10月风险IP洞察：过半新增风险IP一周内消失- 2026

IP风险情报·2026.1010月风险IP洞察人梳理了2026年9月27日至10月25日约4,900万个涉及风险行为的IPv4地址(77%位于家庭宽带):风险IP分裂成“14%贡献63%风险活动的长周期常驻IP”与“32%只出现一天的新增风险IP仅出现1天名单当天更新vs晚一周当天活跃拦截覆盖率活跃15天以上的少数IP贡献六成以上风险活动劫持共用代理占比观察期2026.09.27-10.25(约4,900万风险IPv4)RESEARCHBRIEF·IP风险情报核心发现：把IP防线拆成不同生命周期2026年9月27日至10月25日（29天观察期），全球约4,900万个IPv4地址出现过风险行为（占全球可路由IPv4的1.3%，77%位于家庭宽带）。真正的防守难点不再是“要不要看家庭宽带”，而是风险IP极高的周转率与内部结构分化：过半新增IP一周内消失，14%的常驻地址制造了63%的风险活动，而国内89%的风险IP与正常住户共用同一出口。名单晚一天就多漏近5%当天更新可覆盖84.2%的当天活跃风名单晚一天就多漏近5%当天更新可覆盖84.2%的当天活跃风险IP；晚1天降至79.5%，晚一周降至67.1%，且每天仍有15.8%是近7天首次出现。少数常驻制造六成风险29天内活跃15天以上的风险IP仅占14%，却贡献了63%的风险活动（最活跃10%贡献62%），其中24%是数据中心IP。过半新增5天左右消失32%只出现1天，约5天后只剩一半，第7天仍活跃的仅42.3%；30天历史名单近一半已失效。境外风险IP境外风险IP十月持续走高10月下旬（10/19–10/25）境外周活跃风险IP达2,066万，较9月底上升29%（约三成），劫持共用不到0.1%。样本基数与网络底盘每75个公网IPv4就有1个涉及风险（80%代理出口、22%劫持共用代理）；家庭宽带77%、移动网络10%、数据中心6%。国内近九成是劫持共用代理国内风险IP（占总量25.1%）中89%是劫持共用代理，93%位于家庭宽带；直接封禁会连带封死正常家庭用户。口径说明：全期观察窗口为2026年9月27日至10月25踪10月4日至11日首次出现的风险IP随后14天的存续情况，其中32%仅在首日出现；全跃1天的风险IP占全部风险IP的比例（32%），其贡献的风险活动占3%。·2约4,900万个IPv4涉及风险，77%在家庭宽带观察期内，约4,900万个IPv4地址出现过风险行为，占全球可路由IPv4的1.3%,相当于每75个公网地址中就有1个。八成(80%)是代理IP,即被黑灰产用作代理出口的地址；22%是劫持共用代理：正常用户的设备被植入代理程序后，其网络被代理平台转卖，正常用户与黑灰产共用同一个IP;秒拨等其他类型合计不足1%。少数IP同时属于两类，因此各类占比相加略超100%。运营商动态重分配频繁，封禁必须设7-14天TTL,否则易误伤重分配基站切网与共享出口普遍，需结合设备与会在15天以上常驻风险IP中占比达24%,适合直接纳入静态(7.3%)、美国(6.7%)最多；按区域看，拉美、欧洲和南亚居前。各国家和地区占全部风险IP的比例；境外合计75%巴西中国FIG.1各国家和地区占全部风险IP的比例(2026.09.27-10.25;境外合计75%)。02·存续与名单时效68.1%),第3天降至55.2%,约5天后只剩一半，第7天仍活跃的仅42.3%,第14天降至24.8%。从全局看，观新增风险IP一周后仍活跃的不到一半10月4日至11日新增的风险IP,此后仍出现风险行为的比例32%只出现了一天，约5天后只剩一半约5天3距首次出现的天数FIG.210月4日至11日新增的风险IP在随后14天内仍出现风险行为的比例。IP,晚1天降至79.5%(下降近5个百分点),晚3天降至73.4%,晚一周降至67.1%(三分之一漏网),晚两周只剩61.3%。即便当天更新，每天仍有15.8%(约16%)的风险IP是近7天首次出现。名单晚一周更新，拦截覆盖率从84%降到67%以「过去7天出现过的风险IP」为名单，能覆盖当天活跃风险IP的比例当天更新仍有15.8%覆盖不到：它们此前7天从未出现过全部当天活跃的风险IP名单晚更新的天数04·头部集中与境内外结构14%的长期活跃IP,贡献了63%的风险活动风险IP分成两类完全不同的对手：长期活跃的少数，和短暂出现的多数。29天观察期中活跃15天以上的风险IP只占14%,却贡献了63%的风险活动(最活跃的10%贡献了62%);而仅出现1天的风险IP占数量的32%,只贡献3%的风险活动。长期活跃的14%风险长期活跃的14%风险IP贡献了63%的风险活动，仅出现一天的32%只贡献3%■仅出现1天■活跃2-14天■活跃15天以上32%风险IP数量3%35%FIG.4按29天观察期内活跃天数分段，各段占风险IP数量与风险活动的比例。仅出现一天的风险IP中，81%位于境外，以家庭宽带和移动网络为主。长期活跃的14%适合纳入名单直接拦截；单日闪现的32%名单来不及收录，只能依靠实时风险评估。 国内风险IP约占全部的25.1%,其中89%是劫持共用代理(93%位于家庭宽带；中国电信38%、中国移动28%、中国联通27%;最近一周仍活跃占45%,低于其他风险IP的57%)。其余约11%以云厂商机房和企业专线上的代06·趋势与防护建议10月下旬(10/19-10/25),境外风险IP的周活跃规模达2,066万，比9月底(9/28-10/4)高出29%(约30%),且逐周上升；国内先升后落，末周为598万，比首周高约10%,涨幅明显小10月境外风险IP周活跃规模上升29%,国内变化不大较首周+29%国内598万FIG.5每周至少出现一次风险行为的IP数(万，每周自周一至周日)。新增风险IP过半在一周内消失(第7天仅42.3%活跃),30天历史名单近半已失效；到期应晚1天更新覆盖率即从84.2%降近5个百分点，晚一周降至67.1%;每天另有15.8%为近7活跃15天以上的常驻IP(占14%、贡献63%活动，24%在机房、9黑