最有价值的威胁情报，往往来自那些“假装很好欺负”的设备——蜜罐。2026 年第二季度以来，几张部署了模拟互联网服务、工业协议与容器接口的蜜罐网络，用真实流量勾勒出了一幅与“零日满天飞”的刻板印象截然不同的攻击图景：攻击者依然极度自动化、依然广撒网，真正的破坏性利用却集中在那些被遗忘的老漏洞上。OffSeq 的 Mirage 车队在 27 天里记录了 544 万余条“CVE 标签化事件”，TXOne 在上半年累积了超过 9000 万次攻击会话，freeDataCenter 在 7 月单月就捕获约 270 万次攻击请求。但这些数字真正要告诉我们的，是另一件事。
一、98% 的“攻击”其实不是攻击
先戳破一个幻觉。OffSeq 对 Mirage 车队的分析给出了一个近乎残酷的统计：27 天里记录的 5,446,849 条事件中，98.11%（约 534 万条）属于暴力破解或连接尝试——针对 RDP、SMB、MySQL、PostgreSQL、vsftpd 等诱饵服务的密码猜测与端口扫描；真正带着漏洞利用载荷的，只有 0.066%，也就是 3,572 条。换句话说，当威胁情报平台喊出“某 CVE 单月被攻击数百万次”时，这里面往往挤满了敲门声与密码试探，而非一场接一场的真实攻防。
那些被贴上“CVE 攻击”标签的头部噪音也极具迷惑性：CVE-2019-0708（BlueKeep）记录 359 万余条、CVE-2017-0144（EternalBlue）129 万条、CVE-2012-2122（MySQL）24 万条。它们与其说是“该漏洞正在被大规模利用”，不如说是“大量扫描器把这几个编号写进了自己的探测字典”。对防御者而言，读懂“连接 ≠ 利用”，才能避免把资源浪费在对噪音的追逐上。
二、真正落地的，还是那批老洞
扒开噪音，真实利用集中在 Web 应用与远程服务上。Mirage 记录到的真实载荷里，占比最高的依然是 CVE-2021-26855（ProxyLogon，Exchange SSRF，1754 次）、CVE-2022-21907（HTTP.sys RCE）、CVE-2020-1938（Ghostcat，Tomcat AJP）、CVE-2023-7028（GitLab 账号接管）等。一个发布了几年的 Exchange 漏洞，依旧稳坐“被利用次数榜首”——这传递出一个反复被验证的真理：补丁的年龄不会自动让漏洞退出武器库，只要还有未打补丁的实例挂着，老洞就永远年轻。TXOne 上半年近 90.5 万次 CVE 标签化 IPS 命中、覆盖 589 个不同 CVE，其中 CVE-2025-55182（React Server Components 未授权 RCE）单条就贡献了 20.6 万次——既有新洞的剧本，也充斥老洞的余威。
三、SMB 是投递主通道，IoT 与挖矿长盛不衰
TXOne 的数据点名了一个“最该被关掉的入口”：上半年 35,043 次恶意软件下载事件里，超过 91%（32,133 次）经 445/TCP SMB 完成，Telnet（23/TCP）以 1,724 次居次。SMB 既是勒索软件与蠕虫的传播动脉，也是 WannaCry 类样本投递的重灾区——freeDataCenter 在 7 月就捕获 222 个唯一样本，其中一批 PE32 DLL 经 SMB 投递并匹配 WannaCry 规则。与此同时，Mirai、Gafgyt、Linux SSH Worm、Panchan 与 CoinMiner 等 IoT 僵尸网络与挖矿活动持续活跃：CoinMiner.C12 半年 55,525 次检测却只有 7 个变体，说明是同一套自动化挖矿在反复投料；而 Ransom:Win32/CVE 类的 2,539 个变体则示警，勒索投递正大量使用打包器与变种生成器来逃避签名。
四、Docker 逃逸蠕虫：一把解除了全部隔离的钥匙
容器与云基础设施，成了又一增长极。freeDataCenter 在 7 月观察到的 Docker API 逃逸蠕虫，其容器配置已明显“升级”：攻击者通过未认证的 Docker API 创建容器并附带 base64 编码命令，最终写入宿主机文件系统经 chroot 执行。7 月版本把容器配置几乎是“火力全开”：Privileged: true、CapAdd 加上 ALL 与 SYS_ADMIN、PID/IPC/Network 全 host、关闭 seccomp 和 AppArmor、还挂载根文件系统与 /dev。但凡有一台宿主机向外暴露未认证 Docker API，这把钥匙就能直接撬开宿主机。它同时提醒云原生团队：默认就应该假设攻击者在找容器逃逸路径，而不是赌它不会来。
五、LLM 接口滥用与“蜜罐变代理”：两个新信号
蜜罐还捕捉到了两个新兴趋势。其一是对开放 LLM 服务的滥用：freeDataCenter 记录到针对 Ollama 蜜罐的事件较上月增长 71%，且攻击者不再满足于枚举开放服务器（/api/tags），而是直接调用 /v1/chat/completions 跑推理任务，把别人的算力当免费计算资源、借开放 LLM 做批量生成。其二是更“反直觉”的利用：攻击者成功 SSH 登录后，用 direct-tcpip 做 TCP 转发，测试蜜罐能否充当开放代理——单月 25,792 次转发请求、89% 集中在德国节点，随后还向公共 DNS、Microsoft、Google、Yahoo 发起大量 80 端口流量。这说明攻击者的后登录动作可能不是装挖矿工具，而是在验证“这台机器能不能被卖掉当代理”。
六、ICS 协议：只有侦察，没有控令
最后是 OT 侧的一个冷静观察。freeDataCenter 部署了 IEC-104 工业协议诱饵，7 月记录 2,156 次事件，外部流量含 986 次连接、87 次总查询请求与 8 个畸形帧——但关键的是：外部攻击者没有发送任何控制命令。换句话说，针对工业协议的互联网流量更多停留在侦察与数据点枚举层面，真正的入侵入口往往在别处：同一节点上那个遭受密码猜测的远程桌面面。对 OT 防护而言，与其把精力全押在“工业协议有没有被攻破”，不如先隔离面向外部的远程访问与桌面入口。
七、这组数据的现实含义
把这四张蜜罐网的观察合拢，能读出几条稳定而冷峻的结论：攻击者高度自动化、大量借力云/VPS 与短租基础设施（TXOne 对 99 个最高流量 IP 的分析显示 97.2% 可追溯到云与 VPS 托管，其中 AWS 占 20.4%）；真实破坏集中在老旧 Web 漏洞、SMB 投递、容器逃逸与 IoT 默认凭证；防御的真正杠杆，不是囤积 CVE 规则或封禁 IP，而是关闭高危远程服务（RDP、SMB、Telnet、VNC）、收敛容器特权与 Docker 暴露、清理默认凭证、隔离 OT 远程入口，并把对 LLM 与出站代理行为的监控纳入视野。判断一台主机是否真的被入侵，不能再以“有没有被打过包”为依据——在那 98% 的敲门声里，藏着真正该听的旋律，也藏着大量不该被当成警报的噪音。
参考：OffSeq Mirage 田间报告《A connection is not an exploit》、TXOne 2026 H1 蜜罐报告、freeDataCenter 2026 年 7 月蜜罐月报、PwnDefend 关于 CVE-2026-34910 构建 Mirai 僵尸网络的分析。