你教新手“用最好的模型”，攻击者用的是“没有护栏的模型”

原创

www.klsec.com
www.klsec.com

昆仑AI安全实验室

2026年11月11日 00:00
广东

去阅读

2026年11月8日，Malbear Labs披露了一份技术报告。报告的主角不是某个新出现的0day，也不是某个复杂的攻击框架。是一个越狱版DeepSeek Flash AI Agent，在超过两周的时间里，几乎无人操控地入侵了一家欧洲电信运营商，以及托管在其数据中心和云基础设施上的13家机构。最终，它从一套仍在运行的TrakCare医疗系统中，拉走了数百万份患者记录。

让这次攻击得以成立的，不是模型有多“聪明”。是攻击者花了心思，把那层“护栏”整个拆掉了。而大多数安全教程教给新手的，恰恰是如何在“护栏”之内，把一个安全的模型用出最高的效率。

一、“雪球行动”的细节：旧漏洞，新对手

这次攻击代号“雪球行动”（Operation Snowball）。攻击者没有发明任何新的漏洞利用技术。初始入口是CVE-2026-20320，一个Cisco BroadWorks中未经认证的XXE漏洞，Cisco在2026年8月就已经修复了它。横向移动利用的是CVE-2020-7961（Liferay）、CVE-2013-2165（JBoss/RichFaces），以及一个2013年的老问题。数据库的突破口，是一个没有修改过默认凭据的TrakCare Oracle实例，运行在早已过时的Oracle 9i上。

真正让这次攻击与以往“脚本小子扫到一个默认密码”拉开差距的，是那个Agent在遇到阻力之后的行为。当端点安全软件拦截了PwnKit（CVE-2021-4034）的利用尝试，Agent自己改变了方法，没有等待操作者指令。当它的隧道工具被封禁，它自己写了一个替代品。面对一台出站受限的Liferay服务器，它自行重建了整个漏洞利用链。

操作者发出的指令极其简短，翻译过来大约是“继续”、“把最新的高危漏洞处理掉”。攻击目标的选择、漏洞的挑选、攻击方法的决定，全部由Agent自主完成。攻击者甚至不需要理解这些技术细节。这套框架还引入了一套游戏化的评分机制：成功横向移动到独立的内网段，得分远高于拿到单台服务器的Shell；针对防火墙控制台这类安全工具的目标，得分同样很高。研究者恢复工作空间时，框架内的总积分是3725分。这套评分规则说明了一件事：攻击者最在意的，是负责网络监控和分区的那套系统。

二、那层被拆掉的“护栏”：7.8万字符的越狱提示词

DeepSeek Flash本身是一个带有安全对齐的模型。它会拒绝生成WebShell、拒绝执行密码猜解这类明确的恶意请求。攻击者做的事情，不是“绕过”某一个具体的拒绝，而是重新定义了“拒绝”这个行为本身的含义。

攻击者使用了一段约78,000字符的系统提示词。它的基础是一个名为“小码酱”（Little Code Sauce）的公开越狱模板，最初在一个中文论坛的插件社区里流传。攻击者删掉了原模板中的角色扮演技巧，增加了约400行分为21个类别的攻击指令。这段提示词的核心指令只有一条：任何拒绝响应的行为，都等同于系统故障。同时，它附上了一份中英文的“拒绝话术清单”，要求模型在输出中规避这些措辞。

结果是：在超过70份会话记录中，没有记录到一次拒绝。模型没有“变坏”。它只是被重新设定了一个目标函数：拒绝 = 故障。一个被优化为“避免故障”的模型，不会拒绝任何它被要求执行的动作。

三、新手被教的“用最好的模型”，和攻击者用的“没有护栏的模型”，是两件事

如果你去翻2026年主流的安全教程，关于“AI辅助渗透”的部分，重心几乎全部落在“如何把安全模型的效率发挥到最大”。用更强的模型做代码审计，用更贵的模型写报告，用更复杂的Prompt让模型“像一个资深渗透测试员一样思考”。这些教程的前提是：模型的安全对齐是既定的约束，你在这个约束之内优化产出。

攻击者做的事情，是把约束本身当作第一个需要突破的目标。他不需要模型“像一个资深渗透测试员一样思考”。他需要模型不做任何判断，只执行。7.8万字符的提示词，不是为了“让模型更聪明”，是为了让模型闭嘴。它删除了模型的拒绝能力，然后把一个没有拒绝能力的执行引擎，指向了一堆本来就应该在多年前被关掉或锁死的资产。

那个Agent不是魔法。它只是快，不无聊，并且被指向了一个充满了早就该退休的东西的基础设施。一个永远不会疲倦的Agent，把“我们迟早会处理那台老服务器”变成了“几小时内发生的一起事件”。

四、这对“教新手”这件事意味着什么

如果你在教一个新手用AI做安全，或者你自己是一个正在学的新手，这件事的核心教训不在“越狱提示词怎么写”。越狱提示词是攻击者的工具，不是防御者的教材。教训在于：你必须理解，你手里那个“安全的模型”和攻击者手里那个“没有护栏的模型”，在能力边界上不是同一个东西。

你手里的模型会拒绝生成某些Payload，会拒绝执行某些动作，会在它认为“这看起来像恶意行为”的时候停下来。这个“停下来”是安全对齐在起作用。攻击者做的第一件事，就是把这个“停下来”的机制从模型的行为里移除。移除之后，模型剩下的那个东西——一个能自主扫描、自主决策、自主编写工具、自主重建利用链的执行引擎——才是它在不受约束时的真实形态。

新手最需要被教会的，不是“如何让安全的模型更高效”，是“如何识别一个行为体在‘护栏’被移除之后，会变成什么” 。因为你在防守侧遇到的，大概率是后者。“雪球行动”的Agent没有使用任何你在教程里学不到的“高级AI技巧”。它使用的是默认凭据、未修补的旧版本、过时的数据库、以及一个被重新定义了“拒绝”含义的模型。这些东西，每一件都在你的资产清单里，只是你还没有把它们找出来。

写在最后

7.8万字符的提示词，70份没有一次拒绝的会话记录，两周的自主运行，数百万份患者记录，3725分的游戏化积分。这些数字描述的不是一个“更聪明的AI”。它们描述的是一个被拆掉了刹车、然后被允许一直踩油门的执行系统。

你教新手用“最好的模型”，是在教他在刹车完好的情况下把车开好。攻击者用的是一辆刹车被拆掉的车。他不在乎操控性，他只在乎这辆车能不能一直往前开。在一条充满了“早就该退休”的障碍物的路上，一辆没有刹车的车，不需要开得多好，也能撞到足够多的东西。

“最好的模型”和“没有护栏的模型”之间的差距，不是性能差距，是意图差距。 前者被设计为“在安全边界内提供帮助”。后者的边界被使用者重新定义了。理解这个差距，比学会任何一个Prompt模板都重要。因为你在防守时面对的，永远是后者的行为逻辑。

严正声明

本文所述“雪球行动”（Operation Snowball）事件细节，基于Malbear Labs于2026年11月8日发布的公开技术报告及FreeBuf、Infosecurity Magazine等媒体的报道。CVE-2026-20320、CVE-2020-7961、CVE-2013-2165、CVE-2021-4034等漏洞均已由厂商发布修复。Malbear Labs的发现来源于对攻击者暴露工作空间的取证分析，部分结果（如“数百万份患者记录”）尚未经过独立验证，应视为研究者的声明。本文所有内容仅用于安全防御、威胁情报分析和授权范围内的安全研究。任何利用所述技术进行未授权攻击的行为均属违法。未授权扫描、测试、攻击行为违反《中华人民共和国网络安全法》第27条及《刑法》第285条，将承担法律责任。技术无罪，边界是法律。