MITRE ATT&CK矩阵，说白了就是一部全球公开的“黑客作案手法大字典”——由一个叫MITRE的美国非营利研究机构维护，把全世界真实黑客攻击时用过的招式，一条一条记录在案、免费公开给所有人查。就像公安局刑侦部门有一本“入室盗窃惯用手法汇编”：翻墙、撬锁、假扮快递员骗开门，每种手法都有编号、有案例、有对应的防范建议。ATT&CK就是网络世界的这本汇编，只不过它记录的不是小偷，而是黑客。
为什么现在值得了解它？因为这张矩阵早已是全球网络安全行业的“通用普通话”：有调查显示，约八成企业在安全工作中使用这个框架，美国网安与基础设施安全局（CISA）和FBI都在用。你刷到的每一次重大数据泄露、勒索软件攻击的新闻通报里，几乎都藏着它的编号。看懂它，等于拿到了解读安全新闻的钥匙。
先拆名字。ATT&CK是五个英文单词的缩写：Adversarial Tactics, Techniques & Common Knowledge，直译是“对手战术、技术与常识”。注意那个"&"——很多人念成“攻击”，其实它的官方名字里就带着这个花哨的连接符。它由MITRE公司在2015年正式发布，因为开放免费、持续更新，十年来长成了全球安全行业的公共基础设施。
先说MITRE是谁。 这家公司来头不小：1958年从麻省理工学院林肯实验室拆分出来，最初是搞防空系统的智库，如今是一个大型非营利研发机构。你可能没用过它的产品，但你一定间接受过它的“服务”——全球软件行业通用的CVE漏洞编号（就是“CVE-2024-XXXX”这种安全新闻里的编号）就是它维护的。可以把它理解为“网络安全世界的官方档案管理员”。
再说矩阵长什么样。 这是全篇最核心的一点：ATT&CK矩阵就是一张二维表格——
按官方最新版本（v19，2026年），企业矩阵里已经列了15个战术、600多种技术、400多个子技术。而且这本字典有个“祖训”：只收录真实世界里黑客真的用过的招，不收理论推演——这也是它比很多学术模型更接地气的原因。
它解决什么问题？ 在它出现之前，安全行业最大的痛是“鸡同鸭讲”：甲公司说自己发现了“恶意持久化行为”，乙厂商说这叫“后门驻留”，丙报告里写“权限维持”，其实是同一件事。ATT&CK给每种招式发了全球唯一的“身份证号”，于是——攻击队按它演练，防守队按它布防，厂商按它标参数，媒体按它写报告，全世界终于能对上暗号了。
另外它不是一个矩阵，是一套三本：企业矩阵（管电脑、服务器、云环境）、移动矩阵（管手机）、工控矩阵（管工厂、电站这类控制系统）。你家公司的IT部门关心第一本，你本人踩在第二本上，你所在城市的电网水厂踩在第三本上。
第一，黑客“上新”太快，ATT&CK被迫进化出了新模式。 就在2026年8月，官方发布了v19.2版本，这是ATT&CK问世十多年来第一次采用“敏捷发布”——以前它像杂志，每半年出一期合订本；现在它学会了新媒体打法，遇到重大新威胁就先发一篇“快讯”追热点。这期快讯一口气收录了几个2026年最活跃的威胁：窃密倒卖团伙ShinyHunters（近年多起大型数据泄露事件的明星“主角”）、通过软件供应链蠕虫式传播的Shai-Hulud蠕虫家族，以及“钓鱼即服务”工具包Kali365。一个十年老牌知识库开始“追热搜”，本身就说明威胁节奏在加快。
第二，AI攻防正式进了字典。 最新矩阵里已经出现了“查询公共AI服务”这样的侦察技术和“获取人工智能能力”这样的资源开发技术——意思是，黑客现在会去摸索ChatGPT这类公共AI工具能帮自己干什么，甚至把AI工具当成作案装备来采购。与此同时，MITRE还牵头搞了面向AI系统安全的姊妹项目ATLAS，专门记录“怎么攻击AI模型”。AI安全的讨论越热，ATT&CK家族的出镜率就越高。
第三，它是全行业产品的“验收标准”。 现在安全厂商发布检测产品，不写一句“ATT&CK覆盖率百分之多少”都不好意思开发布会；企业采购时也拿这张矩阵当“考卷”去考各家产品。在国内的实战化攻防演练中，防守方同样普遍用ATT&CK来盘点“黑客的招我都防住了几成”。一个名词能同时成为甲方需求、乙方卖点、媒体话术，想不火都难。
第四，线下热度也在升温。 官方的ATT&CKcon大会2026年10月底刚要开第七届，全球安全从业者每年聚在一起讨论怎么给这本字典“添新词”，社区贡献越来越活跃。
下面这张图把一次典型黑客入侵的全过程竖着排开——这15个环节就是ATT&CK矩阵的15根“列”，每个环节下面还挂着几十种具体“招式”（技术）：
flowchart TD
A[黑客入侵十五个战术环节<br/>ATT&CK矩阵的骨架] --> B[侦察<br/>网上踩点摸底细]
B --> C[资源开发<br/>买域名备工具]
C --> D[初始访问<br/>钓鱼邮件骗进门]
D --> E[执行与驻留<br/>落地生根赖着不走]
E --> F[提权与隐蔽<br/>升级权限学会隐身]
F --> G[凭据访问与发现<br/>偷钥匙再画地图]
G --> H[横向移动<br/>一台电脑跳全网]
H --> I[收集与外带<br/>打包文件偷运出去]
I --> J[影响<br/>加密勒索索要赎金]
J --> K[每个环节之下<br/>挂着数百种具体技术]
看懂这张图你就抓住了矩阵的精髓：攻击是一场有剧本的连续剧，战术是分集剧情，技术是每集里的具体桥段。 防守方不必每集都完美拦截，但只要在任何一环掐断，后面整部戏就演不下去。
如果你是普通人： 关系比你想的直接。第一，它是看懂安全新闻的“翻译器”——下次再看到“某组织使用新型无文件攻击技术”的新闻，你就知道这类信息多半能在ATT&CK里查到编号和背景，自己顺手一搜就能判断严重程度。第二，它解释了为什么你的电脑和手机要老老实实打系统更新——矩阵里半数技术攻击的都是“已知但没补的漏洞”。第三，它提醒你：15个环节里好几个（钓鱼、凭据窃取）的入口就是你本人，你是企业安全链上真实的一环。
如果你是从业者： 这张矩阵几乎是安全岗位的“必修课本”。面试蓝队（防守岗）会被问“某个ATT&CK技术你打算怎么检测”；做红队（攻击演练岗）有现成的对手仿真库，照着APT组织的ATT&CK画像一步一步复刻正规军的打法；做安全运营的则要回答灵魂拷问——“这15列战术里，你的检测盲区在哪几格？”可以说，安全圈写简历、做方案、汇报覆盖率，都绕不开它。
如果你是投资者： ATT&CK是观察网络安全产业的一面镜子。厂商宣传材料上的“ATT&CK覆盖率”之争，背后是检测类安全产品的军备竞赛；每次矩阵收录新热点（比如这次的供应链蠕虫、AI相关技术），对应的细分赛道（云安全、软件供应链安全、AI安全）往往会在随后几个季度看到预算倾斜。看懂字典更新，就能提前嗅到安全行业的钱往哪流。
小白现在能做的三件事： ①把 attack.mitre.org 收藏夹吃灰——哪天看到安全新闻里的陌生术语，去搜一下对应编号，五分钟就能搞明白来龙去脉；②今天就检查一遍自己手机和电脑的系统更新是否打开；③如果身边有想转行安全的朋友，把这篇转给TA——从读懂ATT&CK入门，比从背概念入门快得多。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。