AI智能体入侵人类系统

最近不到一个月，十几起安全事件相继被曝出。 这些事件分属不同的攻击面，证书机构的私钥、托管平台的环境变量、包管理器的发版通道，还有编程语言运行时本身。 涉事的公司和技术栈互不相干，也没有任何一份通报把它们归到同一个攻击者名下。 密度之外，还有一个变化：从漏洞被找到，到它被大规模利用，中间只剩几个小时。 10月22日，英国一位部长在上议院说，受两个PHP漏洞影响，32个政府服务下线，另有4个部分不可用。 前一天中午，芬兰政府阻断了对公共网站环境的入站流量，大学、城市和公共广播机构的服务同时受限。

两国都表示这是预防性措施，没有确认中央政府系统被攻破。 PHP是运行在服务器端的开源编程语言，大量网站的动态页面由它生成，这次的两个漏洞允许攻击者无需登录执行任意命令。 再往前一天，10月21日凌晨3点02分（UTC），Cloudflare把一条新的WAF（Web应用防火墙）规则推送给全部客户，针对的就是这两个尚未公开的漏洞。 大约九小时后，PHP基金会发出安全公告，编号CVE-2026-109618与CVE-2026-109619，CVSS评分9.2（满分10），属于严重级别。

协调披露的惯例是防护与公告同时落地，这条规则提前了九个小时。 CISA在10月21日的警报里写的是“截至发布时尚未观察到利用”，这句话限定的是它自己的观察范围。 亚马逊的安全研究者复盘时发现，10月17日，也就是补丁发布前四天、漏洞细节按协调披露的约定尚未公开，一台蜜罐就记录到了利用尝试。 另一家安全公司记录的首批利用请求，出现在补丁上线前5.5小时。 这份警报发出时，一线已经积累了四天的利用痕迹。 以上只是其中一起。 这个月的十几起事件，最早的出现于10月5日，共同点不在攻击者，在于都发生在应用代码之外。

72小时，八份安全通报10月19日，OVHcloud的CLI工具五个版本被替换成带窃密功能的二进制文件。 事后复盘把时间窗精确到12点47分到14点21分（UTC），大约94分钟，下载量约250次。 源码和构建流水线是干净的，攻击者拿到的是维护者账号。 窃取目标包括云凭证、SSH密钥和本地的编码助手数据。 10月20日，印度证书机构eMudhra的八个中间CA私钥被逆向还原，浏览器、Go和Node.js的信任库在一天内集体拉黑。 其中一把本该是116位的密钥，实际值是个4； 其余几把也只有3到8位。

10月22日，公司董事会决定退出全球SSL/TLS证书业务，这块业务约占其全球收入的1%，消息公布时股价三个交易日累计跌了38%。 10月21日事件发生最密集。 PHP两个9.2漏洞发布补丁； GitLab公布一个CVSS 10.0的漏洞，正则编译器整数溢出，无需认证即可远程执行代码，影响范围回溯到2014年的7.0； Node.js发布月度安全更新，修复10个CVE，最高等级high； Oracle季度补丁包含1295个修复，Java JSSE有一条9.1。

GitLab在10月12日已经发布过补丁，针对的是CVE-2026-97229，类型同为正则编译器里的整数溢出，评分也是10.0，版本为19.2.8、19.3.5和19.4.2。 九天后的CVE-2026-110264影响范围更大，10月12日补丁之后发布的每一个版本，都落在它的影响区间内。 按九天节奏跟进补丁的团队，等于没有跟进完整。 两个漏洞由同一位研究者通过HackerOne提交，GitLab未说明后者是否为前者的绕过方式。 同一天上午，Railway在状态页发布事件通报。

存储客户环境变量的系统出现异常活动，第三方可能访问了加密变量，并拿到了其中一部分的解密内容。 公司暂停全部部署，轮换bucket凭证、作废全部API token、重置OAuth会话。 10月22日凌晨开始按Enterprise、Pro、Hobby、Free、Trial的顺序分批恢复构建，到当天上午低档套餐仍在排队。 链上分析人士统计，被盗私钥对应的钱包损失约37.1万美元，分布在至少19条EVM网络上，第一笔盗币发生在公司发出公告前约两个小时。

这八份通报里，几份补丁的性质并不一样：PHP那两个漏洞属紧急响应，GitLab是计划内的补丁发布，Node.js是按月推送的安全版本，Java只是季度更新里的一项。 供应链投毒，月初就开始了前面那批通报集中在三天，最早的一份是10月19日。 更早的几起既不是运行时漏洞，也不是凭证问题，它们发生在软件的分发环节，属于供应链投毒：被篡改的是发布出去的制品，源码审计看不出异常。 10月5日，@subql/common的5.8.3版本被植入后门，安装和执行import都会触发。

10月8日，tensorlake的0.5.144携带Shai-Hulud蠕虫，附带的勒索机制是撤销token就清空用户家目录。 10月8日到16日，GhostAction第二波，约1900个GitHub账号被用来向三万多个仓库注入一个自称“安全审计”的Actions工作流。 原始分析的口径是“被瞄准”，没有确认这些仓库都已被窃取。 10月15日20点02分到16日07点12分，Rank Math PRO的3.0.123版本在官网下载和自动更新通道里被换成了带后门的包，窗口大约十一个小时。

装上的站点会被植入一个伪装成WordPress核心文件的PHP后门，访问时自动重建，还会创建以wpsupport_开头的管理员账号，把数据库密码、API密钥，以及AWS、Azure、Cloudflare凭证一并外传。 免费版有四百万安装量，不在这次事件里； 受影响的是付费版。 这一条的处置难点在清理方式，版本号看不出问题，只有下载时间能作为判断依据，防火墙规则同样无效，因为文件由厂商自行签名发布。 Wordfence给了它一个9.8的评分，编号CVE-2026-111862。

10月17日到18日，TeamUpdraft的客户数据库被访问，UpdraftCentral的连接密钥被用来向约40万个WordPress站点植入后门。 10月21日，LiteLLM的1.107.0版本在PyPI和Docker Hub同时被投毒，七个wheel和已发布的容器镜像都带上了恶意代码。 触发方式是Python启动时的钩子，即使不import这个库也会执行。 容器溯源指向一个与官方仓库只差一个字符的仿冒地址。 受影响的安装量没有公布，公开数据只有每周约2300万次的分发规模。

存在别人服务器上的密钥，成了主线有一类事件的问题不在代码，在托管于第三方平台的凭证。 10月14日到15日，Zeabur被入侵，32.18万个账号和约320万条环境变量记录被读取，公司随后宣布12月31日关停。 10月14日前后，ConnectWise的一个Microsoft 365 API凭证被用来以应用身份向客户租户申请Graph token。 因为登录主体是应用而不是人，多因素认证和条件访问策略都不适用。 10月15日，微软确认这些认证来自一个托管服务商的IP，而不是该应用平时使用的Azure私有地址段。

10月17日07点00分，ConnectWise停用了七个应用身份，吊销证书，把Cloud Backup整体下线，SaaS Security和Cloud Management一并暂停。 安全公司Huntress统计到10月16日晚上有162个租户出现未授权登录，一天后升到173个。 微软在10月21日发布的分析里给出了更大的图景。 同一个被编号为Storm-0940的组织，从9月起用同一套手法攻击了数百个机构，行业覆盖航空航天、能源、金融、政府、制造、半导体和智库。

10月10日到14日之间，超过15.1万次失败登录针对8家机构的327个账号，随后攻击者转向已经获得租户信任的应用身份。 对2250多个租户的尝试，峰值达到每分钟2900次。 ConnectWise首席执行官在10月22日表示受影响连接已经受控，服务正在分批恢复。 微软的表述更谨慎，切断应用连接能阻止新令牌签发，但阻止不了已经种进客户目录里的凭证。 这也是应急响应的普遍限制。 10月16日晚间，OpenCode一套正在停用流程里的旧系统被未授权访问。

存着OpenAI、Anthropic、Google密钥的Console用户里，1.4%受影响。 10月17日上午，公司发出通知邮件。 这四起事件中，没有一起是攻击者破解了加密算法。 共同点是凭证长期有效、权限过宽，一直处在可被取用的状态。 它只在执行端构成入侵AI智能体在这批事件里出现在两处，一处是攻击的执行环节，一处是监控机制内部。 攻击执行环节上，被公开归因到的工具只有ARTEx。 微软的复盘把它记为一套开源的Go框架，可以接入任何模型，让一组智能体自行完成侦察、漏洞发现、密码喷洒和凭证。