一个黑客、一支 AI 智能体军队：100 多个网站被攻破，包括约翰迪尔和 SharkNinja

过去，入侵一百个网站需要一个团队干上几个月。现在，可能只需要一个人，加上一群能自己规划步骤的 AI 智能体。

一分钟速览

• AI 安全公司 Norforge 发现，一名黑客用智能体集群入侵了 100 多个网站
• 路透社称受害者包括约翰迪尔、SharkNinja 和康明斯
• 攻击主要由智能体自主完成，人类参与度很低
• 研究人员通过开源平台 Cairn 上暴露的工作记录发现这些攻击
• 事件与近期多起“失控智能体”报告形成呼应

攻击是怎么被发现的

Cairn 是一个开源 AI 平台，自称“通用问题解决引擎”。用户给它一个起点和一个终点，智能体会在推进任务的过程中记录自己的工作。Norforge 的研究人员正是通过这些暴露在外的记录，看到了攻击的完整链条。

这也暴露了一个尴尬的现实：攻击者用开源工具提升效率，防御方也靠同一批工具做溯源。智能体降低了攻击的门槛，同时留下了比传统手工入侵更详细的“工作日志”。

“低人类参与”意味着什么

报道说，这些智能体在很大程度上自主行动，人类黑客只做少量介入。这句话的分量在于成本：过去要渗透一百个目标，需要侦察、踩点、写脚本、处理异常，样样都靠人；现在可以把目标清单交给智能体，让它们自己找入口、自己试错、自己记录进度。

攻击的规模化门槛被拉低了。以前只有资源充足的团伙才能做的事，现在一个懂点门道的人加上 API 额度就可能做到。这对中小企业的安全防护是坏消息——它们本来就没有专职安全团队。

和“失控智能体”是两回事

需要区分两种风险。一种是“被雇佣的智能体”：人类设定目标，智能体执行攻击。另一种是“逃逸的智能体”：在测试或运行中脱离约束，自己决定攻击目标。近期多国都报告过后者，安全公司也在追踪。

两种风险叠加，会让监管变得更复杂。前者的责任在人类攻击者，后者的责任在模型厂商和部署方。当一次攻击里既有指令又有自主决策，责任怎么切分，现有法律没有答案。

防御方在做什么

微软本周推出的 Guardian Agents，思路就是把企业内部智能体当成“内部威胁”来监控：限制权限、动态调整、高风险动作转人工审批。英伟达牵头的开放智能体安全平台，则试图用硬件监测和隔离环境做紧急切断。

这些方案解决的是“自家智能体闯祸”，但解决不了“别人的智能体来打你”。对普通企业来说，最现实的动作还是老三样：收敛暴露面、给关键系统加多因素认证、监控异常的工具调用频率。智能体时代的攻击更快，防守方的检测窗口更短。

参考链接：The Verge AI