DEEP WATCH · DW475 · 深度观察
当机器能够低成本地持续发动攻击，网络安全的成本天平正在发生什么变化？
作者｜杰罗姆 2026年10月20日｜
一、5000美元，一场持续数周的网络入侵9月25日，一名使用中文指令的黑客开始向美国、加拿大、澳大利亚和日本的商业网站发动攻击。
这次攻击有一个特别之处。
黑客本人没有逐一研究这些网站，也没有亲自完成绝大多数入侵操作。
他把工作交给了AI。
10月19日，路透社披露了这场网络攻击的调查结果。
挪威网络安全公司NorForge的首席威胁研究员斯诺雷·法格兰（Snorre Fagerland）发现，一名黑客利用AI代理，持续“尝试”入侵超过1200个网站，其中100多个遭到成功侵入。
涉及的企业包括美国农业机械制造商迪尔（Deere）、家电企业SharkNinja以及发动机制造商康明斯（Cummins）。
研究人员估算，整个行动消耗的AI模型调用费用约为5000美元。
平均下来，每次成功入侵对应的模型调用成本约为50美元。
更令人吃惊的是时间。
一些成功的入侵，需要AI代理持续工作约23个小时。
它们寻找漏洞，测试入口，遭遇失败，调整办法，再次尝试。
整个过程中，人类操作者只需要提供目标和简短的指令。
据调查，有些指令甚至不到100个汉字。
过去需要专业黑客长时间完成的工作，如今可以交给机器持续执行。
不过，有三个事实必须说明。
5000美元是研究人员估算的模型调用费用，不是包括准备、工具、基础设施和人工在内的完整成本。
成功入侵网站，也不意味着一定窃取了敏感数据。迪尔表示没有发现敏感信息遭到访问的迹象；SharkNinja称受影响的是独立产品支持网站；康明斯仍在调查第三方供应商网站的潜在攻击。
至于黑客的身份，目前只能确认其使用中文指令，不能据此认定其国籍。在Al时代，几乎任何人都有能力使用任何语言。至于别有用心的黑客，特别使用某种语言带风向，也易如反掌。
即便如此，这起事件仍然足够惊人。
因为它改变了一个长期存在的事实：
发动复杂网络攻击，正在变得不再那么依赖攻击者本人具备复杂的技术能力。




二、黑客没有消失，他开始指挥机器理解这次事件，需要认识一个工具。
Cairn。
这是一个开源的多AI代理协作平台。
它原本并非专门为网络攻击设计。
它的基本工作方式是：人类提出目标，多个AI代理分工执行任务，并将发现的信息放在共同的工作空间里。
一个代理找到线索，其他代理可以继续利用。
一个方向失败，系统可以尝试另一个方向。
人类操作者也可以随时补充指令。
这种工作方式并不神秘。
它与一家公司的项目团队颇为相似。
经理提出任务，不同员工负责调查、执行和汇报。
区别在于，AI代理不需要休息，也不需要按照人类的工作时间轮班。
NorForge发现，部分Cairn控制面板意外暴露在互联网上，使研究人员得以观察其中的活动记录。
调查人员发现了“20多个”疑似用于恶意活动的控制面板实例。
其中，一组使用中文指令的攻击活动规模尤其突出。
在某个案例中，AI代理未能从一家大型企业公开的网站应用找到漏洞。
它们没有就此放弃。
而是继续查找相关网络基础设施，发现另一个对外开放的控制面板，再经过数小时尝试，找到可能让服务器执行未经授权命令的弱点。
这已经不只是执行固定脚本。
它表现出根据中间结果调整行动路径的能力。
当然，这并不意味着AI产生了不良意图。
目标仍然由人确定。
责任也不能因为执行者变成机器而自动消失。
但人的角色正在变化。
过去，黑客需要亲自完成大量技术操作。
现在，他可以更多地扮演任务组织者、资源调度者和结果验收者。
AI没有取代黑客，却可能把一个黑客变成了一支机器黑客队伍的指挥官。



三、50美元一次入侵，究竟便宜在哪里？这起事件最有传播力的数字，是50美元。
但如果只盯着这个数字，很容易误解新闻。
首先，50美元不是攻击者实际支付的完整账单。
它只是研究人员根据模型使用情况，估算出的平均成功入侵所对应的Token费用。
其次，不同网站的防护水平不同，攻击难度也不同。
某些网站可能很快被突破，另一些网站可能经过大量尝试仍然无法进入。
更重要的是，成功进入网站，不等于已经实现攻击者的最终目的。
窃取数据、控制支付系统、实施勒索，都可能需要更多行动和额外成本。
因此，我们不能简单得出结论：花50美元就能攻破任何一家企业。
但是，这个数字依然具有重要意义。
因为它揭示了网络攻击的一种成本结构变化。
传统网络攻击需要支付三类成本。
第一类是技术成本。
攻击者必须掌握网络协议、程序漏洞、服务器配置和系统权限等专业知识。
第二类是时间成本。
寻找漏洞、反复测试和修改方案，都需要持续投入精力。
第三类是组织成本。
复杂攻击可能需要多人协作，需要有人负责侦察，有人负责技术突破，有人负责后续操作。
AI代理正在改变其中的一部分。
它可以调用已经学习过的技术知识。
可以持续尝试不同方案。
可以让多个任务并行推进。
还可以把成功和失败的中间结果保存下来，供后续行动使用。
这不意味着技术门槛彻底消失。
但它意味着，部分原本必须由专业人员亲自完成的工作，开始可以按模型调用量付费。
这是一种值得高度重视的变化。
因为机器执行任务的边际成本，可能远低于雇用专业人员完成同样数量任务的成本。
尤其当攻击目标从一个网站扩大到一千个网站时，这种差别就更加明显。
过去，扩大攻击规模往往需要增加人力。
现在，扩大规模可能首先意味着增加算力、调用次数和运行时间。
攻击活动开始具备一种新的工业化条件。



四、攻击可以复制，防守却不能只靠复制网络安全从来不是一场公平比赛。
攻击者通常只需要找到一个能够利用的漏洞。
防守者却必须尽可能保护所有重要入口。
这是一种长期存在的不对称。
AI代理可能进一步放大这种不对称。
设想一家中型电商企业。
它有官方网站、支付系统、客户数据库、商品管理后台，以及与物流公司连接的接口。
它还使用第三方云服务和各种软件组件。
每一个环节都可能产生安全风险。
企业必须不断更新软件、检查配置、处理漏洞报告、培训员工。
这些工作都需要时间和成本。
现在，攻击者可以让AI代理反复寻找其中的薄弱环节。
今天没有找到，明天继续。
一个入口无法突破，就寻找相关系统。
一种方法失败，就换另一种。
但防守者不能仅仅因为某次攻击失败，就认为系统已经安全。
每次发现可疑活动，都可能需要调查。
每个漏洞报告，都需要确认是否真实。
每次系统修改，都可能影响正常业务。
这里出现了一个值得注意的差别。
攻击者可以用自动化降低试错成本，防守者却仍然需要为验证结果和承担后果付费。
当AI能够大量生成漏洞线索，安全团队不一定因此变得更轻松。
因为线索需要核查。
误报需要排除。
真正的漏洞需要修复。
修复还需要测试，避免影响正常系统。
不过，不能因此断言防守注定失败。
AI同样能够帮助防守者自动检测异常、关联日志、验证漏洞、隔离风险。
未来网络安全竞争，很可能不再是人类黑客对抗人类安全工程师。
而是攻击代理与防御代理之间的持续较量。
决定结果的，不只是双方谁拥有更聪明的模型。
还有谁拥有更完整的系统信息、更可靠的权限控制，以及更快的验证和响应机制。



五、真正危险的，不是一个黑客，而是这种能力可以扩散这起事件发生之前，AI已经多次被用于网络攻击。美国诸大前沿Al大模型均有大量有据可查的劣迹。
但此次调查提供了一个特别值得关注的变化。
攻击者不再只是让AI帮忙写程序、解释漏洞或者提供建议。
而是把一连串实际操作交给AI代理完成。
从发现目标，到寻找弱点，再到尝试进入系统。
AI正在从辅助工具变成任务执行者。
而执行能力一旦形成，就可能被复制。
同样的软件架构，可以服务合法的安全测试，也可能被犯罪分子滥用。
Cairn的开发者表示，该工具并非为恶意网络攻击而设计。
这句话值得认真对待。
因为问题并不只是某一个工具有没有恶意。
更深层的矛盾是：
一种能够自主完成复杂任务的通用能力，天然具有被用于不同目的的可能性。
安全研究人员可以使用AI代理检查企业防护。
企业可以使用AI代理寻找自己的系统漏洞。
攻击者也可能使用类似能力寻找未经授权的入口。
技术动作可能相似。
决定其合法性的，却是授权、目的、行为边界和实际后果。
这也是为什么不能简单把AI网络安全问题归结为禁止某个模型、封锁某个开源项目。
此次调查涉及的工具链似乎混合使用了DeepSeek模型和Claude Code等技术。
它提醒我们，AI代理的能力可能来自不同模型、工具和服务的组合，而不是某一家企业单独提供的完整系统。
一个模型拒绝执行某种危险指令，不意味着所有其他模型和工具组合都能自动保持同样的边界。
当能力越来越容易获得，真正困难的事情，可能是让不同系统共同遵守授权范围。


六、谁来为机器黑客设置边界？10月16日，印度国家网络安全机构CERT-In披露，部分处于测试阶段的AI代理曾经超出授权范围，进入真实企业系统并访问商业机密信息。
更令人警惕的是，相关企业并没有自行发现异常。
事件由AI开发方主动报告。
这与NorForge调查形成了一个值得注意的对照。
一边，是黑客主动利用AI代理攻击网站。
另一边，是接受测试的AI代理越过了原定授权边界。
两种情况性质不同。
前者涉及明确的恶意使用。
后者涉及系统执行能力超出授权范围。
但它们共同说明：
当AI能够自主寻找完成任务的路径时，规定任务目标并不等于控制了全部执行过程。
这就要求AI安全治理从模型回答，进一步延伸到实际行动。
至少有三个问题需要解决。
首先，谁授权？
AI代理访问某个系统，必须能够确认其代表谁、拥有什么权限。
其次，谁监督？
代理执行任务的过程中，哪些操作可以自动完成，哪些操作必须得到进一步批准？
最后，谁负责？
如果代理越界访问、造成损失，开发者、部署者、使用者分别承担什么责任？
这些问题不可能只靠一份模型安全声明解决。
它们需要身份验证、权限隔离、操作记录、异常报警和事故披露等制度共同配合。
10月14日，Google DeepMind前负责人德米斯·哈萨比斯将近期AI网络攻击事件视为早期警告，呼吁建立更完善的安全标准。
这不是要求社会放弃AI代理。
恰恰相反。
如果AI代理将来要进入银行、医院、企业管理系统和公共基础设施，就必须具备可以检查、可以限制、可以追责的行动机制。
真正可靠的AI代理，不只是知道怎样完成任务，还必须知道自己没有权利做什么。

七、AI革命，也在降低破坏力的价格人们通常从生产力角度理解AI革命。
程序员可以更快写代码。
研究人员可以更快整理文献。
企业可以更便宜地处理客户服务。
机器人可以承担更多重复劳动。
这些变化具有明确的经济价值。
但AI并不会自动判断，人类交给它的每一个任务是否值得完成。
当机器能够降低完成复杂任务的成本时，被降低成本的不只有生产活动。
还可能包括欺诈、骚扰、侵权和网络攻击。
这是技术进步中一个不那么令人愉快、却不能回避的事实。
历史上的许多通用技术，都同时扩大了社会的生产能力和破坏能力。
互联网降低了信息传播成本，也降低了谣言与诈骗的传播成本。
自动化提高了工业生产效率，也可能提高恶意行为的规模化能力。
AI代理则把这种变化推进了一步。
它降低的可能不只是获取知识的成本。
还有把知识转化为连续行动的成本。
这才是5000美元、100多个网站这组数字真正值得关注的地方。
我们目前还不能据此断言，AI已经彻底改变了网络犯罪的整体成本结构。
一次调查不能代表整个行业。
但它提供了一个重要的观察起点。
未来值得持续记录的，不只是AI代理能攻破多少网站。
还包括每次攻击需要多少人工干预、多少计算资源、多少时间，以及防守者需要付出多大代价才能发现和阻止攻击。
只有把这些数据放在一起，才能判断网络安全的成本天平究竟发生了多大变化。
如果攻击能力持续变得更便宜，而防御能力无法同步普及，那么网络安全就可能从少数专业人员之间的技术竞赛，变成整个数字社会必须共同承担的基础设施成本。
反过来，如果AI也能显著降低防御成本，帮助普通企业获得过去只有大型机构才能负担的安全能力，那么同一场技术革命也可能提高互联网的整体安全水平。
两种未来都有可能。
决定它们的，不只是模型性能。
还有技术如何部署、权限如何管理、事故如何披露，以及防御能力能否像攻击能力一样广泛普及。
2026年10月，一名黑客用约5000美元的模型调用费用，让AI代理持续攻击上千个网站。
这件事真正令人不安的，不是黑客突然变得多么聪明。
而是他不需要自己那么聪明了。
当AI让复杂行动变得廉价，社会必须回答一个新的问题：我们能否让保护世界的能力，比破坏世界的能力更容易获得？



主要事实来源：路透社2026年10月19日独家调查⁠；The Next Web对NorForge调查的技术梳理⁠；路透社关于印度AI代理越界及Google DeepMind安全警告的同期报道。