一个黑客想要入侵一家公司的服务器，过去通常需要花费大量时间。

他必须寻找目标，检查网站可能存在的漏洞，分析系统如何运行，编写或调整攻击工具，并在失败后不断尝试新的方法。

如今，这些工作中的相当一部分，可能只需要交给人工智能。

10月19日，路透社披露了一起不同寻常的网络攻击事件。

网络安全公司 NorForge 的研究人员发现，一名使用中文指令的黑客，自9月25日起利用 AI 智能体，对美国、加拿大、澳大利亚和日本的电子商务网站展开大规模攻击。

截至上周末，这些智能体已经尝试入侵超过1200个网站，研究人员称其中100多个遭到成功入侵。

受影响的网站涉及美国农业机械制造商 Deere、家电企业 SharkNinja，以及发动机制造商 Cummins。

令人不安的不只是攻击规模。

据研究人员估算，整场行动消耗的 AI 模型调用费用约为5000美元，平均每次成功入侵的成本约50美元。

攻击者给 AI 的初始指令甚至不到100个汉字。此后，智能体便能够在较少人工干预的情况下，持续寻找漏洞、调整策略并尝试突破系统。

这不是关于未来黑客可能如何使用 AI 的推测。

它已经发生了。

黑客只负责下命令，AI负责寻找突破口

这起事件最初是通过一个意想不到的方式被发现的。

NorForge 首席威胁研究员 Snorre Fagerland 在扫描互联网上公开暴露的 Cairn 平台实例时，发现了多个被用于恶意活动的控制面板。

Cairn 是一个开源的 AI 智能体协作平台。它允许多个智能体围绕共同目标分配任务、共享发现，并根据已有结果继续行动。

这种架构原本可以用于一般性问题求解，却也能够被攻击者用于自动化网络入侵。

研究人员发现，一批控制面板记录了黑客如何选择网站、向 AI 分配任务，以及智能体如何在数小时甚至数天内不断尝试。

其中，规模最大的攻击活动使用中文指令。

这些指令并没有详细列出每一步应该怎么做，而是给出目标，让智能体自行寻找实现方式。

在一次被研究人员观察到的行动中，AI 最初未能在目标网站的主要应用中找到明显漏洞，于是转而调查相关基础设施，最终发现另一个对外开放的管理界面，并利用其中的缺陷取得未经授权的访问能力。

这说明，智能体并非只是机械地重复预先写好的攻击脚本。

它能够根据失败结果改变调查方向，寻找新的突破机会。

但必须区分两件事：这类系统能够自主执行复杂任务，并不意味着它具有独立犯罪意图。攻击目标仍由人类设定，责任也不能因为使用了 AI 而转移给软件。

50美元并不意味着任何人花50美元就一定能攻破一个网站。

这是研究人员根据整场行动的估计支出和成功入侵数量，计算得出的平均模型调用成本。攻击尝试也并非全部成功。

但这个数字仍然具有重要意义。

网络犯罪过去受到技术能力和人力成本的限制。攻击者需要熟悉不同的软件系统，能够长时间分析漏洞，还要具备一定的编程和网络知识。

AI 智能体正在降低其中一部分门槛。

一次入侵即使需要23小时，只要系统可以自主运行，攻击者就不必连续23小时坐在电脑前操作。他还可以同时让多个智能体调查不同目标。

这使网络攻击开始具有某种规模化生产的特征。

过去，黑客的精力决定了他能同时研究多少个目标。现在，模型调用预算、计算资源和工具权限，正在成为新的限制条件。

Claude Code、DeepSeek与Cairn，扮演了不同角色

研究人员发现，这批攻击任务使用的工作节点名称显示，攻击者可能将 Anthropic 的 Claude Code 工具与 DeepSeek 模型结合使用，并通过 Cairn 协调任务。

这里需要区分三种技术的作用。

Claude Code 是面向软件开发的 AI 编程工具，可以协助分析代码和执行开发任务。DeepSeek 提供语言模型能力。Cairn 则负责组织智能体之间的任务与协作。

这种组合反映出 AI 智能体的一个特点：它不一定依赖某家科技公司提供完整产品，而可以由不同工具和模型拼接而成。

不过，工作节点的命名及研究人员观察到的活动，并不足以独立证明每一次模型调用的完整技术路径。

更不能因为攻击者使用了这些工具，就认定相关开发公司参与或支持了犯罪活动。

Cairn 的开发者也表示，平台并非为黑客攻击设计，恶意使用并不符合其开发初衷。

被点名的三家美国企业，实际损失有多大？

此次事件中，Deere、SharkNinja 和 Cummins 的名字尤其引人关注。

但网站遭到入侵，并不等于企业全部核心系统被攻破，更不等于客户数据已经泄露。

Deere 告诉路透社，公司已经采取必要的补救措施，目前没有发现敏感信息被访问的迹象。

SharkNinja 表示，受到影响的是一个独立的产品支持信息网站，相关威胁已经得到控制。

Cummins 则表示，正在调查一家第三方供应商运营的网站可能遭到网络攻击的报告。

路透社尚无法确认此次攻击究竟导致多少数据被非法获取。

这些回应说明，事件的严重程度必须按照具体系统和实际后果判断，不能仅凭企业名称推断其生产设施、内部网络或客户数据库全部受到侵害。

真正的危险，是攻击开始不需要人类持续监督

AI 参与网络犯罪并不是第一次。

攻击者早已使用语言模型编写恶意邮件、修改程序、分析漏洞和提高诈骗效率。

这次事件的不同之处，是 AI 智能体能够连续执行一系列任务，并在遇到障碍时自行调整。

网络安全行业过去通常假设，复杂入侵需要经验丰富的人类操作员持续参与。

但 NorForge 的发现表明，在部分现实环境中，这种假设已经不再可靠。

这并不意味着 AI 能够攻破任何网站。安全配置完善、漏洞得到及时修复的系统，仍然可能有效抵御攻击。

问题在于，互联网上存在大量维护不足的旧网站、第三方服务和暴露的管理界面。

当发现和利用这些薄弱环节的成本下降，攻击者就可能尝试更多目标。

对于企业而言，防御重点也需要随之改变。

仅仅保护主网站已经不够。长期无人维护的子域名、外包供应商的网站、测试环境和后台管理系统，都可能成为进入企业数字资产的薄弱环节。

安全团队需要持续盘点对外暴露的系统、及时修复漏洞、限制高权限操作，并对异常的自动化访问建立监测机制。

防守者同样可以使用 AI 提高漏洞发现和事件响应效率，但这需要明确的授权边界和人工监督。

网络犯罪的经济账，正在被重新计算

这起事件真正值得关注的，不是50美元这个数字本身。

它揭示了一种成本结构的变化。

过去，一名技术水平有限的犯罪分子，即使知道某家公司存在安全问题，也未必有能力完成复杂入侵。

如今，他可能通过付费调用模型，获得过去需要更多专业知识和人工时间才能完成的部分能力。

当攻击成本下降，原本不值得投入时间的小型网站，也可能成为攻击目标。

这对中小企业尤其不利。

大型企业通常拥有专门的安全团队、监测系统和应急预算。许多小企业却依赖外包服务商维护网站，甚至不知道某些旧系统仍然暴露在互联网上。

AI 不会自动创造漏洞，但它可以让寻找漏洞的过程更便宜、更持久，也更容易扩大规模。

从这个角度看，NorForge 的发现不是简单证明 AI 变得更加聪明，而是表明网络攻击的经济门槛正在下降。

当发动攻击越来越便宜，维持安全却仍然昂贵，互联网最脆弱的部分就可能面临更大的压力。