2026 年 10 月 19 日，The Verge 与 Reuters 在同一天发出报道：一名黑客指挥一支基本自主运行的 AI agent「军团」，攻破了 100 多个企业网站。率先披露技术细节的是 Norforge——他们在一台暴露于公网的 Cairn 实例上撞见了攻击痕迹，随后扩大排查范围，合计找出 20 多个「疑似恶意」的暴露实例，攻破 100 多个网站的黑客就是其中最活跃的一个。整场行动的剧本薄得反常：攻击者偏好的入侵战术说明，用不到 100 个汉字就能写完；从动手到成功入侵，耗时约 23 小时（Reuters 口径）；全部成本，几千美元（Reuters 口径）。这不是科幻片里的 AI 觉醒，是一个人加一套开源 agent 平台的现实作业。
事件复盘：23 小时的攻破时间线
先把时间线摆正。Norforge 是发现方：他们在排查 Cairn 平台的暴露实例时，注意到有一台实例正在执行明显异常的任务，随后扩大排查，合计发现了 20 多个「likely malicious」（疑似恶意）的暴露实例。这批实例有一个共同点：部署在公网上、缺少有效的访问控制，任何路过的人都能看到 agent 正在执行什么任务、推进到了哪一步。攻破 100 多个网站的那名黑客，正是这批实例背后「most active」（最活跃）的一个。
受害者名单要按信源分开说。Norforge 的官方博客在披露时没有点名任何一家受害企业；John Deere（约翰迪尔）、SharkNinja 和 Cummins（康明斯）这三个名字，出自 Reuters 的报道确认。这不是咬文嚼字：发现方选择不点名，是行业惯例加法律审慎；权威通讯社的确认，才是可以放心引用的事实。两件事混着写，讹传就开始了。地域分布上，Reuters 的口径是受害者分布在美国、加拿大、澳大利亚、日本四个国家。
战术与成本层面的关键数字同样出自 Reuters：攻击者写下的「偏好入侵战术」（preferred intrusion tactics）不足 100 个汉字。一段话的长度，就是一支 agent 军团的完整作战纲要。单次成功入侵耗时约 23 小时——不是 23 秒的科幻桥段，也不是 23 天的持久战，恰好落在「自主循环跑得动、人类来不及反应」的区间。整个行动的成本是几千美元（a few thousand dollars）。做个参照：企业请一次外部渗透测试，市场报价通常数倍于此；而一次数据泄露事件的平均处置成本以百万美元计。攻防两端的成本差被拉到这个量级，防守方还按老思路排兵布阵，就不够用了。
还有两个细节值得咂摸。其一，这批攻击能被发现，前提是实例「暴露」——任务、进度、日志全在公网上裸着。换句话说，如果这名黑客稍微懂一点运维，把实例锁进内网，Norforge 很可能至今一无所知，那 100 多个网站可能还在失守状态里煎熬。安全圈常说「没看到不等于没发生」，这次是最好的注脚。其二，「most active」这个词的言外之意是：还有不那么活跃的操作者。20 多个恶意实例背后，是至少 20 个持有同一种武器的攻击者，攻破 100 多个网站只是其中最活跃那一个人的成绩单，其余人的进度目前没有公开数字。这场风波，大概率还没演完。
Cairn 是什么：解题引擎怎么被用成了攻击编排台
要看懂这件事为什么能发生，得先看懂攻击载体 Cairn。这是托管在 GitHub 上（oritera/Cairn）的开源项目，自称「general-purpose problem-solving engine」（通用问题求解引擎）。设计逻辑不复杂：用户设定一个起点和一个终点，agent 自主推进，把每一步进度记录下来，直到抵达终点或宣告失败。本质上，它把「目标分解、执行、记录、复盘」这条问题求解的通用流水线做成了产品。
这套设计用在正道上，是生产力：调研、排障、运营自动化、多步骤研究任务，都是它的本行。可同一个循环换一个目标，就成了攻击编排台。黑客要做的只有三件事：给 agent 一个终点（攻破某个站点）、一段战术说明（不足 100 个汉字）、一点预算（几千美元）。侦察、试探入口、失败回退、换路径重试、记录进度，这些脏活累活全部由 agent 军团自主完成。传统攻击里最耗人力的两个环节——反复试探和耐心等待——恰恰是机器最擅长、最不知疲倦的。
必须说清楚：Cairn 不是黑客工具。项目作者 @le1xia0 本月初已回应，平台「从来不是黑客工具」，「滥用是人的决定，不是引擎的功能」。这个定性在逻辑上站得住：刀能切菜也能伤人，问题从来不在刀本身。真正的问题出在部署侧——Norforge 发现的这 20 多个恶意实例，个个都裸奔在公网上，等于把一台自动化攻击机器的控制台开在了大街上。目前 Norforge 正在推动下架这些恶意实例，但这只是收尾动作；「暴露实例」这个现象本身，值得所有部署 agent 的人警觉。
谁在指挥：是人类黑客，不是模型自主
这里必须画一条清晰的界线，因为它直接决定防御思路。上一批热点我们写的是另一类事件：评测环境里暴露出的模型自主越界问题——模型在无人明确指令的情况下自己表现出不该有的行为。而这次完全相反：从头到尾是人类黑客在指挥，agent 军团只是执行器。目标由人设定，战术由人写下，预算由人支付；agent 负责的，是不知疲倦地执行、失败、重试。模型没有「觉醒」，它只是被人当成了杠杆。
这条界线为什么重要？第一，防御对象不同：要防的是「人加平台」的组合，不是幻想中的失控模型，那么防御重心就该落在访问控制、暴露面管理和行为监测上。第二，责任链条清楚：写战术的黑客、把实例裸奔在公网上的部署者、被滥用的平台方，三方各有各的账。第三，政策讨论不该跑偏：这个案例证明的不是「AI 要造反」，而是「自主执行循环会把一个人的破坏力放大几个数量级」。防杠杆，比防觉醒现实得多，也紧迫得多。
被攻破的是网站，不是内网
还有一个口径必须钉死：被攻破的是 websites（网站），不是公司内网，更不是核心系统，而且其中部分站点由第三方供应商运营。企业回应也印证了这个口径：Cummins 发言人表示「正在调查第三方供应商运营的网站遭潜在攻击的报告」；John Deere 表示「无迹象表明敏感信息被访问」；SharkNinja 表示受影响的是一个独立的产品支持信息站点，威胁已被控制。The Verge 就此向涉事企业求评，部分求评未获回应。
有人一听「只是网站」就松一口气，这是误读。网站是企业暴露面里最大、最软的一块：直接面向公网，堆着多年累积的旧组件，还经常握在第三方供应商手里——供应链上最看不清的一环。网站失守，轻则是页面篡改和跳转劫持，重则是向访客端投递恶意内容、挂上钓鱼入口，甚至以 Web 服务器为跳板向内渗透。这次三家企业的回应都指向「影响有限」，靠的是发现得早和口径谨慎，不是什么「网站失守无所谓」的新定理。对防守方来说，第三方运营的站点恰恰是最容易漏掉的家底：主站有安全团队盯着，供应商托管的边角站点往往连资产清单都不在。
暴露实例：被忽视的攻击面，也是情报金矿
Norforge 能发现这次攻击，靠的恰恰是攻击者自己的马虎：实例暴露在公网，任务和进度日志任何人可见。这引出一个双面事实——agent 平台既是攻击者的武器库，也可能是防守者的情报源。一台暴露的 agent 实例，等于向全世界直播自己的任务队列：安全研究者能看到恶意任务，其他攻击者同样能看到，运气好还能直接接管这些实例。
这给所有部署 agent 的团队留下一份必答题清单：实例必须上认证，哪怕只是内部工具；网络位置按生产系统对待，管理界面和任务日志不敞在公网；出口流量做管控，agent 能访问什么、不能访问什么，要有白名单；全量留痕，谁在什么时候给 agent 派了什么任务，日志必须能回答；密钥管理单独拎出来，平台凭证和云凭证别混在一个配置文件里。agent 平台是新东西，但暴露实例不是新问题——数据库暴露、对象存储桶暴露、Kubernetes 面板暴露，每次都是同一个剧本，只是这次主角换成了会自己干活的引擎。
攻防天平为什么在倾斜
把这次事件浓缩成一句话：一个技能平平的黑客，用几千美元和不到 100 个汉字的战术说明，撬动了一支不知疲倦的 agent 军团，在约 23 小时内攻破 100 多个网站。真正值得警惕的不是单点损失，而是三重杠杆同时被拉满。技能杠杆：agent 把过去属于专业渗透人员的操作流程，交到了门外汉手里；成本杠杆：几千美元对上企业百万美元级的泄露处置成本，交换比悬殊到没法用常规定价；规模杠杆：一个人可以同时指挥多支军团，而防守方的人手不会同比例增加。
还有一种更冷的理解：这次目标全是网站，不是因为它价值最高，而是因为它对自动化收益最高。网站的攻破流程高度模板化——扫端口、探组件、试漏洞、拿权限，每一步都有成熟工具和清晰的成功判据，正好喂给 agent 循环执行。反过来看，涉及物理世界、人际信任、离线验证的目标，agent 短期内还啃不动。这给防守方的启示是：凡是攻击路径能被模板化的资产，都会最先被 agent 化；你的资产里哪一块最像流水线，哪一块就该最先加固。
对企业的行动清单因此很具体：把第三方供应商运营的站点全部纳入资产清单和漏洞管理，别让它们处于无人认领状态；对 Web 资产做一轮暴露面自查，方法参照 Norforge 发现恶意实例的路子；在流量监测里加入 agent 行为特征——高频重试、规律性的进度记录、自动化工具指纹；把「对手是 AI agent」写进应急预案的假设前提。至于开源 agent 平台的开发者，Cairn 作者那句「滥用是人的决定，不是引擎的功能」在逻辑上成立，但平台方至少能做点工程上的事：默认配置收紧，部署文档把安全须知放在第一屏，给实例加一个醒目的暴露告警。让「人的决定」，至少是一个知情决定。
参考来源
- Norforge 官方博客（发现方，事件技术细节与暴露实例排查）：https://norforge.com/blog/inside_cairn
- The Verge 2026-10-19（Emma Roth，企业与平台回应）：https://www.theverge.com/ai-artificial-intelligence/1013643/ai-agents-hack-john-deere-shark-ninja-cummins
- Reuters 2026-10-19（受害企业确认、成本与时长口径）：https://www.reuters.com/legal/government/how-one-hacker-used-ai-agents-few-thousand-dollars-break-into-scores-sites-2026-10-19/
- Cairn 开源仓库（oritera/Cairn，作者回应见项目讨论区）：https://github.com/oritera/Cairn
延伸阅读
- OpenAI 自曝家丑：模型绕过权限，还瞒着不说：OpenAI 自曝家丑：模型绕过权限，还瞒着不说
- 五款常驻 Agent 横评：谁替你守夜：五款常驻 Agent 横评：谁替你守夜
- 一天合并3万笔：Anthropic弃用Git了：Anthropic 被自家 agent 逼到弃用 Git