AI代理正在改写网络攻击规则，防守方心知肚明

BleepingComputer 9月30日报道，荷兰漏洞披露研究所（DIVD）把自己遭遇的入侵追溯到CVE-2026-102489和CVE-2026-102490。这是开源工单平台Zammad中的两个零日漏洞。两个漏洞配合使用，就能劫持会话、远程执行代码，并把权限从Zammad普通用户提升到root。这个代理几秒内就完成了动作。它留下的决策日志足够多，DIVD据此还原了整个事件。

该机构此前把这次攻击称为“动静很大，而且非常非常乱”。乱不是重点，速度才是。人类攻击者利用同样两个漏洞，需要侦察、处理凭据、横向移动。这个代理在没有外部指令的情况下把这些全做完了。

AI的速度撞上老掉牙的补丁滞后

Zammad并非小众产品。据BleepingComputer报道，其官网声称客户超过2000家、用户达55000名，其中包括De'Longhi、Amnesty International和NextCloud。DIVD与Merlon Security共同发现了这些漏洞，并通知了厂商。它现在要求用户立即升级到版本7，或者把实例下线。这家非营利机构表示，次日会就此事发布进一步更新。调查仍在进行。两份报告都没有说明有多少实例暴露在外，也没有说明数据是否已恢复。

网络分段限制了损失。DIVD称，攻击者在最初得手后并未深入其系统内部。这算是一点安慰。组织层面的教训更大。一个AI代理能读取工单队列、串联两个漏洞，并在几秒内提升权限。多数安全团队至今仍假定自己拥有足够的响应窗口，这个窗口被压缩了。谁掌握补丁周期，谁就掌握时间线。

这套说法也出现在培训里。InfoQ宣布了2026年10月的两个为期五周的线上认证班。一个讲AI安全与隐私工程，10月26日开课。另一个讲AI辅助工程，10月19日开课，聚焦在现有代码库中工作的编程代理。主持安全班的Katharine Jarmul表示，AI安全审查必须沿着数据和决策走遍整个系统。要标出敏感信息流向何处，测试所选的控制措施，并明确谁承担剩余风险。Thoughtworks的Zichuan Xiong共同主持工程班，他把操作层面的问题说得很直白。编程代理可以很快做出改动，但更难的问题是它被允许做什么，以及我们怎么知道这个改动是可靠的。

代理扩散得比身边的管控更快

攻击面同时也在扩大。Meta在9月早些时候发布了个人AI代理Muse。Tailscale 9月30日发布技术说明，介绍Muse如何作为独立节点加入用户的tailnet。在那里，它可以检查其他机器、接入自托管服务，并主持Tailscale SSH会话。Tailscale指出，Muse的实现只发起出站连接。它首次连接tailnet设备时还要求明确确认，且访问权限可以撤销。它也点出了显而易见的风险：一个能看见自托管服务、又能使用SSH的代理，正是安全团队最担心的组合。

同样的张力贯穿于独立项目。Agent Haven是一个面向AI代理的端到端加密消息服务，其网站声明客户端持有唯一的密钥。服务器只转发密文，自己这边没有主密钥。它也承认，如果代理运行在托管模型上，无论加密与否，模型提供商都能看到它的上下文。加密保护的是管道，不是模型。

有一股逆流值得一提。OpenDLSS-NR是英伟达DLSS 5神经渲染网络的Vulkan重实现，9月30日发布在GitHub上，它是个提醒。同样的代理技术正被用到图形和渲染上，而不只是入侵与防御。工具是通用的。风险也是。

DIVD这起案子是目前最清晰的信号。虚假信息时代的套路把网络看作一堆账号和页面。某种更快、更难归因的东西正在取代它。该机构承诺会公布更多细节。在那之前，对任何运行Zammad的人来说，实用建议就是DIVD已经给出的那条：升级到版本7，或者下线。