当恶意软件也开始调用 LLM，agent 流量本身会变成安全盲区

AI 安全不能只理解成 prompt injection 或“攻击者用 AI 提速”。更值得警惕的是，LLM 调用正在进入恶意软件的运行时决策环。当正常 agent 和恶意软件都调用同一种推理基础设施时，防守对象会从单个 payload 转向推理、身份和行动链路。

为什么这件事值得重视

PROMPTFLUX、DBIR、M-Trends 以及 AI CLI token 被窃取这类信号放在一起看，指向的不是一个单点新闻，而是一条新的攻击链变化：攻击者不只是用 AI 写代码或生成钓鱼内容，而是把 LLM 变成执行过程中的组件。恶意软件可以在运行时调用模型生成规避逻辑，窃取到的 AI CLI 配置和 API token 又能让攻击流量伪装成正常 agent 使用。

关键问题不是“这次攻击有没有用 AI”，而是“企业能不能区分正常 agent 推理流量和 adversarial inference flow”。如果检测仍然只盯传统恶意载荷、域名、哈希或静态规则，就会漏掉一类更像 agent 的攻击行为：观察环境、调用模型、选择下一步、执行动作、再根据结果继续调整。

需要重新看见的边界

LLM API 调用会成为攻击链的一部分，而不只是攻击前的生产工具。恶意软件可以把推理放进运行时，动态生成规避或下一步动作。

正常 agent 流量和恶意推理流量可能使用相同 API、相同 token 类型、相似调用路径，传统边界会变得模糊。

AI CLI 配置、API key、工作区授权和 agent 身份材料会成为高价值目标，因为它们能把攻击者放进合法推理通道。

监控重点需要从“模型说了什么”扩展到“模型调用后做了什么”。推理输出、工具调用、外联、文件访问和身份使用要被放在同一条链路里看。

Agent 安全和企业安全会在运行时汇合。只保护 prompt 或只保护终端都不够，关键是推理到行动之间的可审计边界。

更可靠的做法

下一类安全盲区不是“AI 会不会被用于攻击”，而是 adversarial inference flow 会不会被当成正常 agent 流量放过去。企业如果已经引入 AI CLI、自动化 agent 和模型 API，就需要把 token 管理、调用链审计、异常推理模式和后续行动关联起来。真正的检测对象会从静态恶意特征，迁移到“谁在什么上下文下调用模型，并用结果触发了哪些副作用”。