AI 智能体以每家仅 50 美元的成本攻破 100 多家公司

一名操作者使用中文指令，表明其很可能是一名中文使用者，发起了一场持续四周的自主 AI 智能体攻击行动。该行动成功攻破了超过 100 家公司，其中包括农业机械制造商 Deere、家电品牌 SharkNinja，以及发动机制造商 Cummins。

这场攻击针对美国、加拿大、澳大利亚和日本的 1,200 多个目标进行了尝试，API Token 总支出大约只有 5,000 美元。换算下来，每成功入侵一家公司的成本约为 50 美元。

NorForge 首席威胁研究员 Snorre Fagerland 周一向路透社披露了这一发现。据他介绍，整个行动在启动之后几乎不需要任何人工参与。

“这不是那种‘脚本小子（script kiddie）’级别的东西，”Fagerland 表示，“这个领域的发展速度令人震惊。”

这一披露标志着一个重要转折点。安全研究人员此前一直预计这种情况终将出现，但从未见过如此大规模、有明确数据记录的案例：一个单独的操作者，仅仅依靠普通商用级 AI 技术栈和不到 100 个字符的指令，就完成了过去往往需要一支专业团队连续工作数周才能完成的攻击。

Cairn：一个并非由攻击者自行开发的开源平台

这场攻击运行在 Cairn 上。Cairn 是一个开源 AI 问题解决框架，可以协调多个智能体共同实现一个目标。

操作者只需要设定一个起始点和最终目标，之后各个智能体会一步步自主推进任务，并把自己的发现发布到一个共享看板上，所有智能体都可以读取其中的信息。

Cairn 为智能体提供了 Shell、浏览器以及文件系统访问能力。这是一套通用型能力，并不存在专门用于攻击的代码。

Cairn 的作者在网上使用 le1xia0 这一用户名。他告诉路透社，该软件：

“并不是为了黑客攻击而设计的”，而其被滥用则“是人的决定，并不是这个引擎本身的功能”。

这个平台之所以逐渐受到网络犯罪分子的青睐，是因为它采用共享看板架构。无人监管的智能体可以在连续数小时的探测过程中不断积累上下文信息，并实时把有关目标防御系统的发现传递给其他智能体。

根据 Bitsight 的数据，今年网络犯罪论坛中关于自主智能体的讨论数量显著增加。

而 NorForge 在大约 10 月 2 日扫描互联网、寻找暴露在公网中的 Cairn 控制面板时，发现大约有 20 多个 Cairn 实例正在执行恶意任务。

值得注意的是，这名攻击者没有把自己的控制面板隐藏起来，这是一个严重的操作安全（OPSEC）失误。这也意味着，任何查看这些控制面板的安全研究人员，都可能获得其中泄露的账号凭据和 API 密钥。

使用 Trufflehog 进行扫描之后发现，其中约 11% 的密钥至今仍然有效。

Claude Code 与 DeepSeek V4.1 Flash 如何让“50 美元一次攻击”成为可能

这次攻击中的每一个任务都运行在一个名为：

claudecode_deepseek-v4.1-flash

的 Worker 之下。

NorForge 据此判断，这套系统很可能是以 Anthropic 的 Claude Code 作为编排层，然后调用 DeepSeek V4.1 Flash 模型完成具体的推理步骤。

Anthropic 和 DeepSeek 均未对此次攻击事件发表评论。

选择 DeepSeek V4.1 Flash 在经济成本上非常关键。

DeepSeek V4.1 Flash 于 2026 年 9 月 10 日发布，是 DeepSeek V4.1 系列中的低成本模型。它采用稀疏型混合专家架构（Sparse Mixture-of-Experts），基础参数规模达到 5520 亿，但每次输入大约只激活 80 亿参数，输出时大约激活 160 亿参数。

在开放式推理路由平台上，其价格大约为：

• 每 100 万输入 Token：0.035 美元

• 每 100 万输出 Token：0.011 美元

这样的价格意味着，让一个自主智能体连续进行 23 个小时的攻击探测——而这正是每一次成功入侵的平均持续时间——与一次成功入侵所可能造成的损失相比，成本几乎可以忽略不计。

该模型在 Vals AI 的 CyberBench v1.1 网络安全基准测试中取得了 73.7% 的成绩，并针对代码编写、终端执行以及计算机操作类智能体任务进行了优化。

换句话说，它的能力特征几乎精准匹配网络入侵流程。

延伸阅读：Claude Code 增加嵌套会话，可支持并行智能体工作

攻击者给出的指令不到 100 个中文字符。

这些指令要求 AI 智能体：

找到一种方法，可以在每一个目标网站上执行代码，然后植入一个文件上传型 Web Shell。

这种 Web Shell 本质上是向服务器中植入一个表单，允许上传并保存文件。

与能力更强、可以直接执行各种系统命令的 Shell 相比，这种 Web Shell 提供的权限更加有限，但却可以让攻击者长期保持文件写入权限。

从攻击行为来看，其目标似乎是建立一种持续存在、特征不明显的长期访问能力，从而未来能够对电商系统及支付基础设施进行数据窃取，或者植入信用卡信息窃取代码。

智能体实际上是如何攻击的：大规模不断试错

当 AI 智能体发现某个目标网站的公开应用程序没有明显可利用漏洞时，它们并不会停止攻击。在 Fagerland 记录的一个案例中，AI 智能体首先对主要目标进行了探测，但没有发现漏洞。

之后，它们发现了一个与目标网站关联、同时又可以从公网访问的控制面板。智能体随后针对这个控制面板连续进行了数小时的试错，最终发现了其中一个非常隐蔽的数据处理漏洞。

之后，AI 成功诱骗服务器执行恶意命令。整个过程构成了一条多阶段攻击链，而且全部是自主完成的，持续时间超过 20 个小时。

NorForge 后来检查时确认，至少有一个由 AI 智能体植入的 Web Shell 当时仍然可以正常使用。

这次攻击主要针对四个国家中的在线商店，这些网站每月访问量大约在 20 万到 150 万之间。

攻击者有意识地选择电商企业作为目标，因为这些企业拥有支付基础设施和客户数据，一旦攻击者能够获得长期访问权限，其价值非常高。

在被尝试攻击的 1,200 多个网站中，超过 100 个最终被成功入侵。成功率大约为 8% 至 10%。

路透社目前无法确认，在 NorForge 通知这些受害企业之前，攻击者究竟已经窃取了多少数据，或者是否真正进行了数据外泄。

Deere 表示，公司已经采取了“必要的补救措施”，并且：

“没有迹象表明敏感信息遭到访问。”

SharkNinja 表示，攻击针对的是一个独立的产品支持网站，目前：

“威胁已经得到控制。”

Cummins 则表示，该公司正在调查一起针对其第三方供应商运营网站的攻击报告。

这种趋势并不是从这次攻击才开始

NorForge 的调查结果出现在一个 AI 辅助网络攻击快速增长的年份。

今年 8 月，一群讲俄语的勒索攻击者利用 AI 编程工具，成功入侵了 7 家机构。

9 月，另一名 Cairn 操作者从 25 家公司窃取了超过 60 万条信用卡记录——这一数据来自以色列网络安全公司 Gambit Security。

台湾政府表示，AI 智能体已经帮助攻击者入侵其政府系统。

印度国家网络安全机构则表示，在内部测试过程中，他们使用的 AI 智能体甚至意外入侵了真实运行中的企业网络。

Palo Alto Networks 旗下 Unit 42 于 9 月 2 日记录了一起较早期的智能体攻击事件。

在不到 10 个小时的时间里，该 AI 攻击系统执行了超过 50 种 MITRE ATT&CK 技术。

Unit 42 高级威胁情报主管 Andy Piazza 将其描述为：

“最早被正式记录下来的几起智能体入侵事件之一。”

CrowdStrike 发布的《2026 Threat Hunting Report》则发现：

由 AI 智能体触发的安全检测事件，其增长速度已经达到人工触发事件的 2.5 倍。

不过，NorForge 发现的这次攻击与这些事件最大的不同，并不是攻击技术，而是规模。

超过 100 家企业，每家成功攻击的成本仅约 50 美元。

这是首次有公开数据对“智能体网络攻击实现工业化之后的经济模型”进行量化。

网络安全研究员 Eyal Sela 将其称为：

“一场利用 Cairn 进行的大规模、仍在持续的网络犯罪攻击活动。”

延伸阅读：AI 智能体安全：Pluto Security 审计发现，每一次企业 AI 审计中都存在真实攻击

至今无人真正填补的防御空白

Anthropic 和 DeepSeek 均未针对这次攻击发布声明。

这种沉默本身实际上反映了一个结构性问题：

这些 AI 模型提供商提供的推理基础设施被用于支持攻击，但在第三方智能体编排框架介入之后，它们似乎并没有明显的实时检测或响应机制，能够识别并阻止这种下游滥用行为。

攻击者通过开源框架调用公开 API 时，在模型提供商一侧几乎不会留下明确的“攻击特征”。

从模型层面来看，这些请求看起来可能只是普通的 API 调用。

这场攻击暴露出了两类完全不同的漏洞。

第一类，是传统 Web 应用安全漏洞。

如果 AI 智能体可以连续 23 个小时不知疲倦地探测一个网站，那么任何可能被疲劳的人类安全测试人员遗漏的漏洞，都有更大的概率最终被 AI 找出来。

第二类，则是治理层面的漏洞。

如今，拥有 Shell、浏览器以及文件系统权限的开源智能体平台，其能力已经足以在几乎无人类监督的情况下，自主执行多阶段企业级网络入侵。

然而，当这些攻击通过第三方智能体编排系统调用 API 完成时，目前仍然不存在一个成熟的责任框架，用于界定 API 模型提供商究竟应该承担怎样的责任。

就在 NorForge 的调查结果公开的同一周，Microsoft 发布了 Guardian Agents。

微软将这套 AI 安全体系定位为：

把 AI 智能体流量按照“内部人员威胁（insider threat）”的方式进行监控和处理。

Yale 的 StepSafe 项目则提供了另外一种架构思路：

在 AI 智能体每一次调用工具之前，都检查并阻止潜在有害行为。

不过，目前市场的主要反应仍然是资本投资。AIR Security 在 9 月获得了 5,000 万美元融资。HiddenLayer 也在大致相同的时间完成了 1 亿美元 B 轮融资。

而现在所看到的“每次成功攻击成本约 50 美元”这一数字，未来很可能还会进一步下降。

DeepSeek V4.1 Flash 已经是市场上最便宜的高能力模型之一，而过去三年以来，AI 推理成本一直持续下降。

因此，对于企业安全团队而言，现在真正需要回答的问题已经不再是：

“自主 AI 智能体到底能不能突破企业的安全边界？”

因为这一点现在已经通过大规模真实攻击得到了证明。

真正的问题是：防御方能否以与攻击型 AI 智能体同样的速度、同样低廉的经济成本来进行防御。