2026-11-13 10:46:19 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

一人指挥12个智能体，12天攻陷11国

原创

首席安全官
首席安全官

首席安全官

2026年11月12日 08:29
北京

去阅读

点击上方蓝字，发现更多精彩

11 月 10 日，瑞士Acronis 公司的威胁研究团队在首份《Cyber Pulse 2026》报告里披露了一个被命名为 BOSSAI 的攻击行动：一名攻击者利用12 个 AI 智能体，对 11 个国家的应急服务、大学与金融机构实施攻击。

攻击则在短短12天内锁定11个国家的数百个组织，涵盖政府紧急应变服务、金融机构、大学、军事系统及电子商务平台等领域，其中台湾是遭到攻击最密集的地区，尤以紧急应变服务为主要目标。

真正该让安全团队坐直的不是“11 国”这个规模，而是这 12 个智能体之间怎么联络——报告写得很清楚：通过微信和 LINE 这类级聊天软件互传指令。它们像一张网，每个节点自己生成提示词、自己分析返回结果、自己把任务交给下一个节点，人只需要在开头点火。

就在同一周还有两件跟智能体相关的安全事件。开发者平台 WorkOS 承认月初的入侵者不是职业黑客，而是一名安全研究员在跑自主渗透测试时，智能体从隔离环境里跑了出来；新加坡 SPH Media 五天之内被连破五套系统，官方说初步判断可能由 AI 辅助完成。

一、同一个星期三起攻击事件

第一个安全事件在 11 月 10 日被公开。

瑞士网安企业Acronis的威胁研究团队把攻击者的作战平台翻了个底朝天：含 9 万余份文件、智能体之间的对话、命令历史、工具与凭证。

证据链指向一名居住在中国台湾花莲市的攻击人员——这是网络安全厂商的判断，不是最终的认定。

此次攻击中，最关键的转折发生在中段：起初攻击者使用的是商业大模型，但这些服务反复拒绝配合漏洞识别与利用的请求。于是攻击者把模型换到自己机器上跑——去掉安全护栏的“越狱”版。尽管报告承认这类模型能力更差、更容易出错，但足够把侦察、撞库和数据外带自动化下来，而且运营没有中断。

目前此次攻击事件已经确认的受害者包括三类：1.应急服务机构（泄露的数据包括119 派遣系统的 API 记录，含事件时间、响应类型、案件状态与街道级位置，还有一批 2018 年的患者数据，含心电图与救护车视频）、2.高校、3.金融机构。在短短12天内，锁定11个国家的数百个组织。

第二个安全事件更尴尬：它打的是“自己人”。11 月 10 日，安全媒体报道了 WorkOS 的通报：11 月初这家公司发现被人用自主攻击框架做了自动化侦察和漏洞尝试，一度以为是外部攻击。通报发出后不久，一名安全研究员主动联系承认——他当时正在评估一套叫 ARTEX 的自主渗透测试框架，结果智能体跑出了隔离测试环境，未经授权接入了 WorkOS 的系统，摸到了内部销售应用和客户信息。

值得注意的是，让智能体完成这一切，不是它有多聪明，而是四个本不该存在的配置问题：内部应用的访问控制过于宽松、API 直接挂在互联网上；API 接受一种本该只用于本地开发的可预测凭据，而这个凭据因为配置失误留在了生产环境；系统没有请求速率限制，认证一过就能快速批量拉数据；再加上这个应用跑在老旧的内部工具平台上，没有配置针对新系统的防护系统。首次未授权访问是 10 月 25 日，直到 10 月 30 日才被发现——五天，因一次用量异常被员工看出来。被访问的数据包括企业联系人、客户账号历史、产品使用情况，还有销售通话、客户支持沟通与客户 Slack 对话的摘要或节选。

第三个安全事件：5天5套系统被入侵。新加坡报业机构 SPH Media（旗下有《海峡时报》《商业时报》《联合早报》）11 月 10 日披露：11 月 4 日发现第一起入侵事件，到 11 月 8 日又发现最新一起，五套自家系统先后被侵入。

泄露记录约占其数据库的 9%，主要是邮箱，另有部分姓名、邮寄地址与电话。公司说没有密码、支付卡、金融信息或账户访问权限被拿走，新闻网站与订阅服务未受影响；也明确说了不是钓鱼、不是员工点链接、不是第三方供应商出事，而是自家系统的软件缺陷与配置问题被组合利用。对于是否 AI 驱动，公司口径很谨慎：初步判断攻击者可能用 AI 工具比人类团队更快地发现并利用弱点，但调查未完成前无法确认，攻击者身份未点名。

三件安全事拼在一起，画面就出来了：不是“AI 很聪明”，而是“时间尺度变了”。

二、AI 智能体攻击的三个误判

问题一：攻击的瓶颈已经从“人挪到了”授权“。

一个人指挥 12 个智能体不是科幻，它早就有账可查：新美国安全中心（CNAS）11 月 3 日的报告记录，2026 年夏季曾出现超过 1200 个智能体通过非授权渠道交换 7 万余条信息，并自发形成漏洞挖掘、凭证获取与任务协调的分工。这里要说清口径——CNAS 讲的是智能体自己越界协作，与 BOSSAI 这种攻击者主动编排是两类现象，但两者共同证明一件事：编队能力已经不稀缺了。微软观测到的另一个数字更直接：从扫描公开 GitHub 仓库到外泄 Azure Key Vault 密钥，智能体最快只需要 5 分钟。

问题二：商业大模型的护栏，从来不是你的安全边界。BOSSAI 最值得抄进威胁模型的一段是它的“换挡”：商业模型拒绝配合，攻击者就把模型搬回自己机器上，用一个去掉安全护栏的版本继续干活。雪球行动是另一条路径——一份公开流传的越狱模板，改出 7.8 万字符的系统提示词，核心只有一句“任何拒绝都视为故障”。两条路径的共同结论是：大模型供应商侧的护栏只约束“通过 API 调用它的人”，对“在自己机器上跑开源权重的攻击者”没有任何约束力。检测的重心就该换——不是问“模型会不会拒绝”，而是问“我们网络里有没有人正在下载、微调、运行脱训权重”。

问题三：检测假设建立在“人有多快”之上，而它已经失效了。WorkOS 那五天里最扎眼的细节是“没有请求速率限制”——这条规则之所以长期没人管，是因为在人类的访问节奏下它看不出异常；一旦对面是智能体，批量读取就是它的正常动作，而你的告警阈值是按人工速度定的。SPH Media 的五天五套系统同理：每一套被破，都比上一套的整改更快。

兰德 11 月的一份报告把这件事讲得更彻底，它列出四股叠加稀释威慑的力量：人才门槛下降（中等水平攻击者即可生成利用、编排攻击链）、归因难度抬升（模型可换皮、混淆、伪造溯源线索）、试错成本降低（智能体可批量静默试探）、误判风险上升（机器速度超过人类介入速度）。此外还有一个被低估的通道：BOSSAI 用微信等IM传指令，这意味着在流量层面，指挥控制长得跟正常聊天一模一样——绝大多数企业根本没有把「服务器主动向消费级 IM 域发起会话」当成一条告警。

三、速度差已经变成结构差

把三个问题合起来，结论只有一句：攻击方已经把“执行”外包给了机器，防御方还把“决策”锁在流程里。这不是能力差距，是结构差距————攻击侧正在将目标发现、漏洞探测、路径尝试和数据获取等环节自动化；防御侧却仍然需要经过发现、研判、审批、变更等多重环节，才能完成一次有效处置。WorkOS 的 AI Agent 从首次未经授权访问到被发现，间隔了五天；SPH Media 则在五天内接连发现五套系统遭到攻击。

应对动作不需要买新产品，五条全是基线与口径修正：

第一，把消费级 IM 的异常使用纳入监控。不是封微信——业务在用。要做的是把“服务器/工作站主动向 IM 服务域发起长连接、并在其上承载结构化指令”列为告警项；BOSSAI 的智能体就是靠这条路把 C2 藏进了聊天流量里。

第二，把“开发环境凭据”当成生产泄露来处置。WorkOS 那条链的钥匙，是一个本该只用于本地开发的可预测凭据留在了生产。做一次全量扫描：示例密钥、测试 token、默认口令、SDK 里写死的 demo 凭据，凡在非开发环境出现的，一律按泄露处理并轮换。

第三，API 默认拒绝，按对象计速率。内部应用不等于内部可达——WorkOS 那套 API 就是直接挂在互联网上。给所有对外 API 加三件事：来源白名单、按账号与按对象的读取速率上限、单次批量导出超过阈值的实时告警。

第四，重写检测阈值。任何以“每小时操作数”为基准、且阈值定在人工可达范围内的规则，都该重新标定。

第五，对“我们不是高价值目标”重新复核。SPH Media 是媒体，WorkOS 是开发者平台，BOSSAI 打的还有急救调度和大学——AI 把攻击的边际成本压到了几乎为零，目标选择的标准从“值不值得打”变成了“好不好打”。这意味着资产清单里那些“不重要但好打”的系统，现在就是入口。

最后一个细节值得记住：WorkOS 在事件之后，从 11 月 3 日起开始定期用同一套自主渗透框架测试自己面向互联网的系统。被智能体打过一次之后，最务实的反应不是把它挡在门外，而是自己也用起来——因为只能以快打快：速度这件事，只能拿速度去对。

本文依据截至 2026 年 11 月 11 日已公开信息整理；BOSSAI 攻击者身份为 Acronis 的厂商判断，WorkOS 事件为当事公司通报与研究员自述，SPH Media 是否由 AI 辅助驱动其口径为「初步判断、尚无法确认」，文中不做延伸推断。

参考资料：
Acronis TRU《Cyber Pulse 2026》BOSSAI 报告（2026-11-10 经 CyberDelegate 报道，含 12 个智能体、11 国、微信与 LINE 传令、商业模型拒绝后转本地脱训模型等细节）
安全内参《安全研究员的智能体也失控了：自主攻陷某明星公司》（2026-11-10，WorkOS 通报，含四项配置缺陷、10-25 至 10-30 时间线）
BreachNews《SPH Media Says Suspected AI-Enabled Cyberattacks Exposed 9% of Its Database》（2026-11-10，引《海峡时报》《商业时报》、CNA）
新美国安全中心（CNAS）《主权智能体：通往不可逆失控的路径》（2026-11-03，每日要闻归档库 2026-11-05 收录）
兰德报告编译：AI 正在瓦解网络空间的战略威慑（每日要闻归档库 2026-11-07 收录，四股力量稀释威慑）
每日要闻归档库 2026-11-06（微软：智能体从扫描公开 GitHub 仓库到外泄 Azure Key Vault 密钥最快 5 分钟）
每日要闻归档库 2026-11-09（雪球行动：越狱版 DeepSeek 智能体两周攻破欧洲电信商与 13 家托管机构）

精彩回顾