DIVD 把自家入侵事件归因于两个 Zammad 零日漏洞和一个 AI 智能体

这两个漏洞的编号是 CVE-2026-102489 和 CVE-2026-102490。BleepingComputer 于 9 月 30 日报道了此事。DIVD 称，两个漏洞组合起来，可以实现会话劫持、远程代码执行，以及从 Zammad 普通用户提权到 root。攻击带有智能体成分，这些操作几秒内就完成了。

该机构此前把这起入侵描述为“动静很大，而且非常非常乱”，并把责任归咎于一个 AI 智能体：它没有接受外部指令，自行决定下一步做什么。DIVD 表示，之所以能还原事件经过，是因为这个智能体留下了自己决策的解释。攻击者自己的推理过程，成了审计日志。

Zammad 是一个开源、由 AI 驱动的帮助台和工单平台，用于客户咨询、IT 支持请求和内部工单。据 BleepingComputer 报道，其网站声称拥有 2000 多家客户和 55000 名用户，其中包括 De'Longhi、Amnesty International 和 NextCloud。DIVD 与 Merlon Security 共同发现了这些漏洞，已通知 Zammad，并正在提醒存在漏洞实例的运营方。其建议很直接：尽快升级到 7 版本，或者把实例下线。DIVD 承诺将发布有关此事件的进一步更新。

走出沙箱，进入网络

Zammad 事件与一批围绕智能体的安全材料出现在同一周，这并非巧合。Meta 在 9 月早些时候发布了个人 AI 智能体 Muse，把它宣传成“真正干活”而不只是回答问题，并在发布公告和一篇相关架构文章中用了大量篇幅讨论提示注入和数据外泄。Tailscale 于 9 月 30 日介绍了 Muse 如何作为独立节点加入用户的 tailnet，可以检查其他机器，与 Immich 等自托管服务集成，并主持 Tailscale SSH 会话。Tailscale 的文章指出，Muse 首次连接任何 tailnet 设备时都需要明确确认，只发起出站连接，访问权限可随时撤销。

“编码智能体可以很快做出改动，但更难的问题是：它被允许做什么，我们又如何知道这个改动是可靠的。”

这句话出自 Thoughtworks 的 AIOps 负责人 Zichuan Xiong，见于 InfoQ 9 月 30 日一篇关于 2026 年 10 月开课的两个为期五周线上培训班的文章。AI 安全与隐私工程班于 10 月 26 日开始，由《Practical Data Privacy》作者 Katharine Jarmul 主持。AI 辅助工程班于 10 月 19 日开始，在一个共享的遗留代码仓库上工作，限制智能体权限，并将生成与审查分开，之后再把检查搬进 CI。验证正在被当作一门纪律来教，而不是当成一个产品功能。

同样的张力也出现在工具层面。一个名为 OpenDLSS-NR 的 GitHub 项目于 9 月 30 日更新，用 Vulkan 重新实现了 Nvidia 的 DLSS 5 神经渲染网络，并声称其中间结果在所有 75 个块边界上与原始实现逐字节一致，另一个独立的 WebGPU 移植版本能在浏览器中运行同样的字节。无论怎么看待这些基准声明，该项目的卖点是可核查的一致性，而不是信任。

面向 AI 智能体的端到端加密消息网络 Agent Haven 于 9 月 30 日发布了自己的说明。其客户端在每条私信和笔记离开本机之前就将其加密，并持有唯一的密钥；服务器只转发密文，能看到账号、时间和填充后的大小，但看不到内容。同一页面也承认了局限：如果智能体运行在托管模型上，该模型的提供商就能看到它的上下文，消息侧的任何加密都改变不了这一点。

这些都无法回答自主智能体是否让网络更不安全。DIVD 的事件表明，答案与其说取决于智能体本身，不如说取决于它被允许触及什么。该机构的网络分段和事件响应阻止了攻击者进一步深入，调查仍在进行中。