2026年4月至5月期间，全球网络安全领域呈现多重挑战与趋势变化。继2023年MOVEit Transfer漏洞引发大规模数据泄露之后，Progress Software的MOVEit Automation文件传输工具再次被曝存在两个高危漏洞，与此同时，人工智能技术的爆发式应用催生了全新的攻击面，网络威胁正在以前所未有的速度持续升级。 ## MOVEit高危漏洞：老牌工具的新危机 2026年4月28日至5月4日这一周，安全研究人员发现MOVEit Automation存在两个需要高度关注的安全漏洞。第一个漏洞被追踪为CVE-2026-4670，属于认证绕过类型，攻击者可以利用该漏洞无需任何凭证即可绕过系统认证，直接获得未授权访问权限。第二个漏洞CVE-2026-5174则为权限提升漏洞，攻击者在获得初步访问权限后，可进一步提升至系统管理级别，获取对整个平台的管理控制权。 结合这两个漏洞，攻击者可以实现完整的攻击链：从最初的未授权访问，到权限提升，再到管理控制权的获取，最终导致大规模数据泄露。这与2023年MOVEit事件如出一辙，当年的漏洞同样被多个勒索软件组织大规模利用，造成了波及数千家企业的空前数据泄露事件。安全专家警告，考虑到MOVEit在全球企业级文件传输市场的广泛应用，相关组织必须立即应用官方安全补丁。 ## AI代理：新攻击面的崛起 2026年是人工智能代理（AI Agent）爆发元年，从个人助手到企业自动化流程，AI代理正在接管越来越多的数字任务。然而，安全研究人员同时发现，AI代理本身正在成为攻击者的新目标。 近期，多家安全机构联合发布了AI代理安全威胁指南，详细阐述了针对AI代理的新型攻击手段。攻击向量包括：通过提示词注入（Prompt Injection）操控AI代理执行非预期操作；利用AI代理与外部工具连接时存在的信任边界缺陷进行横向移动；通过污染AI训练数据或检索增强生成（RAG）知识库来植入恶意指令。 更值得警惕的是"假IT员工渗透"攻击模式的兴起。攻击者通过社会工程学手段，伪装成IT支持人员或AI系统管理员，引导目标用户将AI代理的访问凭证和权限拱手相让。这类攻击结合了传统社会工程和新兴AI技术的特点，使得传统的安全培训内容已难以覆盖新型威胁场景。 ## 防御策略：构建AI时代的网络安全体系 面对AI时代的新威胁格局，企业需要重新审视自身的安全防御体系。首先，针对AI代理的使用场景，应实施最小权限原则，严格限制AI代理的系统访问范围；其次，建立AI代理行为审计机制，监控和记录AI代理的所有敏感操作；再次，对所有外部输入数据（包括用户提示和外部数据源）实施严格的输入验证，防止提示词注入攻击；最后，将AI安全纳入员工安全培训体系，提高全员对AI相关威胁的认识和防范能力。 网络安全没有银弹，唯有持续更新防御理念、紧跟威胁演进步伐，方能在攻防博弈中守住阵地。