AI 智能体帮黑客“自动找洞、自动试错”，已经不是纸上谈兵。路透社根据网络安全公司 NorForge 的调查报道，一名黑客用 AI 智能体入侵了 100 多家企业的网站，受影响的包括农机制造商迪尔（Deere）、家电品牌 SharkNinja 和发动机制造商康明斯（Cummins）。
NorForge 是在调查开源 AI 平台 Cairn 被滥用时发现这些活动的。Cairn 能协调多个智能体完成任务，研究人员找到 20 多个公开暴露、与疑似恶意行动有关的 Cairn 控制面板。
核心数字
| 项目 | 数据 |
|---|---|
| 被尝试入侵的网站 | 1200 多个（截至 10 月中旬） |
| 被入侵企业 | 100 多家 |
| 平均成功率 | 约 10%（项目目标不同，不能直接比较） |
| 最大一轮行动，成功项目平均耗时 | 略低于 23 小时，每个项目约记录 140 条发现 |
| 成本估算 | 最大一轮约 5000 美元，折合每次成功约 50 美元 |
攻击者是怎么用 AI 智能体的
NorForge 的首席威胁研究员 Snorre Fagerland 在搜索暴露在互联网上的 Cairn 界面时发现了这些活动，界面里有攻击目标、指令、已发现的漏洞和智能体执行的操作。Cairn 通过一个叫“黑板”的共享工作区协调智能体，智能体把发现的事实和计划的动作记在上面，其他智能体据此决定下一步。人类操作者指定目标和目的，调查中还可以追加指令，但智能体可以自己继续测试漏洞、尝试不同办法，不需要每一步都下命令。
最活跃的一轮行动来自一名讲中文的攻击者，9 月 25 日起针对电商网站，覆盖美国、加拿大、澳大利亚和日本的企业，14 个控制面板里有 1100 多个攻击项目。攻击者还用微软的 Playwright 浏览器自动化框架，先确认所选网站能下单，再交给 Cairn 去尝试利用。起始指令很简短，有时不到 100 个汉字，之后由智能体自己调查目标、尝试不同的入侵方式。NorForge 发现，指令聚焦于通过文件上传、SQL 注入、认证绕过和应用数据不安全处理等漏洞取得未经认证的远程代码执行，主要目的是长期控制电商和支付基础设施；其中一种做法是在被攻陷的服务器上装 Web Shell，以便入侵后保持访问并执行更多操作。
研究员怎么确认不是“吹牛”
NorForge 核查了智能体汇报的“成功”是否真实：一家美国大型零售商的案例中，AI 智能体发现某个 cookie 设置会把请求导向有漏洞的后端服务器，研究人员独立验证了入侵；一家澳大利亚电商网站上，研究人员确认 Web Shell 能在服务器上执行命令；一家硬件厂商网站上也确认存在可访问的上传型 Web Shell。调查还记录了涉及其他美国零售商、一家日本零售商和一个餐厅销售终端系统的攻击。
讽刺的是，攻击者自己也把敏感信息暴露在控制面板里，包括目标网站、已发现漏洞和行动中收集的凭据。NorForge 用凭据检测工具 TruffleHog 扫描后，发现数百个暴露的密钥，约 11% 验证有效。研究人员说正在通知受影响的机构，并推动下线这些面板。
企业怎么回应
- 迪尔：已采取补救措施，没有迹象显示敏感信息被访问；
- SharkNinja：受影响的是一个包含产品支持信息的独立网站，威胁已被控制；
- 康明斯：正在调查涉及第三方供应商运营网站的潜在网络攻击；
- 另有两家较小的企业承认网站被入侵。究竟有多少起事件导致数据被非法提取，目前还不清楚。
NorForge 还发现其他疑似攻击者用 Cairn 做以牟利为目的的行动：一组有 10 个暴露的控制面板，里面是窃取商业和金融网站支付卡信息与加密货币的指令；第三组有 59 个项目，针对电商网站和美国较大的商业平台，目标是服务器访问、管理员权限或数据库访问，不过 NorForge 对这一组“恶意”的判断把握低于其他几组。
AI 攻击到底有多便宜
最大一轮行动使用了名为 claudecode_deepseek-v4.1-flash 的智能体工作节点，暗示可能是 Claude Code 智能体框架加 DeepSeek 模型的配置，但研究人员无法独立确认底层配置。据路透社，Fagerland 估计最大一轮的 AI 模型使用成本约 5000 美元，折合每次成功入侵约 50 美元；NorForge 另估平均每个项目约 5 美元（含失败尝试），超过 1000 条动作和发现的长时间行动估计要 100 美元以上。
要留意的是，这些数字基于观察到的项目活动，而非真实 token 用量或账单，NorForge 承认存在较大不确定性；数字只含 AI 模型使用成本，不是发动攻击的全部成本，研究人员也没有和人工入侵做直接成本对比。
对企业网站运营者的启示
- 及时给电商、支付相关系统打补丁，尤其是文件上传、认证和数据处理相关的组件；
- 定期检查服务器上有没有异常的 Web Shell 或陌生文件；
- 第三方供应商运营的网站也要纳入安全管理范围；
- 别把内部工具的控制面板直接暴露在公网。
常见问题（FAQ）
Cairn 是什么？
是一个开源 AI 平台，可以协调多个智能体通过共享“黑板”完成任务。这次被滥用于攻击。
被入侵的企业数据被盗了吗？
目前不清楚。有多少事件导致数据被非法提取尚未查明，迪尔称没有迹象显示敏感信息被访问。
“每次 50 美元”是实际账单吗？
不是，是基于观察到的项目活动做的估算，只算 AI 模型使用，且不确定性较大。
这事和 Claude 或 DeepSeek 有关吗？
只是工作节点名称暗示了这种配置，研究人员无法独立确认，不能就此下结论。
小企业需要担心吗？
需要。攻击成本低，意味着更多网站可能被自动化扫描，基础的补丁、权限和异常检查更值得做好。