称为“持续发现/持续修复”。22 ¶ cg4qyywkn

数据

攻击和防御的代价

谁、何时研究内容结果
沙查姆（Shacham）等，10.200423在 32 位系统上，能否用暴力穷举绕过内存随机化受 PaX 保护的 Apache 网络服务器平均 216 秒即被攻破。 ¶ criuj45ue
奥赫拉维（Okhravi）等（MIT 林肯实验室），03.201424随机化的薄弱环节没有一种方法经得起任意内存区域的泄露；对于会自动重启的服务器，16 位随机性几分钟就能被猜中。 ¶ czpyr7prq
威廉姆斯-金（Williams-King）等（哥伦比亚大学），201613运行时打乱代码的代价每 50 毫秒打乱一次，程序运行速度慢 14.9%。 ¶ c6tw3aszn

AI 给“流动性”带来了什么

谁、何时研究内容结果
Unit 42（Palo Alto Networks），20.12.202425语言模型能否改写恶意 JavaScript，让神经网络检测器认不出来88% 的情况下，检测器开始把代码判定为安全。用 1 万个这样的变体再训练检测器后，它对新样本的识别率提高了 10%。 ¶ cmgi988vm
奥尔泰亚（Hortea）等，05.202626AI 模型编写的恶意代码有多大差异一个变体的成本为 0.41–0.73 美元，但模型不会改动模块之间的边界——一条特征码就能抓住所有变体。 ¶ c7da9ni8a
诺盖拉（Nogueira）等，07.202627AI 编写的同一程序的多个版本，错误是否相互独立不是：三到五个版本带来的可靠性提升，不到错误相互独立时应有提升的一半，而同一模型生成的版本不到三分之一。 ¶ crq9cdpbv
DARPA AIxCC，08.08.20254AI 系统能否自己发现并修复漏洞在决赛的 63 道题目中发现了 54 个预先植入的漏洞，修复了 43 个；还顺带发现了 18 个并非人为植入的真实漏洞。 ¶ cfdcv7m5v
[编辑部结论]

移动目标防御提高了攻击的代价，但并不能让攻击变得不可能：如果随机性不足，内存随机化几分钟就能被穷举破解（沙查姆、奥赫拉维），而持续的变动要以防御者的速度为代价（威廉姆斯-金）。AI 让双方的“流动”都变得更便宜，但目前还只停留在表面：模型改写的代码能骗过神经网络检测器（Unit 42），却会被一条精确的特征码抓住（奥尔泰亚），而 AI 写出的同一程序的不同版本会犯同样的错误（诺盖拉）——也就是说，AI 目前还带不来真正的多样性。最可衡量的变化发生在防御一方：能自己发现并修复漏洞的系统（AIxCC）。 ¶ ccbyp5tdi

事件

LAMEHUG：恶意程序向模型索要命令，2025 年 7 月 ¶ cr93d4nzd

乌克兰计算机应急响应小组 CERT-UA 报告了一次针对安全和国防部门机构的邮件投递：附件中的程序按照预设的描述，通过 Hugging Face 服务请语言模型 Qwen 2.5-Coder 生成命令，然后执行这些命令。CERT-UA 以中等置信度将这次攻击与 APT28 组织联系起来。20 Google 在 11 月称这一家族（它称之为 PROMPTSTEAL）是它所观察到的恶意程序在真实行动中调用语言模型的第一例。3

PromptLock：“首个 AI 勒索软件”原来是科研成果，2025 年 8 月 ¶ czn8d8pvd

ESET 宣布发现了“首个已知的 AI 驱动勒索软件”：该程序借助开放模型 gpt-oss-20b 自行生成恶意脚本，不过从未在攻击中见到过它。28 不久后查明，在 VirusTotal 上发现的这些样本是纽约大学坦登工程学院研究人员的原型：ESET 于 9 月 3 日补充更新了文章，大学则在 9 月 17 日对此作了说明。29

机器人学会了通过 Anubis，2025 年 8 月 ¶ ckjmx7i79

代码托管平台 Codeberg 用 Anubis 程序（它要求浏览器完成一道计算题）抵御 AI 爬虫，该平台报告说：“看来 AI 爬虫已经学会了解答 Anubis 的挑战。”30 研究者塔维斯·奥曼迪（Tavis Ormandy）算了一笔账：这种题目对爬虫几乎毫无成本——一周内访问所有使用 Anubis 的网站，花费“大约 0 美元”。31

批评

这一方法的局限很早就显现出来：沙查姆和合著者在 2004 年得出结论，在 32 位系统上，PaX 式的地址空间随机化带来的只是蠕虫传播速度的“小幅减慢”。23 ¶ ce5txvahb

2011 年美国联邦计划的作者自己承认了核心矛盾：人们通常认为复杂性会增加系统的风险，而挑战在于“证明复杂性确实是优势而不是负担”。1 ¶ cjk3pjz2y

同样的问题也摆在了本站面前。在 future.log 评论表单的原型中，表单每次打开都会生成新的随机字段名，并混入顺序打乱的诱饵字段。上线前复查时，这些做法被放弃了：既然新人的头几条评论由编辑部审核，信任又绑定在作者固定的签名（tripcode）上，随机字段名对防护几乎没有增益。留下的是一次性签名令牌、一个陷阱字段和频率限制。32 ¶ censp6rrb

研究者马库斯·哈钦斯（Marcus Hutchins）认为围绕 PROMPTFLUX 的炒作言过其实：代码中没有任何机制能保证新版本与旧版本不同并且能够运行，而改写功能本身已被注释掉。33 Google 自己也写道，这个程序目前还无法感染受害者的网络。3 ⧗ ¶ cgjwejtv3

发展

移动目标防御正朝两个方向演变。机器人防护在混淆之外加上了签名验证：随着 AI 智能体流量的增长，Cloudflare 写道，什么才算机器人“已不再泾渭分明”，并建议诚实的机器人对请求进行加密签名——这样网站就不必再靠容易伪造的特征去辨认它们。34 而防御的“移动”正变成修复的速度：Google 在 2026 年 5 月报告，它首次发现了一个据其评估借助 AI 制作的零日漏洞利用程序——并且抢在了大规模攻击之前。35 ¶ cxhf73u7i

[编辑部结论]

最初，移动目标防御意味着“打乱，让敌人找不到”。在 AI 时代，它越来越意味着“改写得比敌人找到得更快”：双方都用模型来改变代码，谁的循环更短，谁就赢。随机化依然能对付廉价的大规模自动化，但面对像人一样阅读系统的攻击者，关键不再是代码的形式，而是修复它的速度。 ¶ cb58ctmz3

信号

参见

工作量证明防护行为生物识别验证码之死死亡互联网理论自主 AI 智能体AI 安全开源

参考资料

  1. Trustworthy Cyberspace: Strategic Plan for the Federal Cybersecurity Research and Development Program — National Science and Technology Council, Executive Office of the President, 12.2011. nitrd.gov ↩ ↩2 ↩3

  2. M. Howard. Address Space Layout Randomization in Windows Vista — Microsoft, 26.05.2006. learn.microsoft.com ↩ ↩2 ↩3

  3. GTIG AI Threat Tracker: Advances in Threat Actor Usage of AI Tools — Google Threat Intelligence Group, 05.11.2025. cloud.google.com ↩ ↩2 ↩3 ↩4

  4. AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. darpa.mil ↩ ↩2 ↩3

  5. F. B. Cohen. Operating system protection through program evolution — Computers & Security, 第 12 卷，第 6 期，10.1993. doi.org ↩

  6. S. Forrest, A. Somayaji, D. H. Ackley. Building diverse computer systems — HotOS-VI, IEEE, 05.05.1997. doi.org ↩

  7. S. Jajodia, A. K. Ghosh, V. Swarup, C. Wang, X. S. Wang（编）. Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats — Springer, 2011. doi.org ↩

  8. J. Casaretto. Shape Security emerges from stealth, looking to change website security forever — SiliconANGLE, 21.01.2014. siliconangle.com ↩ ↩2 ↩3

  9. Linux 3.14 — Kernel Newbies, 30.03.2014. kernelnewbies.org ↩

  10. First ACM Workshop on Moving Target Defense (MTD 2014) — George Mason University, 03.11.2014. csis.gmu.edu ↩

  11. F5 to Acquire Shape Security, Transforming Application Security — F5 Networks（向 SEC 提交的 8-K 报告附件）, 19.12.2019. sec.gov ↩

  12. R. Tatoris. Trapping misbehaving bots in an AI Labyrinth — Cloudflare, 19.03.2025. blog.cloudflare.com ↩ ↩2

  13. D. Williams-King et al. Shuffler: Fast and Deployable Continuous Code Re-Randomization — OSDI, USENIX, 2016. cs.columbia.edu ↩ ↩2

  14. News Release: Israeli Morphisec Gets $200K for Cybersecurity Tech — U.S. Department of Homeland Security, 02.10.2018. dhs.gov ↩

  15. M. Dunlop, S. Groat, W. Urbanski, R. Marchany, J. Tront. MT6D: A Moving Target IPv6 Defense — MILCOM, IEEE, 11.2011. doi.org ↩

  16. J. H. Jafarian, E. Al-Shaer, Q. Duan. OpenFlow random host mutation: transparent moving target defense using software defined networking — HotSDN, ACM, 13.08.2012. doi.org ↩

  17. JavaScript Deobfuscation: Hiding Intent to Fortify Bot Defenses — Kasada, 12.03.2021. kasada.io ↩

  18. J. Koebler. Developer Creates Infinite Maze That Traps AI Training Bots — 404 Media, 23.01.2025. 404media.co ↩

  19. J. Sims. BlackMamba: Using AI to Generate Polymorphic Malware — HYAS Labs, 07.03.2023（存档副本）. web.archive.org ↩

  20. [UAC-0001 使用调用 LLM 的软件工具 LAMEHUG 对安全和国防部门发动的网络攻击] (CERT-UA#16039)，乌克兰语 — CERT-UA, 17.07.2025. cert.gov.ua ↩ ↩2

  21. R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. deepmind.google ↩

  22. H. Adkins, G. Evron, B. Schneier. Autonomous AI Hacking and the Future of Cybersecurity — Schneier on Security（转载自 CSO）, 10.10.2025. schneier.com ↩

  23. H. Shacham et al. On the Effectiveness of Address-Space Randomization — ACM CCS, 10.2004. hovav.net ↩ ↩2

  24. H. Okhravi, T. Hobson, D. Bigelow, W. Streilein. Finding Focus in the Blur of Moving-Target Techniques — IEEE Security & Privacy, 03.2014. ll.mit.edu ↩

  25. Now You See Me, Now You Don’t: Using LLMs to Obfuscate Malicious JavaScript — Unit 42, Palo Alto Networks, 20.12.2024. unit42.paloaltonetworks.com ↩

  26. Hortea, Varlese, Romano, Tapiador. The Infinite Mutation Engine? Measuring Polymorphism in LLM-Generated Offensive Code — arXiv, 05.05.2026. arxiv.org ↩

  27. Nogueira, Pattabiraman, Vieira, Campos. A Systematic Methodology for Evaluating Failure Independence in LLM-Generated Code — arXiv, 02.07.2026. arxiv.org ↩

  28. A. Cherepanov, P. Strýček. First known AI-powered ransomware uncovered by ESET Research — ESET, 26.08.2025. welivesecurity.com ↩

  29. AI-Powered Ransomware That Sparked Concern Was NYU’s Work — NYU Tandon School of Engineering, 17.09.2025. engineering.nyu.edu ↩

  30. T. Claburn. Codeberg beset by AI bots that now bypass Anubis tarpit — The Register, 15.08.2025. theregister.com ↩

  31. T. Ormandy. Anubis. — lock.cmpxchg8b.com, 2025. lock.cmpxchg8b.com ↩

  32. future.log 决策日志，第 23 号决定（10.10.2026）和第 108 号决定（12.10.2026）— future.log 编辑部；内部文件。 ↩

  33. R. Lakshmanan. Google Uncovers PROMPTFLUX Malware That Uses Gemini AI to Rewrite Its Code Hourly — The Hacker News, 05.11.2025. thehackernews.com ⧗ ↩

  34. T. Meunier, M. Galicer. Forget IPs: using cryptography to verify bot and agent traffic — Cloudflare, 15.05.2025. blog.cloudflare.com ↩

  35. GTIG AI Threat Tracker: Adversaries Leverage AI for Vulnerability Exploitation, Augmented Operations, and Initial Access — Google Threat Intelligence Group, 11.05.2026. cloud.google.com ↩

你的署名

需要记住的是密钥——它就是你的密码。tripcode 由密钥计算得出，显示在你的名字旁：同一个密钥总会得到同一个 tripcode，没有密钥就无法伪造。密钥不会被公开，也不会保存在服务器上。