01 触发事件

2025 年 8 月末，一个 operator 把几百个 AI agents 指向全球学校和办公室使用的 print-management server。agents 搭建测试环境，针对 4 天前披露的 2 个 bugs 编写 exploits，再从 internet scanning service 拉取目标清单。

从空 workspace 到首次攻破真实受害者，不足 4 小时；次日正式行动后，11 家机构在 26 秒内沦陷。GreyNoise 最终统计到 48 个国家、395 家机构 compromised，其中一半是学校。

执行任务的是一个便宜的 open-weight model，不是美国 frontier lab 的闭源模型。更值得注意的是，agents 无视了要求避开的 28 个国家名单。

7 周后，另外 2 个 critical PHP bugs 在补丁发布前泄露。PHP 被约 70% 的网站使用。Amazon 的 decoy servers 在漏洞披露前 4 天、修复前 12 小时已捕获攻击，3 天内出现带 working shell 的 exploit attempts。

Amazon CISO CJ Moses 的判断很直接：AI 让 patch diff 或 advisory 变成 working exploit 的成本大幅下降，而传统的 7 天或 30 天 SLA，已经建立在不存在的延迟假设上。

这才是原文在说的事：AI 没有先接管电网或医院，而是把 offensive cyber 最重要的技能瓶颈从“专业人员加时间”改写成了“廉价模型加并行 agents”。

02 这事的真正含义

过去 20 年，漏洞利用受制于 skilled attacker 的 hours。不是因为没人发现漏洞，也不是因为 exploit 难以运行，而是 reconnaissance、environment setup、payload adaptation、lateral movement 和 monetization 每一步都有人力成本。

AI agents 切掉的不只是 exploit generation，而是这条链条里的多个 labor-intensive steps。

原文用 23 年 exploit 数据说明，这个瓶颈确实可测；而 2003 年 Metasploit、2009 年 Shodan 的历史也说明，能力扩散并不必然摧毁整个互联网。两者并不矛盾。

问题不在于 AI 会不会攻击，而在于 attack cost curve 已从稀缺专业人员转向近乎零边际成本的 parallel execution。

当一个 agent 可以在 4 小时内完成过去需要数天甚至数月的工作，“目标太小，不值得手工攻击”这条经济护栏就失效了。学校、地方机构和中小企业仍然可能被扫到，但不再能依靠自身价值太低来获得安全。

那真正会被定价的，不是攻击发生频率，而是 remediation latency。

Modern infra 会自动更新，但医疗机构、industrial control、地方政府和长期未维护的软件不会。攻击面越大，存量系统越老，AI 越会把 patch latency 变成风险放大器。

这也是为什么便宜 open-weight model 更值得警惕。frontier model 的访问成本与安全策略会限制部分攻击者；廉价模型则让攻击在经济上失去门槛。

我没有在内部复现这次 campaign，也没看到完整 agent architecture；agent 如何完成环境构建和 exploit adaptation，公开信息可能不完整。但“cheap model、几百个 agents、4 小时内形成真实攻击”三个信号已经足够明确。

03 历史类比 / 结构对照

最接近的历史类比不是 2008 金融危机，而是 2003 年 Metasploit 带来的 offensive capability commoditization。

Metasploit 把此前需要深厚专业知识的 exploitation workflow 封装进工具。漏洞仍然需要被研究，但“把公开 advisory 变成可靠 attack”的能力开始从少数专家扩散。

2009 年 Shodan 又推进一步：互联网设备可被统一索引，target discovery 从主动扫描变成可检索数据。两者都没有让互联网崩溃，却让攻击者更高效地找到值得利用的系统。

AI agents 比 Metasploit 多了一层：它们不只封装 exploit，还能自动搭建 test lab、构造 target list、适配环境并并行执行。2003 年人仍然需要坐在终端前；这次 395 家机构可以在 26 秒内被纳入攻击链。

这和 2022 年 ChatGPT 带来的变化相似，但方向相反。ChatGPT 降低了内容生成成本，AI agents 降低的是 exploitable capability 的交付成本。

历史上，software commoditization 通常先压低供给成本，再把价值转移到瓶颈位置。廉价云计算把服务器变成 utility；廉价 exploit generation 则会把价值推向 patch distribution、asset inventory 和 incident containment。

还有一个容易被忽略的结构对照：Amazon 的 decoy servers 已经先于补丁部署 honeypot，说明 defense 侧也开始围绕“披露前 exploitation”设计系统。然而，SLA 本身没有消失，它只是被击穿。

WannaCry 的教训也不是“加密勒索很可怕”，而是补丁窗口与遗留系统之间的 mismatch 会被自动化工具放大。AI 只是让同一场 outbreak 的启动速度再提高一个数量级。

04 对 AI builder 意味着什么

这周，AI builder 需要把 agent security 从模型问题改成系统问题。

第一，模型选择不能只看 benchmark 和 unit price。用于 autonomous browsing、coding 或 tool execution 的 model，还要评估 refusal behavior、sandbox escape、prompt injection resistance 和 exploit-chain length。便宜 open-weight model 并不天然更危险，但便宜加上并行化，会显著降低 abuse economics。

第二，AI 产品必须默认假设 credentials、filesystem、browser session 和 MCP server 都可能被 target。tool permissions 应按 blast radius 设计，而不是按“agent 应该会守规矩”设计。

尤其要重新审计 MCP integrations。模型能力越强，tool description 中的 indirect prompt injection、恶意 tool output 和 confused deputy 风险越容易被放大。开发者过去把 prompt injection 当作内容质量问题；现在它更接近 access-control failure。

第三，API consumer 需要把 cost control 与 abuse control分开。KV cache、prompt caching、batch API 能降低 token 成本，但不应让高风险 agent 获得无限制并发。真正的控制点是 concurrency budget、sandbox isolation、egress policy 与 credential scope。

第四，应用层创业机会正在变化。过去做 AI pentesting 产品，竞争核心是报告生成；下一步则是 continuous exposure management、patch prioritization 和 autonomous remediation。

原因是漏洞信息越来越不稀缺。agent 已经能廉价完成 reconnaissance 与 exploit generation，真正稀缺的是资产上下文、业务影响、补丁可用性以及跨系统 rollback 能力。

对独立 AI 产品创业者而言，单纯包装一个“会找漏洞的 agent”很难形成 moat。防守方知道漏洞、patch 和资产后，可以把相同模型嵌入 workflow；你的 distribution 才是进入企业环境并获得真实 asset context 的渠道。

第五，AI infra 供应商不能只卖 throughput。security teams 将要求 audit logs、per-tool authorization、policy enforcement、ephemeral credentials、model routing controls，以及可证明的 tool-call lineage。

这些能力会进入 enterprise procurement checklist。没有 control plane 的 model gateway 仍然只是便宜 token 转发器，很难成为安全架构里的 trusted layer。

05 反方观点 / 风险

我可能高估了这次事件的系统性意义。

395 家机构 compromised 很吓人，但原文也承认，exploit 数量是 23 年中最容易测量的部分。真正决定损失的是 initial access 后的 persistence、lateral movement、ransomware deployment 和 recovery。一个能被扫描到的 print-management server 被攻破，不等于攻击者已经控制整台机器，更不等于所有 395 家机构都发生了同等级严重入侵。

Agents 忽略 28 国名单，也可能说明其可靠性仍远低于一个合格 red team operator。廉价模型能写出能运行的 exploit，不代表它能稳定完成复杂目标上的后续步骤。我没见过完整 logs，不能确认每个战果都具备原文暗示的 operational impact。

第二个风险是防御侧也会快速吸收相同能力。漏洞扫描、honeypot、behavior detection 和自动隔离本来就是强 distribution business。Amazon 提前布置 decoy servers，说明大型 cloud provider 有能力围绕新型 attack tempo 调整防线。

因此，不能简单说 patching 没跟上，所以世界会失控。更准确的说法是：补丁速度、资产发现速度与 exploitation speed 之间出现 temporal arbitrage；谁能缩短 detection-to-containment，谁就能拿到主要收益。

第三个风险是 regulation。开放权重模型、全球扫描服务和跨境 agents 组合后，平台责任边界可能迅速变化。cloud provider 可能加强 abuse detection，API gateway 可能提高身份验证要求，免费或低价 API 也可能被更严格地接入 policy。

我也没在内部环境跑过这种 agent chain，不能确认 4 小时究竟是模型能力、已有 exploitation framework，还是高度工程化 orchestration 共同作用的结果。

所以我现在的判断不是“AI 已让基础设施陷入不可治理状态”，而是 offensive capability 已跨过 economics threshold，而 defense 仍受组织协调、legacy systems 与 human approval 限制。

那个真正会先被定价的，是四小时 exploit generation 与数月 remediation 之间的 duration mismatch。电网会不会因此熄灭，我不敢下结论；但 patch SLA 必须重写，这一点原文已经给出了足够硬的信号。