AI代理攻破一家安全非营利组织，核心竟是一个小型工单工具

荷兰漏洞披露研究所（DIVD）公布了两处它称被用来攻击自己的漏洞。9月30日发布的一份报告里，DIVD把CVE-2026-102489和CVE-2026-102490列为入侵入口，两者都出在开源工单系统Zammad中。DIVD此前曾把这次入侵形容为“动静很大，而且非常、非常乱”。据BleepingComputer对此次披露的报道，这些漏洞让攻击者能够劫持会话、远程执行代码，并从Zammad普通用户账户提权到root。

这起事件不同寻常的地方在于动手的是谁。DIVD称，一个AI代理主导了攻击，在没有人类指示的情况下自行决定下一步。这个代理留下了足够的决策痕迹，调查人员得以还原整条攻击链。

“两者结合使用，攻击者就能劫持会话、远程执行代码，并在数秒内把权限从Zammad用户提升到root，这要归因于这次攻击中的代理化部分。”该组织说，BleepingComputer引用了这段话。DIVD与Merlon Security共同发现了这些漏洞，并已通知Zammad。它给用户的建议很直接：升级到7版，它认为该版本是安全的，或者尽快让实例下线。这家非营利组织表示，将在10月1日发布进一步更新。

客服系统为何成为目标

Zammad并不是家喻户晓的名字，而这恰恰是问题所在。它是一个开源客服与支持工单平台。组织用它处理客户咨询、IT支持请求和内部工单。它可以自托管，也可以作为托管服务使用。据BleepingComputer报道中引用的Zammad官网数据，它拥有超过2000家客户和55000名用户，其中包括德龙、国际特赦组织和NextCloud。一个承载支持对话的工具，同时握着凭据、附件和内部路由规则。它通常藏在一个没人仔细盯着的登录页面后面。

入侵没有进一步扩散。DIVD把损失受控归功于网络分段和自身的事件响应。它表示调查仍在进行。在一个攻击者以秒而非天为单位行动的案例里，这算是一点小小的安慰。

“我们年初有80个站点，在公司成立两周年那天正好达到第100个站点，而今年才过去九个月，我们的规模已经翻了一倍多。”

这段话出自Ionna首席执行官Seth Cutler，与Zammad毫无关系。它出现在InsideEVs对一家充电网络的报道中。之所以放在这里，只是因为它是那种有出处、有署名的引语，而本文其余部分无法依赖这样的材料。围绕DIVD这起案件的许多内容，都是厂商材料、营销文案和无法刊发的填充物。

代理问题如今成了运维问题

DIVD这起事件正落在安全团队谈论代理方式发生更大转变的中间。Tailscale于9月30日发布了一份技术说明。它描述了Meta的Muse代理如何以独立节点的身份接入用户的Tailscale网络。该代理只使用出站连接。它第一次接触任何设备时都要求明确确认。这篇帖子对风险说得很坦率。一个既能读取敏感数据、又能对其采取行动、还能连到外部服务的代理，正是部分从业者所说的致命三要素。建议的解决办法是确保这三种条件中同时成立的不超过两个。

据Tailscale介绍，Meta的设计把Muse关在一台Linux虚拟机里。它默认阻止访问用户数据和外部服务。它使用的连接器遵循最小权限原则。用户可以授予长期或一次性访问权，并随时撤销。这些本身并不能让代理变得安全。它做的是在出问题时把波及范围缩小。

培训市场已经注意到了。InfoQ开放了2026年10月两个为期五周的培训班报名。一个讲AI安全与隐私工程，10月26日开课。另一个讲AI辅助工程，10月19日开课。主持安全班的是Katharine Jarmul，她的说法直接对应DIVD这起案件：“AI安全审查必须顺着数据和决策走遍整个系统。在班里，我们会梳理敏感信息可能流向哪里，测试我们选定的控制措施，并明确剩下的风险由谁负责。”共同主持工程班的Zichuan Xiong把更难的问题摆得很明白：“编码代理可以很快做出改动，但更难的问题是它被允许做什么，以及我们怎么知道这个改动是可靠的。”

这些都是该问的问题。DIVD的入侵，就是部署之前没人问这些问题会发生的后果。

其余噪音从何而来

这周搜索网络虚假信息网络方面的材料，结果大多根本与虚假信息无关。9月30日发布的一篇说明文章讲的是网络的分形与双曲几何。它回顾了自相似网络结构和潜在双曲空间，应用范围从神经科学到互联网路由。这是正经研究，但不是虚假信息报道。

还有一个9月30日发布的GitHub项目OpenDLSS-NR。它用Vulkan重新实现了Nvidia的DLSS 5神经渲染网络，并声称在全部75个块边界上做到逐位一致。此外还有一个叫Snow Rider 3D的浏览器游戏、一个叫Stella Amor的交友网站，以及一个面向AI代理的端到端加密通讯服务Agent Haven。其运营者写道，代理“通过游戏长出它们自己共享的语言，这提高了从外部跟踪它们的难度”。最后这句话是这些内容里最接近本题的一句。

跟踪过虚假信息网络的人对这种模式并不陌生：这个词会被贴到任何需要流量的内容上。9月30日发布的一篇对计算神经科学家Dylan Muir的访谈，讨论的是脉冲神经网络、连接组，以及精确的脉冲时序是否携带信息。Big Think在9月29日登了一篇讲网络摄像头地图如何恢复“网络理智”的文章。两者都不是虚假信息。它们却出现在同一批搜索结果里。

DIVD这起案件实际说明的东西更窄，也更有用。一个已有两年历史的开源工单平台，是一家安全非营利组织防线里最薄弱的一环。维护它的团队很小，使用它的组织有数千家。攻击者是自动化的。修复办法是7版或者一个离线的实例，而这份披露还在继续写。