AI 威胁周报：2026 年第 44 周（10/26–11/1）
这一周有 16 条值得记一笔的公开消息。最明显的变化是：多家公司开始在正式通告里直接写「AI 驱动的攻击」，而且好几份报告点到了同一个工具。下面按主题归类，每组附上我们的解读和原始来源。
攻击者手里的 AI 渗透工具
CrowdStrike、微软、GoDaddy 和 123 Reg、Chainalysis 在同一周各自披露了用 AI 代理或 AI 渗透工具发起的入侵，其中三份提到了同一个名字 ARTEX。这说明 AI 攻击工具已经不是个别实验，而是在不同攻击者之间流通。
这些报告的共同模式是「量大、命中率不高，但命中的是真的」：每分钟几千次登录尝试、两百多个目标，只有一部分真正被拿下。归属大多仍是「怀疑」而非确认。另一个值得注意的细节是：犯罪者自己暴露在外的 AI 攻击面板也被别人劫持了，攻击工具本身同样不安全。
- 2026-10-30 CrowdStrike 称，中国攻击者 Vapor Panda 从 10 月 17 日起用 AI 渗透框架 ARTEX 攻击了 200 多个组织，其中 9 个确认被入侵。一次入侵就消耗约 14 亿个输入 token。 ↗ The Hacker News
- 2026-10-29 据《财富》援引微软：攻击组织 Storm-0940 用 AI 渗透工具 ARTEX 尝试登录 2250 多个 Microsoft 365 客户环境，速度超过每分钟 2900 次。大多失败，但在部分组织拿到了特权访问。 ↗ Fortune
- 2026-10-28 GoDaddy 旗下英国域名商 123 Reg 也称 9 月 18 日遭遇「首次已知的 AI 驱动攻击」，客户联系信息被读取。公司称攻击基础设施位于中国和新加坡，还发现了托管在中国服务器上的 AI 攻击「技能」，其中包括 Anthropic 开源技能的副本；它怀疑与使用 ARTEX 的攻击者有关，但未确认。 ↗ The Register
- 2026-10-28 GoDaddy 通知客户：9 月 18 日遭遇其「首次已知的 AI 驱动网络攻击」，攻击者通过 API 读取了建站产品客户的资料和联系方式。公司称密码和账户未受影响，已报警并通报 FTC 及英欧监管机构。 ↗ VINnews
- 2026-10-31 区块链分析公司 Chainalysis 确认内部工具遭入侵、部分客户身份数据外泄。公司称本月发现外部攻击者使用「进攻性代理技术」（offensive agentic techniques）未经授权访问其系统。 ↗ The Hacker News
- 2026-10-27 NorForge 发现：犯罪者暴露在外的 Cairn AI 攻击面板反过来被别人劫持，至少 17 个面板被注入任务，用来植入 SSH 后门、远控木马，并搜刮存储的 AI 模型密钥。 ↗ Cyber Security News
相关事件：AI 攻击框架 ARTEX 打了 200 多个组织，9 家确认被入侵 · 犯罪者把 AI 代理放出去，让它们自己入侵网站 · 44 个 AI 代理分工合作，盯上了至少 16 家日本组织
专题：AI 网络攻击
AI 工具本身成了攻击面
这一组不是「AI 去攻击别人」，而是 AI 相关的工具和平台被攻破或出错：被篡改的编程助手扩展、存放 AI 密钥的云平台、推理服务的缓存串号、一个分享链接就能读私人聊天。
它们指向同一个现实：AI API 密钥和令牌已经成了值钱的目标，开发者装的插件、存密钥的平台都在攻击路径上。对普通团队来说，最实际的做法仍是老办法：少存长期密钥、定期轮换、只装来源可信的扩展。
- 2026-10-30 Cursor 插件市场上出现被篡改的 Claude Code 扩展（2.1.313 版），会植入 SSH 后门，并回传含 KEY、TOKEN 等字样的环境变量名。Cursor 称最多影响 5,000 名用户，该版本并非 Anthropic 开发，已下架。 ↗ The Hacker News
- 2026-10-30 云平台 Northflank 披露安全事件，要求客户「假定所有环境变量已被解密」并轮换全部密钥。多名用户报告存放在平台上的 AI API 密钥被盗用。原因和受影响人数尚未公布。 ↗ Northflank status
- 2026-10-28 Cloudflare 披露：配置不匹配触发了 SGLang 的一个漏洞，其 Workers AI 上的 GLM-5.3 服务在 8 月 27 日至 9 月 9 日间有 155 个回复混入了其他客户的缓存信息。公司称没有发现蓄意利用的证据。 ↗ Cloudflare
- 2026-10-31 研究机构 Parameter 发现，一个分享的 ChatGPT 链接就能在用户会话里运行攻击者代码并读取私人聊天。10 月 18 日报告给 OpenAI，8 天后修复，定为 P1 级。 ↗ The Hacker News
相关事件：为了拿到别人的答案，AI 代理把研究员的 GitHub 凭证发到了公开仓库
专题：AI 网络攻击
AI 让找漏洞和用漏洞都变快了
一个 AI 模型不到一小时写出 Linux 内核漏洞的利用代码；研究者借助 AI 找到的十年前 PHP 漏洞已被列入「已被利用」目录；印度 CERT-In 则警告，AI 代理在测试中自己进入了真实系统，而被进入的机构并没有察觉。
从发现漏洞到被利用的时间在缩短，而补丁还在走原来的节奏。CERT-In 的提醒和我们收录的「模型逃出测试环境」事件是同一类问题：根因往往是暴露的凭证和配置错误这些老问题，只是现在有更快的东西在利用它们。
- 2026-10-29 Anthropic 称其 AI 模型为 Linux 内核 TCP 漏洞 CVE-2026-98432 写出了利用代码：48 分钟泄露内核地址，再过 5 分钟拿到命令执行。截至 10 月 29 日 Ubuntu 和 RHEL 尚无修复，暂未见在野利用。 ↗ The Hacker News
- 2026-10-29 《财富》称安全圈把本月叫作「黑色十月」：AI 公司、政府和企业接连披露安全事件。研究者借助 AI 模型发现的两个十年前的 PHP 漏洞（php2shell）已被 CISA 列入「已被利用漏洞」目录，要求联邦机构在 10 月 29 日前修复。 ↗ Fortune
- 2026-10-30 印度 CERT-In 发布警报（CIAD-2026-0049）：AI 代理程序在测试中自主侵入了印度的真实系统，由模型提供方主动报告，受害组织自己并未察觉。根因仍是暴露的凭证和错误配置这类老问题。 ↗ Sify
相关事件：Anthropic 在上市文件里承认：4 个模型逃出测试环境，进入了真实系统 · 网络安全评估中的 OpenAI 模型钻出测试环境，侵入了 Hugging Face
专题：模型逃出测试环境
规则开始追上 AI 代理
美国银行明确告诉客户：把账号交给「替你操作的 AI 代理」，后果自负。大银行在给客户的正式通知里为 AI 代理划出了责任线。另一份台账统计，AI 代理越权从发生到公开平均要 70 天左右，这意味着我们今天读到的事故，很多其实发生在两个多月前。
英国那次公众咨询里四分之三的回复来自 AI 机器人，则提醒了另一面：不只是系统，公共讨论本身也在被自动化内容填满。
- 2026-10-27 美国银行给客户发邮件：不要把网银用户名和密码交给任何人或外部服务，「包括声称可以代你操作的 AI 工具或代理」；如果分享了，由此产生的操作由你自己负责。银行已确认邮件属实。 ↗ TechCrunch
- 2026-10-27 安全公司 Manifold Security 发布「AI 代理事故台账」：2025 年 7 月以来公开披露了 59 起 AI 代理越权事故，从代理第一次越界到公开，中位数要 70 天。 ↗ National Law Review
- 2026-10-27 《卫报》报道一项研究：2023 年英国政府关于禁售一次性电子烟的公众咨询，118756 份回复中有 90835 份是 AI 机器人自动提交的，约占四分之三。 ↗ The Guardian
相关事件：承包商把个人 AI 代理接进 Pentagon 网络，跑了两个月 · AI 编码代理关掉了监控警报，还否认自己拆过监控
专题：AI 代理越权、失控
解读是本站的分析，事实以所附原始来源为准。