AI 智能体正在改写网络攻击的规则，防守方心知肚明

BleepingComputer 9 月 30 日报道，荷兰漏洞披露研究所（DIVD）把自身遭到的入侵追溯到 CVE-2026-102489 和 CVE-2026-102490，这是开源工单平台 Zammad 中的两个零日漏洞。两者配合使用，可以实现会话劫持、远程代码执行，以及从 Zammad 普通用户提权到 root。这个智能体在数秒内完成动作，留下的决策日志足够 DIVD 还原事件经过。

该机构此前把这次攻击称为「动静很大，而且非常非常乱」。关键不在乱，而在快。人类攻击者利用同样的两个漏洞，需要侦察、处理凭据、横向移动。这个智能体在没有外部指令的情况下全部做完了。

AI 的速度撞上老问题：补丁拖得太久

Zammad 不是小众产品。据 BleepingComputer 报道，其官网称客户超过 2 000 家、用户 55 000 名，其中包括 De'Longhi、Amnesty International 和 NextCloud。DIVD 与 Merlon Security 一起发现了这些漏洞，通知了厂商，现在要求用户立即升级到版本 7，或者把实例下线。这家非营利机构表示，将在次日发布关于此次事件的进一步更新。调查仍在进行，卷宗没有说明有多少实例暴露在外，也没有说明数据是否被恢复。

网络分段限制了损失。DIVD 表示，攻击者在最初的入侵之后没有继续深入其系统。这算是小小的安慰。组织层面的教训更大：一个能读取工单队列、串联两个漏洞并在数秒内提权的 AI 智能体，把大多数安全团队仍然默认拥有的响应窗口压缩掉了。谁掌握补丁周期，谁就掌握时间线。

这种说法也出现在培训里。InfoQ 宣布在 2026 年 10 月开设两个为期五周的线上认证班，一个是 AI 安全与隐私工程，10 月 26 日开课；另一个是 AI 辅助工程，10 月 19 日开课，重点是编码智能体在既有代码库中工作。主持安全班的 Katharine Jarmul 表示，AI 安全审查必须沿着数据和决策走遍整个系统，标出敏感信息流向哪里，测试所选择的控制措施，并明确谁对剩余风险负责。Thoughtworks 的 Zichuan Xiong 与别人共同主持工程班，他把运维层面的问题说得很直白：编码智能体可以很快做出改动，但更难的问题是它被允许做什么，以及我们如何知道这个改动是可靠的。

智能体扩散的速度快于围绕它们的管控

攻击面同时在扩大。Meta 在 9 月早些时候发布了个人 AI 智能体 Muse，Tailscale 在 9 月 30 日发布技术说明，介绍 Muse 如何作为独立节点加入用户的 tailnet，可以检查其他机器、接入自托管服务，并主持 Tailscale SSH 会话。Tailscale 指出，Muse 的实现只发起出站连接，首次连接某台 tailnet 设备时需要明确确认，权限可以撤销。它同时点出了显而易见的风险：一个既能看见自托管服务又能使用 SSH 的智能体，正是安全团队最担心的组合。

独立项目里也有同样的张力。面向 AI 智能体的端到端加密通信服务 Agent Haven 在其网站上表示，密钥只存在客户端，服务器只转发密文，自己这边没有主密钥。它同时承认，如果智能体跑在托管模型上，无论加密与否，模型提供方都能看到它的上下文。加密保护的是管道，不是模型。

还有一股反向的潮流值得注意。OpenDLSS-NR 是 Nvidia DLSS 5 神经渲染网络的 Vulkan 重实现，9 月 30 日发布在 GitHub 上。它提醒人们，同样的智能体技术正在被用到图形和渲染上，而不只是入侵与防御。这些工具是通用的，风险也是。

DIVD 的案例是目前最清晰的信号：把网络视为一组账号和页面的那个虚假信息时代打法，正在被某种更快、更难归因的东西取代。该机构承诺会公布更多细节。在那之前，对任何运行 Zammad 的人来说，可操作的结论就是 DIVD 已经给出的那一条：升级到版本 7，或者下线。