安全警报：密码爆破攻击已被 AI 提速，企业该如何防御？

一个名为 BruteForceAI 的工具刚在 GitHub 上现身，据安全社区分享，已迅速收获 1,600 颗星标：这是一个把大语言模型（LLM）与自动化密码爆破结合起来的 Python 程序。这个信号印证了一件事——攻击与防御都已迈入 AI 时代。本文完全站在防御视角：越南企业需要立刻做什么，才能让自己的登录入口不成为一扇敞开的门。

这个工具说明了什么？

暴力破解（Brute-force）——逐个试密码——是互联网诞生之初就有的攻击手法：攻击者往登录页接连尝试不同的密码，直到撞对为止。多年来防住它相对容易：攻击者用的是死板的脚本、海量猛试，系统只要按频率拦截就够了。

变化在于"扣"在它上面的那层 AI。据信源描述，该工具用 LLM 分析登录页结构，自动准确识别各个输入框——这活儿以前攻击者得对每个网站手工完成。它还能模拟真实用户的操作节奏，轮换不同的 User-Agent 字符串（浏览器身份标识）以免被系统识别为机器人，支持多线程运行，还内置密码喷洒（password spray）模式。这仍然是老一套的密码爆破——但自动化更聪明、适应更迅速、也更难与真实用户区分。

最值得留意的并不是某个具体工具：它清楚地证明，组织一场高效密码爆破的技术门槛已大幅下降。于是企业的问题不再是"会不会有人盯上我"，而是"我的门经不经得起自动化爆破"。

分清两种爆破手法，才能对症设防

• 经典暴力破解： 对一个账号尝试大量不同密码。它得逞的条件是你的密码太短、太简单、可被猜中。
• Password spray（密码喷洒）： 拿几个极其常见的密码（如 "Passw0rd!"、公司名加出生年份……）去试成千上万个不同账号。它得逞的条件是员工用了易猜的密码——而且由于每个账号只被试几次，它能绕过许多"按单账号设阈值"的锁定机制。

这两种手法要用不同且互为补充的防护层来应对——没有任何一层强到可以省掉另一层。

防御清单：必配的 5 层防护

1. 强密码且不重复

最基础的一层依然最重要：

• 长度胜过复杂度： 四个毫不相干的词组成的短语，也比 "P@ss123" 安全——真正让爆破变得昂贵的是长度。
• 绝不在多个系统间复用密码，尤其是个人账号（邮箱、社交网络）与企业账号之间。
• 在设置环节就拦截常见密码： 系统应拒收易猜密码清单里的密码，连与公司名相关的词也要一并拦截。
• 考虑为全员配备密码管理工具，让"使用长而唯一的密码"变得可行，而不是成为负担。

2. 开启多因素认证（MFA）

MFA（Multi-Factor Authentication，多因素认证）要求在密码之外再提供第二重凭证（应用生成的验证码、专用设备、安全密钥）。这一层是单位投入拦截率最高的防护：密码可能被爆破出来，但攻击者还得再闯一关。管理账号、财务账号、企业邮箱和远程访问（VPN、远程桌面）要绝对优先。注意：短信验证码弱于 authenticator 应用或物理安全密钥。

3. 在登录入口限流（rate-limit）

这一层直接让爆破在时间上变得不可行：

• 按 IP 和按账号双重限制尝试次数。
• 每次失败后逐步增加响应延迟： 爆破依赖尝试速度——递增延迟能把一场爆破从几分钟拖成几年。
• 在后续尝试中加人机验证（captcha），因为新工具刻意模拟真实用户，图的就是绕过这一层。

4. 有章法的账号锁定策略

连续输错若干次后锁定账号是常见措施，但需要巧妙设计：

• 递增时长的临时锁定代替永久锁定，免得自己反被攻击者利用——对方会故意用锁定机制去瘫痪客户账号。
• 按 IP + 账号组合锁定： 一个 IP 尝试大量不同账号是 password spray 的典型信号——要在 IP 层处置，而不只停在账号层。
• 始终在安全与客户体验之间求平衡：锁得太敏感，围栏挡住的反而是你的真实用户。

5. 异常监测与响应

被动防御不够——你得能看见正在进行的爆破：

预警信号	可能是什么
单个 IP 密集连续登录失败	针对单一账号的暴力破解
少量失败散布在大量账号、多个 IP 上	Password spray
连续失败后紧接一次登录成功	账号刚被爆破命中——须立即处置
从异常地理位置或异常时间登录成功	账号已被入侵

这些信号应汇聚到一处（集中日志），并配清晰的响应流程：重置密码、吊销登录会话、锁定账号、通知用户、记录事件。同时，系统应返回"登录信息不正确"这类笼统报错，而不是暴露哪个邮箱存在——避免给攻击者递上一份有效账号名单。

给越南企业的启示

• 立即盘点所有面向互联网的登录入口： 内部 Web、管理后台、邮件系统、VPN、远程桌面网关——尤其是那些从未做过安全检测的自研老系统。
• 别让"公共账号"变成后门： 共用账号、测试账号、设备默认密码是 password spray 的头号目标。
• 全员 100% 部署 MFA 是可实现的目标，不是大企业专属——如今多数企业平台都支持免费开启。
• 做简单但切中要害的安全意识培训： 员工要明白为什么不能复用密码、为什么与公司名相关的密码是第一个被瞄准的靶子。

结论

AI 加持的密码爆破工具现身，是一句无法推诿的提醒：网络攻击正变得更便宜、更快速、更聪明——而脆弱的登录入口始终是企业最先被打的地方。好消息是，所有最有效的防护层（唯一强密码、MFA、限流、账号锁定、异常监测）都是成熟技术，不要求多前沿的科技——只要求认真落地并定期复查。别等到那条陌生的登录提醒出现才开始行动。

资料来源：整理自 Facebook 技术分享，由 Wotech Electronics 编辑。

您的企业需要审查登录入口安全、密码策略与监测体系？联系 Wotech，获取安全评估以及与您基础设施相匹配的加固路线咨询。