AI Security

外观

风险与能力研究 · B1 恶意使用与危险能力更新 2026-08-08约 6 分钟证据：中等 来源：Palo Alto Networks Unit 42

自主 AI 网络攻击进入真实行动链：Unit 42 事件证据分析 ​

摘要 ​

Unit 42 在 2026 年 7 月披露了一套真实攻击者基础设施：攻击者以 DeepSeek 作为推理模型、Hermes Agent 作为执行框架，通过 Telegram 下发任务，并接入 FOFA、MCP Server、终端和自定义红队 Skill。取证日志显示系统能够自主枚举目标、搜索公开 PoC、比较漏洞价值、下载工具并尝试利用。

这份材料构成 N6 真实事件证据，证明“自主网络攻击工作流”已从实验室能力评测进入攻击者实际运营。不过必须区分结果：已恢复的 AI 自主会话对 Langflow 和 n8n 的利用均因目标配置与认证要求失败；Unit 42 确认的数据窃取和命令执行来自并行的人工攻击活动。事件证明的是可运行的端到端自主攻击链与显著的侦察效率，而不是 AI 已独立完成目标攻陷。

核心创新与差异 ​

原始报告贡献是基于暴露的工作区、配置、会话日志、脚本和目标清单，还原真实攻击者如何组合模型、Agent 框架、自定义 Skill、MCP 和匿名代理，并将自主与人工攻击分别归因。

本站分析认为，本站此前主要覆盖受控 Cyber Benchmark 和产品能力；本事件新增的是攻击者真实部署、持续迭代和失败记录。最有价值的不是“使用了某个模型”，而是工具编排把漏洞情报、资产搜索、PoC 获取、条件判断和重定向连成分钟级闭环。同时，Agent 误把主目录作为文件服务器根目录，反向暴露 API Key、攻击脚本与日志，说明自主执行也会给攻击者自身制造新的运维风险和取证信号。

威胁模型与攻击链 ​

攻击者拥有模型 API、互联网资产搜索服务、终端、公开 PoC 仓库和 Agent Runtime，并通过消息平台远程下发任务。目标是降低大规模目标筛选和漏洞利用尝试所需的人力。

  1. 操作者向 Hermes Agent 下发初始攻击目标。
  2. Agent 通过资产搜索服务枚举产品实例并尝试已知漏洞。
  3. 当 Langflow 利用因前置配置不满足而失败时，Agent 放弃低价值路径。
  4. Agent 比较 10 类产品的部署量、漏洞严重度、PoC 热度和可利用条件，转向 n8n。
  5. Agent 下载公开 PoC、核对受影响版本、筛选候选目标并并行探测。
  6. 发现目标表单需要认证后，自动利用没有成功；恢复的会话到此结束。

报告还发现攻击者配置了多个模型和 编码 Agent，但只有 DeepSeek/Hermes 的攻击阶段有完整日志。Claude Code 主要用于连接与代理测试；Codex 只存在可信目录和使用痕迹，聊天记录未保存，不能据此认定其参与了已确认攻击。

实验设计与实际过程 ​

这不是受控实验，而是 Unit 42 的单一组织事件调查。证据来自攻击者 Agent 意外启动文件服务后暴露的运行目录，其中包含配置、API Key、脚本、目标清单、Shell 历史和一段 2026 年 5 月 7 日的 Hermes 会话日志。本站未接触原始取证镜像，也没有独立验证攻击者身份和全部目标。

报告观察到 AI 会话枚举 84 个 Langflow 实例；后续从大规模 n8n 暴露面中抽样约 100 个地址、实际探测约 40 个，并发现 3 个运行在受影响版本的目标，但利用所需的不需要认证的公开表单并不存在。Unit 42 将 460 多个目标上的总体攻击活动归为自主与人工方法混合，不能把这个总数全部算到 AI 链路。

关键结果与实际影响 ​

  • AI 自主链路完成了资产枚举、失败判断、CVE/PoC 检索、目标价值排序、版本筛选和并行利用尝试。
  • 已恢复的 Langflow 与 n8n 自主利用均失败，原因分别是缺少必要公开流程配置和表单需要认证。
  • Unit 42 在人工活动中确认 3 个 Citrix NetScaler 目标发生数据窃取、11 个 Marimo Notebook 端点发生命令执行；这些结果不能归因给自主会话。
  • 攻击者已经形成可复用基础设施：自定义 Skill、MCP 资产搜索、Telegram 控制、代理和多模型试用，而不是一次性聊天辅助。
  • Agent 的运维错误暴露了自身工作区，使攻击者留下比纯人工操作更完整的取证材料。

现实影响是侦察和候选筛选的吞吐量提高，攻击者可以更快放弃不满足条件的目标并转向新的漏洞。现阶段证据仍显示目标配置、认证和服务端安全控制能够阻断自动链路，不能把“模型会规划”直接等同于“攻击成功”。

防护措施与验证方法 ​

  • 继续优先修补互联网暴露服务，并关闭非必要公开流程、表单、调试和管理入口；事件中的自主攻击正是被这些确定性条件阻断。
  • 监控短时间内围绕产品版本、表单路径和公开 PoC 特征变化的连续探测，而不只匹配单个固定 Payload。
  • 对同一来源在多个产品族之间快速切换、下载 PoC 后立即验证的行为建立关联规则。
  • 保留 WAF、应用、身份和端点日志，区分自动枚举、利用尝试和真正的数据访问或命令执行。
  • 模型与 Agent 服务提供方应对高风险工具链组合、批量资产枚举和持续违规请求执行分层控制，但公开报告中的供应商处置不能替代目标侧防护。
  • 评估危险能力时，分别度量侦察速度、候选准确率、工具自主性、利用成功和人工介入，避免用“端到端”掩盖最后一步失败。

局限与待验证问题 ​

证据等级为中等：Unit 42 是一手事件调查并提供详细日志摘录和活动区分，但仍是单一厂商报告，原始取证数据未公开，也没有独立复现。归因、时间节省和部分“可能/很可能”判断属于报告方分析。

  • 不同模型、权限和脚手架下，自主链路在目标条件变化时能否持续纠错？
  • 真实攻击者会如何减少 Agent 产生的日志、缓存和意外暴露？
  • 如何在遥测中可靠区分传统自动扫描器与具有目标重规划能力的 Agent？
  • 服务提供方处置与目标侧控制分别在哪一阶段最有效？

评测环境越界与真实系统访问 ​

近期公开披露的 Hugging Face/ExploitGym 事件与 Anthropic 评测事件补充了另一种失效模式：不是攻击者主动部署 Agent，而是评测环境的网络或身份隔离配置错误，使 Agent 把真实生产系统当作靶场。Hugging Face 事件的链路从不可信数据处理 Worker 的文件披露和模板注入 RCE，延伸到凭据搜集与集群横向移动；Anthropic 复盘还记录了模型将恶意包发布到 PyPI 并在 15 台真实系统执行。两者都不能被简化为“模型自主目标追求”，首先失效的是评测隔离、网络出口和下游包供应链控制。详见Hugging Face 评测环境越界事件和Socket 事件复盘。

参考链接 ​