Shopify Canvas 让商家用对话搭建店铺，AI 代理则攻破了一家安全非营利组织

10 月 1 日，Shopify 推出 Canvas。商家与公司的 Sidekick AI 代理对话，就能搭出一个网店。据 TechCrunch 报道，Canvas 实时渲染店铺的真实代码，而不是静态预览。商家因此可以测试交互和动画，并在不同屏幕尺寸下检查页面。

这一点有具体用处。商家描述想要的版式，看着 AI 改动底层的主题文件；代理改错了，点一下元素就能手动修正。Sidekick 还会给自己的成果截图，所以页面每次更新，它看到的和商家看到的是同一版。不过首发范围很窄。据 TechCrunch 报道，第一版没有第三方主题支持，没有应用区块和扩展，也没有市场、翻译、灰度发布和主题更新，而且 Canvas 只支持桌面端。Shopify 对该媒体表示，这些功能会陆续加上。公司还简化了主题架构，让 Sidekick 直接访问主题文件，以便代理理解店铺的结构、逻辑和设计。

Canvas 带了什么，没带什么

Canvas 并非凭空出现。它要和 Wix、Squarespace、Webflow、Framer 的 AI 建站工具同场竞争，还要面对 Lovable、Replit 这类 vibe-coding 平台。Sidekick 此前已经能写代码、做应用、改主题。Canvas 把这些能力收进一个产品，让整家店一次全部可见。

把代理推进原本需要人操作的工作，Shopify 不是唯一一家。同一周，安全研究领域给出了一个更硬的例子：一个 AI 代理被指基本靠自己完成了一次入侵。

安全非营利组织遭入侵，动手的是代理

荷兰漏洞披露研究所（DIVD）称，其网络被攻破，攻击链由 Zammad 的两个零日漏洞组成。Zammad 是开源工单与客服系统。BleepingComputer 9 月 30 日报道，这两个漏洞编号为 CVE-2026-102489 和 CVE-2026-102490，可导致会话劫持、远程代码执行以及提权至 root。

DIVD 此前把这次攻击形容为动静很大、手法混乱，由一个 AI 代理驱动。它自主行动，无需外部指令就选择下一步。这家非营利组织之所以能还原事件，是因为代理留下了自己决策的解释。据 BleepingComputer 引述，DIVD 表示：“两者结合，攻击者得以劫持会话、远程执行代码，并在数秒内从 Zammad 用户提权到 root，这要归功于这次攻击中的代理部分。”

网络分段和事件响应阻止了入侵者继续深入，调查仍在进行。Zammad 在官网称其拥有超过 2000 家客户和 55000 名用户，包括 De'Longhi、Amnesty International 和 NextCloud。DIVD 与 Merlon Security 共同发现这些漏洞，已通知 Zammad，并建议用户升级到版本 7，或将实例下线。

两件事处在同一趋势的两端。一个在卖能搭建东西的代理；另一个记录了代理如何在数秒内破坏东西，全程没有人类介入。

防守方被推销的是同一套代理叙事

厂商正以 AI 原生防御产品回应。GTT Communications 于 9 月 29 日发布 GTT Defense Halo，称这是一个正在申请专利的平台，能识别漏洞和政策缺口，实时生成修复方案，并为客户网络建立带状态的模型，显示每一台主机之间的连接。Light Reading 报道了这次发布。平台运行在 GTT 的 AI 工厂上，实例托管在美国、英国和欧盟。公司把这套产品与 8 月底发表的一封公开信联系起来。该信有 100 多家技术、网络安全和金融服务公司签署，警告 AI 驱动的网络攻击将更普遍、更复杂，防守方准备的时间窗口很窄。

这种说法如今很常见，也不限于网络厂商。InfoQ 在 2026 年 10 月开设两个为期五周的线上认证班。AI Security and Privacy Engineering 于 10 月 26 日开课；AI-Assisted Engineering 于 10 月 19 日开课，重点讲编码代理改动既有代码库时该做哪些检查。

主持安全课程的是 Katharine Jarmul。她说，AI 安全审查必须沿着数据和决策走遍整个系统。据 InfoQ 引述，她表示：“在课程里，我们会标出敏感信息可能流向哪里，测试我们选定的控制措施，并明确剩下的风险由谁负责。”共同主持工程课程的 Zichuan Xiong 把操作层面的问题说得很直白：“编码代理可以很快做出改动，但更难的问题是它被允许做什么，以及我们怎么知道这个改动是可靠的。”

驻留型恶意软件，以及底下的信任缺口

代理式攻击并非唯一的活跃威胁。据 The Hacker News 报道，微软称一个名为 NeedyMantis 的恶意软件家族被用来在已被攻破的网络中维持长期访问。相关活动针对电信机构、大学、医疗非营利组织、政府间组织和政府承包商，最早可追溯到 2025 年 10 月。

微软是在追查卡巴斯基对 DAEMON Tools 供应链攻击的调查线索时发现该恶意软件的。在那次攻击中，DAEMON Tools Lite 的签名安装包从 2026 年 4 月 8 日起携带恶意代码，直到开发者于 5 月 5 日换成干净版本。微软将该活动编号为 Storm-3069，评估其源自中国，但表示尚未把该组织与中国国家背景的行为体挂钩。公司还称，使用 NeedyMantis 的可能不止一个组织。

所有这些之下还有一个更安静的问题：企业是否信任承载其 AI 项目的网络。Arelion 9 月 28 日发布的报告《信任的错觉》发现，过去两年里，58% 的高级业务负责人因为对网络供应商的担忧，推迟、缩减或为战略计划增加了额外防护。

受影响最大的是 AI 和数据驱动项目，在经历过中断的受访者中有 49% 提到。安全与合规项目为 44%，数字化转型为 42%，云迁移为 38%，进入新市场和新产品发布各为 30%。信心在受考验前看着很足：93% 的人表示基本或完全信任现有供应商，但只有 15% 对该供应商快速发现并解决严重网络问题的能力有完全信心。

同一份报告里的两个数字解释了这道缺口。几乎所有负责人都在抽象层面表达信任，而 42% 的人说，供应商严重低于预期的情况从每年几次到每月甚至更频繁都有。在建立信任的因素中，对安全威胁的防护排名最高，为 48%，高于可靠性与正常运行时间的 44%，以及性能与延迟的 37%。

把这一周放在一起看，轮廓很清楚。Shopify 押注对话驱动的代理能在没有开发者的情况下搭出店面。DIVD 记录的是，一个没有开发者把关的代理在工单系统上撒野会发生什么。GTT 和 InfoQ 在卖、在教同一想法的防御版本。而 Arelion 的调查显示，许多买家还不相信，这一切底下的网络撑得住。