黑客躺着干活：AI agent 自动攻破上百家企业网站，一次入侵只花 50 美元

一个人，一支 AI 大军，上百家企业网站

过去两周，一位安全研究员亲眼看着一名中文黑客攻破了 100 多家公司的网站。受害者名单里有农机制造商 Deere（约翰迪尔）、家电品牌 SharkNinja（鲨客）、发动机制造商 Cummins（康明斯）——都是各自行业里的硬骨头。路透社通过独立审查黑客的操作记录，逐一确认了这些受害者的身份。

但这件事真正让人后背发凉的不是受害者名单，而是黑客本人几乎没干活。

据安全公司 NorForge 首席威胁研究员 Snorre Fagerland 向路透社提供的报告，这名黑客把整场入侵行动几乎完全外包给了 AI agent：agent 自主花上数小时探测、试探、攻破一个个目标网站。从 9 月 25 日开工到上周末，他的 AI 大军已经尝试入侵了 1200 多个站点。黑客给 agent 的指令简短到离谱——不到 100 个汉字，勾勒一下他偏好的入侵战术，剩下的全交给机器自己发挥。

如果你做安全，这段描述应该让你想起 penetration testing（渗透测试）里最费人力的部分：踩点、枚举、试错、换姿势再试。而现在，一个人加一串 prompt，就把这条流水线跑起来了。

50 美元一次入侵：攻击经济学被改写了

Fagerland 估算，这场战役烧掉了约 5000 美元的 token，摊到每次成功入侵上，约 50 美元。平均每次成功入侵需要 agent 花大约 23 小时反复试错。

把这个数字放在天平上掂一掂：一次由人工红队执行的完整渗透测试，行业报价通常 1.5 万美元起步，耗时数天到数周，而且一次只能盯一两个目标。而这次，50 美元、23 小时机器时间，黑客本人几乎零动手——这还不是"便宜了 300 倍"这么简单的算术，因为 AI agent 可以并行。一个黑客指挥的不是一把螺丝刀，而是一整支不知疲倦、不会抱怨、按小时计费还极便宜的突击队。

这就是 Fagerland 说的 "It's a new world now"（新世界到了）的底气。这不是某个实验室里的红队演示，不是一篇"理论上可行"的论文，而是一场真实发生、真实得手、真实烧钱的犯罪战役。AI 安全话题第一次从"演示"走进了"犯罪现场"。

驱动这支大军的模型，据 Fagerland 判断，是中国的 DeepSeek 与 Anthropic 的 Claude Code 的混合搭配。一个值得玩味的细节：进攻侧的工具链已经高度"商品化"——用得起的模型、写得出的 prompt，门槛低到任何人都能复制这套打法。

把这笔账再往下拆一层。5000 美元是整场战役的总账：摊到 1200 多次尝试上，单次尝试成本约 4 美元；按 100 多家得手简单折算，成功率大约一成。也就是说，攻击者每花 4 美元买一次"抽奖机会"，中奖率一成，23 小时后开奖——而每一次"中奖"，都是一家公司的网站被翻个底朝天。

再看报价单的另一面。人工渗透测试是按"人头 × 工时 × 范围"计费的：一支红队进场，踩点、测试、写报告，短则几天、长则数周，一次只能盯一两个目标，行业常见报价 1.5 万美元起步（这是行业报价，不是路透社的数字）。agent 的计费方式则是按 token——机器时间不值钱，值钱的是"规模"。50 美元对 1.5 万美元只是第一层差距；第二层差距在目标数上：人工红队同一时间啃一两个目标，AI 战役同时铺了 1200 多个站点。单位目标的成本差，远不止 300 倍。

Fagerland 在路透社的原话值得逐字读一遍：市售的 AI agent 已经能"从头到尾独立完成复杂入侵，无需人类干预"（commercially available AI agents could pull off complex intrusions from start to finish without human intervention），这是"对单个恶意行动者能力的急剧放大"（a dramatic boost to the power of a single malicious actor）。翻译成大白话：以前发动这种规模的战役，你需要一个团队；现在，你只需要一个人，和一张能刷 5000 美元的卡。

还有第三层差距，藏在"边际成本"里。人工红队每多接一个目标，都要重新排档期、加人头；AI 战役每多扫一个站点，成本就是 50 美元加 23 小时的机器时间——机器没有档期，也不喊累。防御方过去心里那杆秤——"这个洞利用起来太麻烦，黑客懒得搞"——秤砣正在失效：麻烦对机器不是成本，只是 token 账单上多一行。

他是怎么被"趴肩观察"的：暴露的 Cairn 面板

整件事的发现过程本身，就是一堂暴露面管理课。

10 月 2 日前后，Fagerland 在全网扫描时发现了约 20 个"不小心暴露在公网"上的 Cairn 实例。Cairn 是一个开源的 AI 问题求解平台（multi-agent 架构），在黑客圈子里颇受欢迎。它的作者社交账号叫 "le1xia0"，在回复路透社时称，Cairn "不是为黑客攻击设计的"，如果被拿去干坏事，"那并非我的本意"。

但黑客们部署 Cairn 时犯了一个低级错误：管理面板直接暴露在了公网上，没有任何访问控制。Fagerland 就这样"趴在他们的肩膀上"，安静地看了两周完整直播——看 agent 如何接收指令、如何试探目标、如何得手。

"约 20 个"这个数字值得停下来想一想：它意味着同一时间有 20 多个犯罪控制台开着门迎客。每个暴露实例背后，都是一套正在运转的犯罪流水线——任务指令、agent 的操作日志、目标清单，全在面板里裸着。裸到什么程度？路透社正是靠独立审查黑客的 Cairn 活动记录，才逐一确认了 Deere、SharkNinja、Cummins 这些受害者的身份。面板泄露的不是"可能"，而是整场战役的完整账本。

而"趴肩观察"最让人细思极恐的一点，是它不需要任何黑客技术。这些面板没有任何访问控制——不用漏洞利用、不用爆破口令，浏览器打开就是两周的完整直播。Fagerland 干的事，和你在地址栏敲个网址看网页没有本质区别。所谓"悄悄潜入"，悄悄的不是手段，是人家根本没锁门。

讽刺吗？相当讽刺。一场展示 AI 进攻能力的战役，恰恰是因为进攻者自己的运维疏忽才暴露。攻击者用 AI 找别人的漏洞，防御者用扫描找攻击者的漏洞——这场攻防里，暴露面管理输赢两边通吃。

同一批被观察到的黑客里，还有人用 agent 偷走了一大批信用卡数据，另一个则试图指挥 agent 去抢劫加密货币交易所。这不是孤例，而是一整片正在成型的地下生态。

这场"直播"是怎么变成新闻的

先把时间线捋直。10 月 2 日前后，Fagerland 在做威胁情报里的常规动作：全网扫描"不小心暴露在公网"的 Cairn 实例——看看谁家门没关。一扫，扫出约 20 个正在被用于恶意活动的实例。他没有打草惊蛇，而是安静地看了两周：看 agent 接指令、看它们试探目标、看它们得手。

然后是标准的披露链条。Fagerland 把完整报告在 10 月 19 日（周一）公开发表之前，提前交给了路透社。这里有个关键细节：他的报告里没有点名任何受害者——是路透社的记者独立审查了黑客的 Cairn 活动记录，对着操作日志逐一确认，才抠出了 Deere、SharkNinja、Cummins 这三个名字。受害者名单不是谁"爆料"给媒体的，是记者自己从账本里查出来的。

名单有了，就该去敲门了。路透社联系到的几家给了回应：Deere 说已采取"必要修复"，且无敏感信息被访问的迹象；SharkNinja 说中招的是个只放产品支持信息的独立站点，威胁已被控制；Cummins 说正在调查"一家第三方供应商运营的网站"。还有两家小企业也承认被攻破。至于 Cairn 数据里列出的其他受害者——没有回复路透社的消息。沉默本身，也是一种回答。

Cairn 的作者 le1xia0 那边，路透社同样找了。他确认收到了记者的消息，但没有回答记者列出的问题清单。那句"平台不是为黑客攻击设计的"回应，出自他最近在 X 上的一条帖子——不是给路透社的专访答复，是公开表态。工具作者、受害者、研究员、记者，四方在这条链上各就各位，一场"直播"才变成了新闻。

agent 的"手法"：真不是脚本小子那套

Fagerland 干了近 30 年安全，他说这次有些 agent 的手法让他印象深刻。举一个例子：agent 在一家大公司的公开应用上没找到任何弱点，没有收手，而是去翻数字记录找到这家公司关联的基础设施，定位到一个对外暴露的控制面板，发现了它处理数据方式上的一个细微弱点，经过数小时试错，最终诱使服务器执行了恶意命令。

"It's not straightforward to come up with solutions like that," Fagerland 说，"It's not script kiddie stuff."（想出这种解法并不容易，这可不是脚本小子那套东西。）

注意这个手法的结构：受阻 → 扩大侦察面 → 找到关联资产 → 发现弱点 → 构造利用。这正是人类渗透测试员的标准心智模型。现在 agent 自己走完了全程，而且是在"不到 100 个汉字"的指令下自己长出来的。这意味着什么？意味着过去靠"目标够大、够复杂，脚本小子啃不动"来获得的安全感，正在失效。复杂度和耐心不再是防御护城河，因为机器最不缺的就是耐心——23 小时连续试错，对 agent 来说只是 token 账单上的一行。

这不是孤立事件：拼图正在拼上

把这起事件放进 2026 年下半年的时间线里看，轮廓更清晰：

8 月，以色列安全公司 Gambit Security 发现俄语勒索团伙用 AI 编程工具攻入了 7 家机构；9 月，Gambit 记录的另一起 AI agent 驱动的入侵潮造成 25 家公司被攻破、至少 60 万条信用卡记录被盗；上周，威胁情报公司 Bitsight 称，地下论坛里关于"如何使用自主 agent"的讨论正在激增。

三条线指向同一个方向：AI agent 正在成为网络犯罪地下的"标配工具"。Fagerland 承认，他以前一直以为"黑客+agent"至少还需要人盯着，现在看，这个假设已经过时了："The development in this field is astounding."（这个领域的发展速度令人震惊。）

对网站主意味着什么：四件现在就该做的事

新闻看完，落到每个网站主头上，问题只有一个：下一波 23 小时的"机器耐心"，会不会落在我的网站上？有四件事值得现在就做：

第一，查你的暴露面，尤其是管理面板和"关联资产"。这次战役里 agent 的经典手法就是"正门打不进就翻关联基础设施"。很多公司的安全水位是"官网做得很结实，但某个三年前上线的后台面板还裸奔"。Cairn 面板暴露是黑客犯的错，但 Deere、SharkNinja 们被攻破，说明受害者一侧同样存在"以为没人知道"的暴露资产。定期做外部资产发现（attack surface discovery），把"以为没人知道"变成"确认没人能进"。

落到实操，先从"知道自己有多少资产"开始：去证书透明度日志（Certificate Transparency）里把自家域名下的子域名全扒出来，三年前上线的后台、离职员工搭的 demo、供应商代运维的站点，全部登记造册，一个都不能少。管理后台统一收敛到非默认路径，加上登录态校验，条件允许再加一层 IP 白名单；顺手给后台加上 noindex——别让搜索引擎替你把后台"存档"了。

第二，重新理解"异常流量"。传统 WAF 和风控擅长拦的是高频爆破、已知 payload。但 agent 的打法是低速、长时、语义级的试探——23 小时里它可能只发了几百个精心构造的请求，每个单独看都不像攻击。这要求检测逻辑从"看频率"转向"看行为序列"：同一个源在数小时内系统性地枚举接口、翻文档、试边界，本身就是信号。

实操上，先把日志留存窗口拉到能覆盖"23 小时慢打"的长度，否则等你想查，记录已经轮转没了。告警规则要从"单 IP 高频"改成"单源长会话行为链"：同一个来源在几小时内依次做了接口枚举、翻帮助文档、试异常输入，就该升级处置。WAF 规则之外，再补一条"行为基线偏离"兜底——机器再有耐心，它的行为序列和正常用户长得不一样。

第三，供应链网站一视同仁。Cummins 回应说正在调查"一家第三方供应商运营的网站"。攻击者不在乎你的组织架构图，他们只在乎哪里好下手。供应商、经销商、各地分站的产品支持站点（SharkNinja 中招的正是一个独立的产品支持站点），安全标准必须和主站拉齐，至少做到"被攻破时能第一时间知道"。

实操层面，把安全基线写进供应商合同：要求对方达到和你主站同等的水位，并且"被攻破时第一时间通知"，而不是等媒体来问了才知道。每季度抽查一次供应商站点的暴露面——Cummins 这次栽的，正是"一家第三方供应商运营的网站"。你的组织架构图，在攻击者眼里不存在。

第四，补丁速度就是生死线。当单次入侵成本降到 50 美元，攻击者试错的"心理门槛"几乎消失。以前"这个漏洞利用起来太麻烦，黑客懒得搞"的心态要扔掉了——机器不嫌麻烦。已知的 CVE，该打的补丁，窗口期只会越来越短。

实操上，给补丁排优先级别只看 CVE 评分，先看"是否暴露在公网"：互联网暴露面的补丁窗口按天算，内网的可以按周排。实在来不及打补丁的，先上 WAF 虚拟补丁顶着——拦截规则可以先行，代码慢慢修。记住现在的算术：单次入侵 50 美元，"等下个版本再修"的每一天，都是在给 23 小时的机器耐心送机会。

如果你是 vibe coder：你的 side project 可能是"低垂的果实"

看到这里，VibeFix 的读者可能会想：Deere、康明斯这种大公司都被打穿了，我一个独立开发者的小项目能怎么办？先说一个残酷的优先级真相：这次战役里 agent 尝试了 1200 多个站点，专挑美、加、澳、日的电商网站下手——agent 不挑"有价值"的目标，它挑"好下手"的目标。你的 side project 会不会被扫到，不取决于你多重要，而取决于你多好欺负。

而 vibe coding 的工作方式，恰恰在批量制造"好欺负"的目标。想想看：用 AI 一下午搭出来的管理后台，鉴权是不是"先跑起来再说"？部署到某朵云上的 demo，环境变量里的 API key 是不是顺手就写进了前端代码？图床、webhook 回调、Supabase 的 anon key，是不是默认配置直接上线？AI 帮你 10 分钟生成了一个 CRUD 后台，但它不会提醒你"这个 /admin 路由没有登录态校验"——而 agent 攻击者最擅长的，就是把这种"AI 生成、人类没空细看"的缝隙翻出来。

那具体该做什么？给独立开发者一份更完整的低成本自保清单，按"先保命"排序：

第一，管理后台三件套：鉴权、非默认路径、IP 白名单。别学 Cairn 把面板裸奔——这是本轮事件里最不该犯、也最常见的错。

第二，前端代码零 secret。API key、数据库连接串一律走环境变量；Supabase 的 anon key 务必配好 RLS（行级安全），只给最小权限——key 泄露是 agent 时代最高频的初始立足点。

第三，开日志和告警。最基础的访问日志加上异常告警，被 23 小时"慢打"时至少能看见。看不见的攻击，等于没设防。

第四，管好依赖。AI 生成的项目，依赖版本定格在"生成的那一刻"，上线后没人管；定个周期（比如每月）跑一轮更新，高危漏洞优先。

第五，全开 2FA。代码仓库、云控制台、域名商，一个都别漏——撞库拿下你的云账号，比攻你的网站容易得多。

第六，定期备份数据库。删库和勒索不挑项目大小，有备份才有底气。

第七，别让搜索引擎收录后台。robots.txt 或 noindex 二选一，别让你的 /admin 出现在搜索结果里"迎客"。

攻防两端都在用 AI，拼的就是谁先把基本功做扎实。基本功不花钱，花的是你一个下午的时间——比 50 美元贵不了多少。

结语：防守方的算术变了

安全行业过去几十年的基本假设是：进攻需要聪明人，聪明人很贵，所以大规模、高质量的进攻天然稀缺。这次事件把这个假设撕掉了一半——进攻仍然需要"聪明"，但"聪明"现在可以按 token 批发，50 美元一份，还附赠 23 小时不眠不休。

好消息是，这次战役暴露，恰恰是因为攻击者自己的面板裸奔。坏消息是，下一波攻击者会记得关上面板。而防御方要记住的是另一句话：当机器学会了耐心，人就得学会比机器更早一步。

路透社未能确认这些入侵造成了多大程度的数据外泄——Deere 称已做"必要修复"且无敏感信息被访问的迹象，SharkNinja 称威胁已被控制。但"没丢数据"不等于"没风险"：100 多家公司的网站被陌生人用 AI 翻了个遍这件事本身，就是 2026 年安全圈最响的一记警钟。