攻击IQ公司的保罗·里德，敌对研究副总裁 – 采访系列

保罗·里德，攻击IQ公司的敌对研究副总裁，是网络安全领域快速发展的资深老手。拥有超过二十年的技术战略经验，保罗曾为领先的科技公司提供指导，服务对象包括客户、合作伙伴、分析师和记者。他在网络安全、生物识别、网络安全和密码学方面拥有深入的专业知识。

最近，他领导了一支网络威胁猎人团队，利用行为分析来检测客户环境中出现的新威胁。保罗是《Prentice Hall Series in Computer Networking and Distributed Systems》的一位出版作者，并拥有多项网络安全专利。

攻击IQ是一家领先的网络安全公司，专门从事漏洞攻击和持续安全验证。其对手暴露验证平台使用MITRE ATT&CK框架来测试安全控制，识别漏洞，并优先修复。成立于2013年，攻击IQ帮助组织提高防御能力，增强SOC效率，并降低风险。

您在网络安全领域担任领导职务超过二十年。是什么最初激发了您对敌对研究的兴趣，您是如何来到攻击IQ的?

我的网络安全之旅始于二十五年前，当时我正在搭建诺维尔网络，并在目录服务领域工作——诺维尔、微软活动目录、LDAP。早期的经历教会了我身份、认证和访问的重要性，这是任何安全策略的基础。

从那里，我转入智能卡认证，在那里我有机会编写PKCS #11库，并沉浸在公共密钥基础设施（PKI）快速发展的时代。那个时代让我对加密如何塑造数字环境中的信任有了深刻的理解。

在我的职业生涯后期，我转向数据分类，帮助组织了解其数据的价值，以便他们可以保护最重要的东西。这种经历自然让我转向用户和实体行为分析（UEBA），在那里我获得了数据科学和机器学习的实践经验，包括使用R编程语言。

最终，我有幸领导一个全球威胁猎人团队，我们进行了对国家级对手的实时追踪。那是一个激烈和开眼界的时期。没有比每天与对手进行实战更好的方式来了解他们的战术、技术和程序（TTPs）了。

在那段时间里，一个反复出现的沮丧情绪出现了：我们经常说，“如果他们做了X或者有Y控制就好了……”在威胁意识和操作防御准备之间存在一个差距。

这就是我最终来到攻击IQ的原因。将我所学到的知识应用于模拟现实世界的对手，通过漏洞攻击和模拟来验证防御是否真正有效，这个机会太诱人了，无法放弃。这里，我们不仅仅是理论上的威胁；我们每天都在测试、测量和改进防御。

我们的团队遵循一个指导原则：“以恶意的方式思考，做好事。”我们像对手一样思考，不是为了造成伤害，而是为了帮助我们的客户准备和击败他们。

在TITUS、Interset和Micro Focus等公司担任团队领导职务后，您在威胁情报和合作伙伴使能方面的经验如何塑造了您当前对敌对模拟的方法?

在TITUS、Interset和Micro Focus等公司担任技术和市场职务后，我对威胁情报如何转化为操作结果有了整体的理解，特别是合作伙伴使能。它教会了我如何将复杂的网络安全问题以可行和有意义的方式传达给不同受众，从CISO到前线SOC分析师。

在攻击IQ，敌对模拟不仅仅是重放威胁行为；它是关于与MITRE ATT&CK框架保持一致，模拟对手，并帮助组织测试他们的防御是否能够抵御现实世界的场景。这需要不仅仅是技术上的严谨，还需要教育、合作和使安全生态系统中的利益相关者能够发挥作用。

我之前的角色帮助我理解了如何弥合情报和执行之间的差距——如何以积极、可衡量和可防御的方式来运用威胁格局。这是攻击IQ的使命的本质。

您现在领导敌对研究，攻击者正在大规模采用人工智能。您如何看待近年来进攻性人工智能战术的演变，以及防御者如何努力跟上?

攻击者正在利用人工智能来增加他们的速度、精度和规模。我们看到更多个性化和可信的钓鱼诱饵、人工智能生成的社会工程和攻击的规模和效率更大。这些能力减少了侦察和泄露之间的时间，压缩了防御者的响应窗口。许多组织仍然依赖于被动的流程和静态的检测规则，这些规则并不是为能够学习和演化的攻击者设计的。防御者需要采用持续的验证和暴露管理来弥合这一差距，在现实条件下测试他们的防御，并快速迭代以应对新的对手行为。

敌对人工智能与传统网络威胁有什么区别，您为什么认为需要思维方式的转变，而不仅仅是工具的转变来有效应对?

传统威胁通常遵循已知的模式，防御者可以通过基于规则的检测来跟踪和减轻。敌对人工智能战术引入了一种新的变异性和适应性，挑战了这些假设。它可以生成新的攻击路径，并动态地躲避防御。应对这一转变需要的不仅仅是部署新的工具；它需要防御者思维方式的战略转变。防御者需要从被动地响应事件转变为通过使用已知的战术、技术和程序（TTPs）来模拟不断演变的威胁，并通过现实世界的模拟来验证控制。威胁情报思维方式，支持现实世界的模拟，是应对这些新风险的关键。

您能解释一下攻击IQ如何将威胁情报转化为实用的防御通过敌对模拟吗？以及这种过程如何随着生成式人工智能的崛起而改变?

传统的挑战是威胁情报的运用，弥合洞察和行动之间的差距。敌对模拟解决了这个问题，通过将已知的威胁行为转化为可执行的测试，以评估当前的防御是否能够抵御这些行为。随着生成式人工智能的出现，威胁格局变得更加流动，具有更多的可变行为。模拟现在需要反映不仅仅是静态技术，还有适应性和上下文感知的行为。在攻击IQ，我们的实时威胁情报与MITRE ATT&CK保持一致，并模拟对手行为。这些模拟被部署在生产环境中，以验证安全控制是否能够检测、防止或响应预期的行为。

持续威胁暴露管理（CTEM）正在成为网络安全策略的核心组成部分。在面对快速适应的人工智能驱动威胁时，组织应该如何处理CTEM?

CTEM代表了从静态风险评估到动态、情报驱动的安全验证的转变。在面对人工智能驱动的威胁时，组织必须将暴露视为一个移动的目标。这意味着需要根据主动测试来识别和优先考虑暴露，而不是仅仅依赖理论风险。

红队和蓝队需要合作，模拟适应性对手，并持续测试检测和响应能力。采用这种方法的组织更好地适应快速变化的环境，验证他们的投资和安全控制，并在快速变化的环境中保持弹性。

攻击IQ的“人工智能安全基础”课程涵盖了MITRE ATLAS和人工智能风险管理框架（AI RMF）等风险框架。您认为这些框架在企业环境中哪些方面被低估或误解了?

我们看到的最常见的误解是将这些框架视为孤立的参考材料，而不是用于构建人工智能系统弹性的操作工具。

MITRE ATLAS通常被视为一个静态的攻击技术目录，针对人工智能/机器学习系统。实际上，ATLAS是一个战术敌对模拟框架，旨在帮助安全团队模拟人工智能特定的威胁——从数据中毒和模型逃避到推理操纵——并验证他们的检测、日志和响应能力。问题在于，大多数企业尚未建立必要的可见性或控制来检测针对机器学习管道的攻击，使得使用ATLAS通过漏洞攻击和模拟策略变得至关重要。它是一个被低估的工具，用于测试人工智能系统在敌对压力下的行为。

另一方面，NIST的AI RMF经常被误解为一个合规性清单。实际上，它是一个战略治理框架，支持组织在映射人工智能用例、测量风险（包括对手带来的风险）、管理风险和在系统生命周期中嵌入监督方面。虽然ATLAS是战术性的，AI RMF是战略性的。两个框架是互补的：ATLAS使风险通过现实世界的模拟成为可能，而AI RMF提供了一个结构来治理这些风险，定义所有权，并将人工智能保证与业务优先级保持一致。

在我们的“人工智能安全基础”课程中，我们教导说，AI RMF中最被低估的方面是“映射”和“测量”函数——尤其是在早期部署中。这些函数鼓励组织不仅仅是建模系统的使用和滥用场景，还要识别上下文中的对手威胁。将其与ATLAS配对，赋予组织从理论担忧转向以可测试的方式运用人工智能安全的能力。

最终，错失的机会在于将这些框架视为学术性的。当一起使用时，AI RMF和ATLAS使得以威胁为导向、风险驱动的方法来保护人工智能成为可能，将高层次的治理转化为现实世界的保证。

从提示注入到模型盗窃，OWASP针对LLM的前10名突出了新的一类漏洞。您认为CISO最不准备好的威胁是什么，以及为什么?

LLM03：2025供应链漏洞通过利用现有治理和企业信任假设中的关键盲点来利用它们，通过不针对人工智能/机器学习系统而设计的控制来滑过。传统的安全计划关注软件包和代码依赖，但人工智能模型通常被视为数据资产，缺乏相同的审查。这样就允许被破坏的预训练模型、被毒害的LoRA适配器或篡改的Hugging Face合并被吸入生产环境中，而没有验证、代码签名或行为评估。由于这些模型不会触发静态分析或恶意软件签名，因此它们表现为潜伏威胁，只有在特定提示或条件下才会激活，这些条件会逃避检测。

企业假设声誉良好的人工智能生态系统或注册表强制执行可靠的标准，这加剧了问题。安全团队可能认为他们的DevSecOps管道和TPRM计划涵盖了人工智能风险，但实际上，大多数都没有审计数据集血统、执行模型出处或将SBOM等效控制应用于人工智能组件。攻击者利用这种错误的信任，操纵开源模型工具、后门适配器或在微调中毒数据，以静默地嵌入恶意行为。没有对手红队和明确考虑这些差距的治理，甚至安全的企业也冒着通过可信但未经验证的人工智能工件而受到操作性损害的风险。

当红队和蓝队开始模拟人工智能驱动的对手时，敌对模拟如何演变？我们是否正在进入一个新的基于模拟的安全验证时代?

随着对手将人工智能融入他们的行动中，敌对模拟需要跟上，超越固定的剧本。红队必须模拟动态、人工智能般的行为：旋转、特权升级和适应性战术、技术和程序（TTPs），所有这些都被建模以反映人工智能驱动的攻击者可能的行为。

我们正在进入一个新的时代，模拟变得连续和情报驱动。这些不再是周期性的练习；模拟集成了实时威胁情报，并以类似生产的环境迭代，测试控制在出现的、不可预测的条件下。通过CTEM，这种方法确保安全验证成为一个战略性的、操作性的功能，而不是一个复选框。

展望未来，您最担心哪些新出现的人工智能风险？您认为防御者在哪里可以领先于曲线?

最令人担忧的风险是人工智能如何降低复杂攻击的门槛。曾经需要深厚的技术技能，现在可以通过大众化的人工智能工具实现。人工智能可以自动化侦察、生成利用代码和定制钓鱼活动，以比传统防御更快的速度运行。

另一方面，防御者有一个平行的机会：利用人工智能和自动化进行主动防御。通过自动化模拟、加速检测和根据现实世界风险优先考虑暴露，安全团队可以预测对手的行动，而不是简单地对他们做出反应。

感谢这次精彩的采访，希望读者能够通过访问攻击IQ网站来了解更多信息。