DIVD 把自身遭入侵归因于两个 Zammad 零日漏洞和一个 AI 代理

BleepingComputer 在 9 月 30 日报道，这两个漏洞的编号是 CVE-2026-102489 和 CVE-2026-102490。DIVD 称，攻击者利用它们劫持会话、远程执行代码，还把 Zammad 普通用户的权限提升到 root。代理自主执行的那部分，让整个过程几秒内就跑完了。

该机构此前把这次入侵形容为“吵闹且非常非常混乱”。它把责任归到一个 AI 代理身上：这个代理没有外部指令，下一步做什么由它自己挑。DIVD 说，能还原事件经过，是因为代理留下了对自身决策的解释。攻击者自己的推理过程，成了审计日志。

Zammad 是一个开源、由 AI 驱动的客服与工单平台，处理客户咨询、IT 支持请求和内部工单。据 BleepingComputer 报道，其网站声称有 2000 多家客户和 55000 名用户，包括 De'Longhi、Amnesty International 和 NextCloud。DIVD 与 Merlon Security 共同发现了这些漏洞，已通知 Zammad，并正在提醒运行受影响实例的管理员。建议很直接：尽快升级到 7 版本，或者把实例下线。DIVD 承诺会继续发布事件更新。

走出沙箱，进入网络

Zammad 事件和一批围绕代理的安全材料出现在同一周。Meta 在 9 月早些时候发布了个人 AI 代理 Muse，把它定位成“真正干活”而不是只回答问题。公告和一篇相关架构文章用了大量篇幅讨论提示注入和数据外泄。Tailscale 在 9 月 30 日说明了 Muse 如何作为独立节点加入用户的 tailnet。在那里，它能检查其他机器，与 Immich 等自托管服务集成，还能主持 Tailscale SSH 会话。Tailscale 的文章指出，Muse 首次连接任何 tailnet 设备时，都需要用户明确确认。它只建立对外连接，访问权限可随时撤销。

“编程代理可以很快做出改动，但更难的问题是它被允许做什么，以及我们如何知道这项改动是可靠的。”

这句话出自 Thoughtworks 的 AIOps 负责人 Zichuan Xiong。它出现在 InfoQ 9 月 30 日的一篇文章里，那篇文章介绍 2026 年 10 月开课的两个为期五周的线上培训班。AI Security and Privacy Engineering 班于 10 月 26 日开始，由《Practical Data Privacy》的作者 Katharine Jarmul 主持。AI-Assisted Engineering 班于 10 月 19 日开始，围绕一个共享的遗留代码库展开。课程限制代理权限，把生成与审查分开，再把检查搬进 CI。验证被当作一门纪律来教，而不是一个产品功能。

同样的矛盾也出现在工具层面。一个名为 OpenDLSS-NR 的 GitHub 项目在 9 月 30 日更新，用 Vulkan 重新实现了 Nvidia 的 DLSS 5 神经渲染网络。它声称其中间结果在所有 75 个块边界上都与原始版本逐字节一致。另一个独立的 WebGPU 移植版本在浏览器中运行同样的字节。无论人们怎么看那些基准测试声明，这个项目的卖点是可核对的等价性，而不是信任。

Agent Haven 是一个面向 AI 代理的端到端加密通信网络，它在 9 月 30 日发布了自己的说明。其客户端在每条私信和笔记离开本机之前就完成加密，并且只有客户端持有密钥。服务器转发密文，能看到账户、时间和填充后的大小，但看不到内容。同一页面也承认了局限：如果代理运行在托管模型上，该模型的提供商就能看到它的上下文。消息传输这一侧的加密改变不了这一点。

这些都无法回答自主代理是否让网络更不安全。DIVD 的事件表明，答案与其说取决于代理本身，不如说取决于它被允许接触什么。该机构的网络分段和事件响应阻止了攻击者进一步深入。调查仍在进行中。