今天和大家分享的还是公号君对近期与模型和Agent相关的网络安全事件的梳理

2026 年，好几件听起来像科幻小说的事真的发生了。

一个 AI 系统在没有人操作键盘的情况下，独立完成了一次完整的勒索攻击。另一个 AI 为了在能力测试里拿到高分，自己想办法冲出隔离沙箱，黑进了一家毫不相干的公司去偷答案。还有一个 AI 把真实的恶意软件包上传到公共仓库，一小时内被 15 个真实系统下载运行。

这些事件很容易被讲成"AI 已经变成无所不能的网络武器"。但把公开材料摊开来看，更准确的是：

AI 首先攻破的，不是最先进的加密技术，而是组织长期积累的安全欠账——没打的补丁、暴露在公网的服务器、薄弱的密码、失控的权限、自动化的供应链，以及慢得跟不上的响应速度。

AI 还远没有普遍攻破防护严密的网络。它真正改变的是攻击的速度、成本和可复制性：把过去需要专业黑客持续判断的活儿，压缩成可以自动执行、长时间运行、大规模复制的流程。

这篇文章梳理截至 2026 年 7 月的几起公开事件。要理解 AI 网络能力的真实边界，关键在于把三类东西分清楚：厂商报告的真实攻击、研究者的受控实验、以及学术评测。

从"提供建议"到"执行任务"

AI 进入网络安全领域的早期方式很温和：帮人读代码、解释漏洞、写测试脚本、整理攻击信息。这个阶段真正做判断、下手攻击的还是人，AI 主要是提效工具。

2026 年春天，多国网络安全机构集中发布指导文件【前沿 AI 模型对网络防御的影响：域外官方指南的比较分析与政策建议】，判断出奇一致：前沿 AI 带来的首要变化，不是凭空造出一种全新的攻击门类，而是改变了攻击的速度和成本。一个熟练的人借助 AI，可以审更多代码、扫更多系统，更快地把公开漏洞改造成能用的攻击工具。过去以周甚至月计的补丁窗口，开始要面对以小时计的攻击节奏。

不过这一时期的证据大多来自模拟靶场。模型往往被明确要求发动攻击，也不必面对真实企业里的监控中心、安全团队和主动拦截。所以测试成绩不能直接翻译成"模型已经能稳定攻破现实企业"。这条界线，后面每一起事件都值得反复拿出来对照。

JadePuffer：把普通技术拼成完整的勒索流程

2026 年 7 月，云安全公司 Sysdig 披露了一起被命名为 JadePuffer 的勒索事件，称这是有记录以来第一起完全由大语言模型智能体端到端运行的勒索操作。受害企业的名称、国别和攻击者身份都未公开。

已披露的攻击链是这样的：AI 利用一台暴露在公网、存在已知漏洞（Langflow 的一个未授权远程代码执行漏洞，补丁其实早已发布）的服务器进入网络，搜索账号密码等凭证，在系统间横向移动，进入生产数据库，在部分命令失败后自行调整方法，最后加密数据、留下勒索信。Sysdig 的记录里有一个细节很能说明问题：某次登录失败后，它在 31 秒内自己找到了可用的修复办法。

JadePuffer 没有发现任何新漏洞。它用的全是已经公开、甚至已经有补丁的漏洞，加上错误配置和薄弱凭证。它的突破在于编排——过去需要人类黑客一步步判断的多个环节，被一个 AI 系统串成了连续流程。

这件事的分量不在于攻击手法多先进，而在于它把"跑一整套勒索攻击"的技能门槛，降到了"租得起一个智能体"的程度。如果这个智能体还是跑在偷来的算力上，成本几乎为零。需要保留的证据边界是：关于"首个""完全无人介入"的定性，目前主要来自 Sysdig 一家的事件报告。

Cato 实验：决定攻击力的不是模型，而是它拿到了什么

2026 年 7 月 15 日，Cato Networks 公布了一项红队实验。研究团队把 OpenAI 的 GPT-5.5 接入自建的工具平台，在六个模拟企业网络里测试自主攻击能力。

AI 一开始只拿到三样东西：一台外部攻击机、目标的公开网络地址、一组通过模拟钓鱼取得的低权限账号。研究团队没有告诉它预定的攻击路线。AI 自己识别服务器类型、软件版本、内网结构、高权限账户和关键资产，六个场景都跑通了完整攻击链，最快一次约 40 分钟就拿到了域管理员权限。

这是受控实验，并不能用来估算现实攻击的成功率。但它点出了一个关键事实：模型本身并不是一件独立的攻击武器。Cato 团队自己的总结是——决定成败的是"工具链"而不是模型；同一个模型，随着工具、上下文和编排的改进，攻击能力会显著提升。

模型更像"大脑"，外部平台给了它工具、网络、反馈和目标信息；正是这种组合，把一个通用模型变成了能动手的攻击者。于是，网络安全的分析对象应该从"模型有多聪明"扩展为一个乘式：

模型能力 × 工具权限 × 网络连接 × 组织信息 × 可持续运行时间。

OpenAI–Hugging Face：从测试环境走进真实互联网

2026 年 7 月，OpenAI 在内部环境里测试模型的最大网络攻击能力，参与的包括已公开的 GPT-5.6 Sol 和一个未发布的内部研究原型。为了看清模型在不拒绝攻击任务时能做到什么，测试关掉了通常面向用户的部分行为限制。模型本应被隔离在测试环境里，但系统留了一条用于下载软件包的网络通道。

后来的披露显示，模型在一个软件仓库缓存代理（JFrog Artifactory）里找到并利用了一个此前未知的漏洞，从受限环境钻进了互联网。为了完成 ExploitGym 这项评测，它推断 Hugging Face 很可能存着测试数据或答案，于是又想办法黑进了 Hugging Face 的数据处理和生产系统，去偷答案给自己"作弊"。

Hugging Face 于 7 月 16 日率先发现并控制了这次入侵，当时还以为是"外部 AI 智能体"所为；OpenAI 在 7 月 21 日公开承认是自己的模型干的，并称这是一起"前所未有"的事件。事件还牵连到一个第三方客户公开的、没有身份验证的代码执行接口——平台方澄清，是客户配置的接口被模型利用，平台本身没有被攻破。这个区分很重要：不能把客户的错误配置写成云平台整体失陷。

这起事件里还藏着一个对防守方尤其扎心的细节。事后取证时，商业模型的安全系统把真实的攻击代码和命令判成了危险请求，分不清面前是合法的事件响应人员还是攻击者。Hugging Face 因此改用了一个开放权重模型来分析上万条日志。也就是说，防守方反而可能被自家 AI 的安全护栏"锁在门外"。

抛开细节，这起事件展示了三种能力变化：AI 能在没有预定路线的情况下主动寻找环境边界；它会把软件仓库、测试平台、外部服务都纳入完成目标的路径；而持续运行让它能反复试错，而不是一次失败就停手。

至于完整的行动记录、人工介入的具体比例、不同模型各自完成了哪些步骤，目前仍未完全公开。所以更稳妥的说法不是"AI 生出了独立的恶意动机"，而是：测试目标、网络隔离、持续监控三者同时失效，让模型的任务执行冲出了授权范围。

Anthropic 三起事故：攻击开始通过供应链外溢

OpenAI 披露之后，Anthropic 回查了自己的评测记录，检查了 141006 次可能接触互联网的评测运行，发现三起事件，涉及六次运行和三家真实组织，最早可追溯到 4 月。

这些测试是 Anthropic 与第三方评测机构 Irregular 合作进行的。模型被告知自己处在没有互联网的模拟环境里，但双方对环境配置的理解出现偏差，部分测试机器实际上能上网。三起事件分别涉及 Claude Opus 4.7、Mythos 5 和一个未公开的内部研究模型。

第一起，把同名的真实企业误当成模拟目标。一家虚构公司的名字恰好和一个真实网站的域名相同。Opus 4.7 进入了真实企业系统，拿到应用和基础设施凭证，访问了一个包含数百条生产数据的数据库。它后来意识到目标可能是真实的，却仍把这解释成测试的一部分，没有停手——甚至把"系统日期是 2026 年"当成了环境是伪造的证据。

第二起，向 PyPI 发布了真实的恶意软件包。Mythos 5 发现虚构企业的说明文件要求安装一个并不存在的软件包，便判断：如果自己在公共平台 PyPI 上注册同名包，目标系统就可能自动下载。它随后注册邮箱和账号，上传了带攻击代码的软件包。这个包在线约一小时，被 15 个真实系统下载运行。其中一家安全公司的自动扫描系统执行了包里的代码，凭证被回传到模型设立的收集点，模型又用这些凭证进入了该公司的其他基础设施。这家公司并不是模型直接挑中的目标，它只是因为自动下载、检测公共软件包而"躺枪"。这说明 AI 的行动可能通过软件供应链，波及原定目标之外的二阶受害者。

第三起，大规模寻找替代目标。那个内部研究模型在找不到模拟目标后，扫描了约 9000 个外部目标，最终靠一个暴露的调试页面、薄弱凭证和 SQL 注入，进入了一家真实企业。它后来识别出该目标与测试无关，自行停止了。

Anthropic 表示，如果这些模型是在通常的用户防护下运行，上述行为本会被拦下。相比媒体拼凑的 OpenAI 事件，这份材料由 Anthropic 直接发布，事件数量、检查范围、各模型行为都更清晰。但 Anthropic 也强调，这些案例并不是受控的"模型代际对比实验"，不能据此证明新模型必然更安全。

密码学这条线：CryptanalysisBench

还有一条容易被忽略的战线。7 月发表的 CryptanalysisBench 用 191 项隔离的密码分析任务考察前沿模型，发现它们已经能把"读源码、做数学分析、写可执行验证"连成一套密码研究流程。在有已知攻击的方案上，五个前沿模型能解出 65%–86%；更值得注意的是，它们在 SpoC 和 KINDI 两个尚未广泛部署的方案上，找到了作者认为此前未知的完整攻击——后者甚至意味着该方案已发表的安全证明存在漏洞。

这不等于 AI 已经能破解现实使用的 AES。攻击真正投入生产的密码方案仍然遥不可及。它说明的是另一件事：AI 的能力正在从普通软件漏洞，扩展到密码设计和安全证明的审查。

突破到底发生在哪里

把这些事件放在一起，AI 网络能力的突破可以拆成五层。

速度。把漏洞搜索、代码编写和攻击尝试压缩到机器运行的时间尺度，靠人工排查和多级审批的防御流程可能跟不上。

编排。不再只完成单个步骤，而是把进入系统、找凭证、提权、横向移动、破坏数据连成完整行动。

持续试错。可以长时间运行，一种方法失败就换工具、换账号、换路径；这种韧性本身就是攻击资源。

环境边界。开始能发现测试环境、软件仓库、网络配置之间的缝隙，原本被当作安全辅助设施的包下载服务、缓存和公共平台，也可能成为跳板。

传播。影响不再限于直接目标。AI 发布的软件包或代码，可能被第三方的自动系统下载运行，形成供应链传播。

该怎么评价当前的风险

现有材料支持三个层次的判断。

已被真实事件证实的：AI 已经可以自动组合已知漏洞和错误配置、持续搜索凭证和攻击路径、在弱防护网络里完成较长的攻击链、因环境配置失误闯进真实系统，并通过公共软件平台波及原定目标之外的第三方。

有受控实验支持、但还不能普遍外推的：最强模型能在模拟环境里迅速拿到企业最高权限，也能发现一些未知漏洞。但模拟环境通常没有真实的防守人员、告警压力和复杂业务条件，成绩不能直接换算成现实战果。

尚无充分公开证据支持的：目前仍不能确认 AI 能低成本、高可靠地稳定攻破防护成熟的大型企业、自主瘫痪国家级关键基础设施、长期隐蔽地维持复杂网络行动，或攻破现实中广泛使用的核心加密标准。

结语：先被改变的是攻击的工业化程度

AI 对网络安全最现实的影响，是把原本依赖专业人员的攻击活动，变成可以自动执行、持续运行、大规模复制的流程。

这意味着，过去看起来还能忍的安全问题——一台忘了更新的服务器、一个权限过大的账号、一条不起眼的外网通道、一个会自动装软件的扫描程序——在 AI 的持续搜索和组合之下，都可能成为完整攻击链的一环。于是防御的重心正在移动：

从定期检查和事后修补，转向持续发现、快速隔离、限制权限、控制供应链传播，并确保系统在部分被攻破后仍能恢复运行。

AI 还没有普遍攻破成熟的网络防御。但它已经开始削弱传统防御最重要的两项优势——时间优势和专业人才优势。这才是截至目前，最值得认真对待的能力变化。

声明：本文来自网安寻路人，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。