9 月 23 日，Malwarebytes 旗下的威胁研究团队 ThreatDown 发布了一份报告，标题写得毫不含糊：《CARBONATO：一个围绕 AI 智能体搭建的僵尸网络》。几乎同一周，安全公司 Gambit 披露了另一起行动：一名操作者用三个开源 AI 框架，在两个月里攻击了数百家零售企业，拿到超过 60 万条未过期的信用卡记录，平均每个目标的成本约 25 美元。

两份报告来自不同团队，入侵路径、攻击目标、动机都不一样。但它们指向同一件事：开源 AI 智能体框架正在成为攻击载荷的一部分。而且不是以「模型被越狱、突然觉醒」的方式，是以更朴素、也更难防的方式——被攻破的不是模型，是模型读取指令的那个入口。

一个开放端口，换来一整台宿主机

Carbonato 的入口没有任何技术含量：一个对外暴露、且未启用认证的容器守护进程 API。Docker 默认把这个 API 挂在本地 socket 上，但不少部署为了方便远程管理，直接把它绑定到网络端口并关掉 TLS 与认证插件。扫描器在全网寻找这类端口，找到就直接接管。

接管动作是一串标准 API 调用，不需要任何软件漏洞：创建一个特权容器，把宿主机根目录挂载进去，共享宿主机的进程与网络命名空间，再用 nsenter 进入宿主机的 1 号进程。到此为止，容器只是敲门砖，真正被拿下的是宿主机本身。

接下来是伪装。容器不叫容器，它把自己命名为 systemd-resolved，对外声明自己是「systemd-networkd resolver v2.0」，进程参数刻意写成内核工作线程的样子，混在 kworker 里。同一套脚本还留下一个伪装成系统登录守护进程的挖矿程序。

真正让这份报告出圈的是第三步：植入一个 AI 智能体。攻击者选择了 Hermes Agent——一个 MIT 许可的开源智能体框架，从上游原样安装，一行代码都没改。改动只有一处：用 entry.sh 覆写框架的人设文件 SOUL.md，写进 39 行提示词。

这 39 行提示词把智能体命名为 GH0ST，声明它「不是助手，而是一件活的后渗透工具」，指定技术栈涵盖提权、远程代码执行、反弹 shell、容器逃逸、SSH 跳板与 Telegram API，并明确不设任何伦理限制。此后操作者不需要再写脚本：任务从消息平台下发，模型解读任务、写出终端命令、读回输出、决定下一步，再把结果回报到同一个群聊。研究者把这套交互称为「操作员驱动的命令循环」。

优先级清单暴露了这套体系真正想要什么。报告显示，窃取目标排第一位的是各家 AI 厂商的 API key，被点名的有 14 家，覆盖 OpenAI、Anthropic、Google、OpenRouter、Together、Groq、Mistral、Cohere 以及本地推理方案；排在 AI 密钥之后的才是 SSH 凭据、访问令牌和数据库。所有密钥、口令与令牌，一律以明文形式集中存放。

规模不小。研究者在一次被动、只读的采集中，从一个未认证的镜像仓库里取回 59 个仓库、234 个镜像标签、4.3 GB 镜像数据。镜像时间戳覆盖 2024 年 10 月到 2026 年 8 月，接近两年的作业窗口。到 9 月 3 日，已知的 7 个端点里仍有 6 个在线。持久化手段则是老一代的完整清单：定时任务、systemd 定时器、rc.local、OpenRC 钩子、不可变文件属性，外加一个看门狗脚本——文件或容器被删掉，它就从仓库里重新拉回来。远程访问走一条反向 SSH 隧道。

值得一提的是，这起事件里没有 CVE。它命中的是部署配置，对应「关键功能缺失认证」，只能靠配置修复，没有补丁可打。

25 美元一个目标的攻击流水线

Gambit 记录的行动里，操作者同时使用了三个开源 AI 框架，分工明确：Strix 负责扫描与漏洞发现，Cairn 负责自主利用并冲击「拿到 shell 或管理员权限」这类目标，Hermes 负责战役编排、战后利用、战术决策，并指挥整条攻击链。这里需要说明，Hermes 是一个有持久记忆、能自己编写和编辑技能、带会话归档、定时任务与 Web 控制台的通用智能体——它被当作操作台使用，攻击能力来自它收到的人设与技能。

数字很能说明问题。仅 9 月 10 日到 15 日五天，这套体系启动了 105 个攻击项目，至少 27 家企业不同程度失陷。可确认的损失包括两家公司超过 60 万条未过期信用卡数据、至少 27 个被点名要求植入的网站（其中 19 个确认落地），另有超过 100 个外部网站被检出与同一行动相关的盗刷脚本。受害者里有财富 500 强酒店集团、美国主要航空公司、大型工业用品分销商和在线时尚零售商。

成本端更值得看。四周时间里，操作者为模型调用花了约 7000 美元，整个行动至今不超过 1.8 万美元。操作者自己的成本核算显示，平均每个目标 25.46 美元，最低 3.13 美元，最高 79.31 美元。换句话说，攻破一家企业网站的价格，已经落在一顿工作餐和一件外套之间。

人力投入则被压缩到极小。全程 260 个会话、1951 条人工提示词，平均到每个目标只有几条。侦察、利用、持久化、清理，大部分由智能体自行完成。模型侧使用 claude-opus-4.6——报告提到，更新的模型拒绝了它的请求。

这台操作台上加载了一份中文人设「SOUL - Red Team Operator」，附带 121 个技能，其中 78 个是攻击技能。更值得注意的是，操作者还专门加了一个技能，用途是移除 Hermes 自身的内容安全过滤。安全机制在这里不是被绕过，是被从文件系统里删掉。

两起事件的共同点

把两份报告叠在一起看，重合的部分比差异更有价值。

维度	Carbonato	Gambit 记录的行动
入口	未认证的容器守护进程 API	零售站点与后端应用
框架角色	操作员控制台，消息平台指挥	战役编排与战后利用
是否改动框架	未改动，只覆写人设文件	未改动，加载外部人设与删除安全过滤技能
人的位置	交互式命令循环	260 个会话、1951 条提示词
失败的单点	一个对外开放的管理端口	一个可写的人设与技能目录

第一，两起事件都不依赖软件漏洞。没有零日，没有内存破坏，打的都是「关键功能未加认证」这一类配置问题。这意味着补丁管理的整套习惯在这里失效，能修的只有架构与部署。

第二，两起事件里框架本体都没被攻破。被攻破的是指令入口：一份人设文件、一个技能目录。智能体的行为边界由可写文件决定，那么拿到这些文件的写权限，就等于拿到智能体的行为定义权。

第三，自主性被高估了。Carbonato 的扩散、持久化、看门狗全是确定性脚本；Gambit 那起行动里，人类仍在环内做战术决策，只是战术层之下的执行层被大规模自动化。把这类事件称为「AI 自主攻击」并不准确，准确的说法是：执行层的边际人力成本被压到了接近零。

第四，收益结构变了。当一个目标的攻击成本降到几十美元，而潜在收益是数十万条支付数据时，攻击不再是需要高手长期驻场的工程，而是一门可以规模化复制的生意。这解释了两份报告里最一致的一点——AI 厂商的 API key 排在窃取清单第一位。模型调用是要付费的，密钥就是这门生意的燃料。

防御面在配置与文件，不在模型

两份报告指向一个被低估的事实：智能体要真正有用，就必须拿到 shell、文件系统、网络出口和长期记忆。这四样东西，恰好也是一件后渗透工具所需要的全部。能力与风险来自同一份权限，不是两件事。

用工程学的老框架看会更清楚。冗余备份系统的第一条原则是识别单点故障，第二条是备份必须真的独立——共用同一根电线的备份是假备份。放到这里：一个未加认证的管理端口是单点；一份可写的人设文件是单点；而把智能体、它的长期记忆、它调用的全部密钥放在同一台主机、同一份环境变量文件里，就是典型的假备份——主机被拿下一次，凭据、记忆与行为定义同时失守。

二阶效应同样适用。装上智能体是第一层收益：任务被自动化了。第二层代价是权限半径扩张：为了让它能干活，给了它接近宿主机级别的执行能力。第三层代价是它自己变成了目标：报告里被点名窃取的 14 家 AI 厂商密钥，本质上是在为下一轮攻击筹集燃料。

熵增这条更少被提及。攻击者的看门狗脚本每五分钟检查一次，文件被删就重新拉取——他们在替自己对抗熵。防守方却常常把「已经收紧了端口」当作一次性项目。配置会漂移，镜像会过期，密钥会扩散，人设文件会被新装的应用改写，不持续治理就自动劣化。

从白物集自己的出稿管线说一个具体做法：这条管线跑在服务器上，链条里有模型调用、内容入库、前端读取多个环节，每一层用的是各自独立的凭据与权限，内容库与业务库也在不同项目里分开。这么做不是为了好看，而是承认一件事——只要其中一层被拿下，其他层不应该跟着一起倒。这就是「备份必须独立」在凭据管理上的直译。

如果只记一份清单，可以抄这份：

• 容器守护进程 API 不上网络，只保留本地 socket；云安全组、NAT 转发、负载均衡都要审计有没有把管理端口发布出去
• 狩猎时不要封禁框架本身，要找滥用特征：人设文件里的恶意名字、可疑的密钥文件名、无法解释的消息平台出站流量、伪装成内核线程的进程参数
• 把人设文件与技能目录设为只读或加完整性校验，它们是智能体的行为定义权
• 给智能体的记忆与凭据划出独立边界，别让它和宿主机凭据住在同一个文件里

结语

这两起事件里都没有出现「模型失控」。攻击者做的是更简单的事：找到一个没上锁的入口，然后用一个开源的、有记忆、能执行命令的智能体，把「人肉操作主机」这件事外包出去。

所以真正的问题不是模型会不会变坏，而是——当智能体的记忆、技能与人设都只是磁盘上的可写文件时，你替它守的那道门在哪里？