一场尝试了一千二百多个网站、攻破一百多个的行动，不是被那一千二百个网站中的任何一个发现的。它之所以被发现，是因为 NorForge 的一位研究员当时正在互联网上扫描开源智能体平台 Cairn 的暴露部署，于是一脚踏进了运营者自己那些无需认证的控制台——一千一百多个攻击项目，分散在十四个控制台里，由一条不足一百个汉字的指令驱动。防守方该从中学到的不是「智能体攻击很便宜」，这一点早已成立。而是：一个走向自动化的攻击者会获得一个控制平面，而控制平面是一项面向互联网的资产，里面存着一份他自己写下的意图记录。
速览
路透社在 2026 年 10 月 19 日发表了这项调查，建立在 NorForge 的研究之上。哪些是实的，哪些不是。
| 细节 | 据报道 | 可信度 |
|---|---|---|
| 怎么被发现的 | NorForge 首席威胁研究员 Snorre Fagerland 在互联网范围内扫描 Cairn 的暴露部署 | 各家报道一致 |
| 规模 | 尝试了 1,200 多个站点、攻破 100 多个；最活跃的那一簇被追踪为 AIA0001，在 14 个控制台里有 1,100 多个攻击项目 | 一致 |
| 目标 | 大多是电商，位于美国、加拿大、日本与澳大利亚；点名了 Deere、SharkNinja 与 Cummins | 一致 |
| 那条指令 | 不足 100 个汉字：拿到代码执行，然后种一个上传型 web shell | 一致 |
| 成本 | 每次成功入侵约 50 美元 token、全程约 5,000 美元；NorForge 自己的报告则给出把失败也算进去的每任务约 5 美元，并称不确定性相当大 | 两个估算冲突，而且是必然的 |
| 观测窗口 | 恶意使用的 Cairn 部署自 10 月 2 日左右；有报道称尝试始于 9 月 25 日 | 较早那个日期仅单一出处 |
| 模型与脚手架 | 路透社未能确认；二手说法在「哪个模型驱动哪个脚手架」上互相矛盾 | 未被确立 |
| 数据是否被窃 | 路透社无法确定是否有数据被取走；Deere 称没有敏感数据外泄的迹象，SharkNinja 称受影响的是一个独立的支持站点 | 悬而未决 |
检测来自线路的攻击者那一侧
把两个观测位并排放，不对称本身就是这篇报道。一个被瞄上的站点看到的，是被瞄上的站点一向看到的那些：一些请求、也许某个参数被模糊测试了一下，以及——在那倒霉的一百个里——某个不该出现文件的地方出现了一个文件。这个视角里没有任何东西说得出「行动」二字。受害者之间没有共享标识符，流量也稀疏到触不响任何限流，而一个在探测 Web 应用的智能体看起来就像一台扫描器——互联网上每个站点一整天都在看这个。一百起彼此独立的事件，没有任何人把它们关联起来。
运营者的视角正相反：一个平台、十四个控制台、每个目标与每个结果都在同一处，而且不用凭据就能看到。NorForge 去核实一家大型五金配件供应商被攻破的情况，办法是找到攻击者那个仍然活着的上传 shell——也就是说，连确认都来自顺着攻击者的记录走，而不是顺着受害者的日志走。有用的推广是：对于一场跑在智能体平台上的行动，信息量最大的观测点是那个平台，而那个平台通常是某人没加固的副业项目。配置即侦察这把刀是双向的，而这是它第一次大规模地朝防守方砍过来的案例。
这确实是一个新的情报来源，值得把它当作一个来源点出名字：暴露的智能体控制平面。不是模型、不是提示词，也不是过去二十年那种 C2——而是某人部署时没加认证的一个工作流工具的项目列表。请预期这场行动的下一个版本会给它加上密码，也请预期那对运营者几乎不花成本——这正是为什么这个发现有意思、而不是让人安心。
指令是一百个字，证据是一千一百个项目
这里最值得引用的那个事实，同时也最有教育意义：整场行动由一条比这一段还短的指令驱动。在目标上找到一条执行代码的路，然后装一个上传 shell。这就是那个人对意图的全部贡献，也是为什么「AI 驱动的攻击」这个说法会误导人——技术上没有一处是新的，模型也没有提供任何一个有能力的运营者所缺的能力。模型提供的是横跨一千二百个目标的耐心，而这恰恰是人类运营者没有的东西。
现在看这笔交换让攻击者付出了什么。把「宽度」委派出去，就生产出一份持久、结构化、带时间戳的每次尝试的记录：一个目标一个项目、结果附在上面、为运营者自己的方便而整理。一个人手工搞一千二百个站点，留下的是某台机器上散落的、谁也找不到的 bash 历史。一个智能体搞一千二百个站点，留下的是一个数据库。这场行动的可读性，是它规模的直接后果——而运营者不建起那个让它可读的东西，就不可能有那个规模。
这件事能推广得比这桩案子更远。任何规模化运行智能体的一方——攻击者、企业、研究实验室——最终都会有一个控制平面，因为一百个并发运行没有它就管不住；而控制平面正是意图、目标与结果被归集成一个可读对象的地方。我们从防守方的椅子上写过这件事，叫智能体清点与登记。事实证明这项义务是对称的；只不过攻击者没有一个合规团队逼他加密。
那笔算术，以及它删掉的那个类别
把这两个估算当成估算来认真对待。两者都不是从账单上读来的——NorForge 拿不到运营者的 token 用量——而它们差了一个数量级，是因为分母不同：每次成功 50 美元只算成功的那一百次，而每任务 5 美元把每一次尝试、包括失败的那一千一百次都算进去。两者与同一笔底层支出都相容；用哪一个，结论都一样，而这正是个好兆头——说明结论不取决于那笔算术。
结论是：「不值得被攻击」已经不再是一个类别。过去二十年里，一家中型电商站点的隐含防御，是人类攻击者有更值得花一个下午的去处；而保护它的那项成本并不是漏洞利用的成本——而是「判断这个站点是否值得动用那个漏洞利用」的成本。塌掉的正是这项筛选成本；一般性的论证我们在目标选择刚刚变成了免费的里写过，而这是第一场给它标出实测价格的行动。也请注意什么没有变：成功率大约是十二分之一，手法是普通的 Web 应用攻陷。没有任何一样东西被打败，而打补丁本来打不败它。
对任何曾经以「这项资产太不起眼」为理由给某个漏洞降级的人，实际读法是这样的：不起眼曾是一项施加在攻击者注意力上的成本，而注意力正是刚刚变得充裕的那项投入。请按可利用性重新排序，而不是按你自以为自己有多有趣。
如果你在跑智能体，这也是一篇关于你的报道
把犯罪成分剥掉，这套架构就是一个再普通不过的智能体部署：一个开源编排平台、一个 Web 控制台、一个工作单元一个项目、凭据就放在环境变量里，而前面没有任何认证，因为它本来只打算让它的主人访问得到。这段描述适用于当下正在各家公司里立起来的很大一部分智能体基础设施，也正是一台互联网级扫描器会找到的东西。
- 你的智能体控制台是生产系统，而且是你拥有的里头价值最高的那一个。它装着任务列表、目标、产出，通常还装着交给智能体的那些凭据。单个智能体被攻陷是一个影响半径问题；控制平面被攻陷是所有智能体一起，外加一份它们做过什么的记录。
- 扫描器现在会找编排工具了。抓住这位运营者的那同一种扫描，也会找到你那个没加认证的控制台，而且没有理由假定下一个走进来的研究员是研究员。请把智能体平台的 Web 界面当成 CI 服务器那样对待：要认证、不要暴露在互联网上、要进清册。
- 环境里的凭据就是控制台里的凭据。如果一个项目的配置可读，那它被交付了什么也就可读——哪些形态能熬过这一点、哪些熬不过，见向沙箱投递凭据。
- 定时运行的那些是没人看的那些。这场行动在无人照看的循环上跑了几个星期；大多数正当的智能体自动化也是如此。定时与触发式智能体正是无主、无分数、无监控的智能体堆积起来的地方。
至于账本的防守那一侧：这里真正起作用的检测故事并不是对入站流量做行为分析，而且得诚实地说，行为检测在任何单个目标上大概都抓不住这一场。真正有帮助的是那套不光鲜的东西——给 Web 应用打补丁、对 Web 根目录下的文件创建告警，并把任何地方冒出来的上传器当成一起事件而不是一条发现。检测智能体被攻陷讲的是你自己跑的智能体的轨迹信号；对于冲着你跑的智能体，信号仍然是它们留下的那个工件。
接下来该盯什么
| 如果下一次带上了…… | 什么会变 | 现在该做什么 |
|---|---|---|
| 运营者控制台上的认证 | 这个情报来源关闭；回到逐受害者的关联 | 不要建一个依赖攻击者配置失误的检测策略 |
| 比十二分之一更高的成功率 | 报道的主角从「宽度」变成「模型」 | 跟踪报道中的转化率，而不是总数——总数只度量支出 |
| 后渗透也被委派给智能体 | 驻留时间掉到人类响应时间以下 | 演练那种头几分钟不需要人的围堵 |
| 租用的智能体而非自建的 | 根本就没有暴露的控制台可找 | 把检测推到工件与出站上，如那桩租用运营者的案子 |
常见问题
是 AI 让这次攻击成为可能的吗？
不是——是 AI 让它在宽度上变得负担得起。手法是普通的 Web 应用攻陷加一个 web shell，而大约十二分之一的成功率，正是你对「不高明但够宽」所应预期的。智能体贡献的是「愿意为几千美元去试一千二百个目标」。
这场行动究竟是怎么被发现的？
靠在互联网上扫描 Cairn 智能体平台的暴露部署，而不是靠任何受害者的监控。研究员发现运营者自己的控制台无需认证，项目列表、目标与结果一览无遗。
5,000 美元是真实成本吗？
它是一个推断，研究者自己也这么说。token 用量从未被观测到；两个公布的数字——每次成功入侵约 50 美元与每次尝试任务约 5 美元——是用不同分母去除同一笔猜出来的支出。请把数量级当成那个发现。
用的是哪个模型？
路透社无法确认，二手说法也互相矛盾。这一点值得克制、不要当成焦点：换个模型，这场行动的形状不会变，而被确认的那些部分——平台、控制台、那条指令、那个漏斗——才是能推广的部分。
对被瞄上的那类站点，单项价值最高的修复是什么？
把智能体被告知去寻找的那条代码执行路径去掉，并对任何由 Web 提供服务的目录里的文件创建告警。智能体没有找到任何奇技淫巧；它们找到的是没打补丁的应用，然后写了个文件。
延伸阅读
本站：
- 攻击者操控的智能体 —— 针对「冲着你来而不是由你运行」的智能体的威胁模型。
- 配置即侦察 —— 为什么一个部署自己的配置是关于它信息量最大的东西。
- 智能体清点与登记 —— 从防守方的椅子上看，控制平面作为一份名册。
- 致命三要素 —— 把一个被攻陷的智能体变成外泄通道的那个合取条件。
- 目标选择刚刚变成了免费的 —— 这场行动为之标价的那个一般性论证。
来源：
- 路透社，2026 年 10 月 19 日 —— 原始调查。
- The Next Web —— NorForge 的细节、AIA0001 簇与成本估算。