2026年11月4日，网络安全公司安克诺斯的威胁研究部门公布了一项令人不安的调查：一名操作者仅凭12个由人工智能驱动的智能体，就对11个国家的数百家机构发动了攻击，其中包括台湾的应急服务系统。调查人员是在一台暴露在外的服务器上发现这场行动的——攻击者自己的日志、聊天记录和作案工具，就这样原样摊在了研究人员面前。这起代号为“BossAI”的行动，揭示了一个新现实：人工智能正在把过去需要一整个团队才能发动的网络攻击，交到一个人手里。
一台暴露的服务器，牵出一整张攻击网
事情的起点是一台配置错误的开发环境。安克诺斯的研究人员最初以为只是碰到了一台没有关好的服务器，深入检查后才发现，里面装着超过9万个文件、约9GB的证据：智能体之间的对话、执行过的命令、用过的工具，以及受害机构的数据。这台服务器的地址后来被公开，安全团队据此封堵了相关的攻击流量。
根据安克诺斯的评估，这场行动由一名个人操作，置信度很高。公开报道称，操作者使用“bossjy”这个网名，位于台湾花莲市。需要说明的是，这是安克诺斯基于回收记录作出的归因，截至目前没有公开报道提到有人因此被捕，相关结论也没有得到独立复核。
从规模上看，行动覆盖了11个国家，目标涉及政府服务、教育、金融、军事相关系统、电话簿、电商平台甚至博彩网站。在安克诺斯观察的12天里，确认遭到入侵并被窃取数据的目标约有10个，分布在3个国家；另外约15个目标遭到攻击但没有确认被攻破，其余大多停留在侦察和前期准备阶段。
12个智能体，各管一摊
这张攻击网由12个智能体组成，调查时其中9个处于活跃状态。它们分工明确：搭建类的智能体负责配置服务器、域名、代理和通讯网关，攻击类的智能体负责扫描目标、分析漏洞、编写攻击代码，扫描层则负责批量发现目标系统的弱点并形成结构化报告。
具体点名的话，搭建工作动用了Grok、OpenClaw、Claude Code和Codex等工具；攻击一线则由Hermes、Cursor、Trae和CyberStrike等承担；扫描层还有一个名叫HalberdStrike的工具，以及一份破解版的商业扫描器。它们通过模型上下文协议服务器接入各种安全工具，例如网络扫描、数据库注入测试、渗透测试框架和逆向工程工具。
有意思的是，这些智能体之间并不能直接对话。操作者要手工把一个智能体的输出复制粘贴到下一个智能体里。调查记录了一个完整的链条：扫描智能体先对台湾一处应急服务目标做检查，操作者把报告粘贴给分析智能体生成攻击路径，再把结果粘贴给代码智能体去实施入侵。整个流程像一条手工操作的人工流水线，只不过每个环节的速度都比人力快得多。
被商业模型拒绝后，攻击者换了“去限制”模型
这场行动还有一个值得注意的转折：主流商业模型大多拒绝执行攻击请求。操作者尝试用越狱提示词绕过限制，但效果有限。于是攻击任务转向了经过“去限制”处理的开源模型，也就是去除了安全训练的DeepSeek、GLM和Qwen等模型的变体，在操作者自己的图形处理器上本地运行，最终默认使用的是一个名为DS4的DeepSeek第四代变体。
这种选择是有代价的。本地运行的开源模型能力较弱、资源有限，犯错也更多。但对攻击者来说，便宜和可控压倒了能力上的差距：不需要为调用商业模型付费，不会被服务商封号，攻击链条完全掌握在自己手里。安克诺斯把这类行为者称为“人工智能增强型威胁”：看起来像国家支持的黑客组织，实际上只是一个人加上一堆智能体。
真正的损失发生在哪里
受害最重的是台湾的应急服务系统。台北市消防局的一处病人护理平台无需登录就能访问，暴露了2018年的病人心电图读数、救护车视频和生命体征数据。某市的119调度系统也被提取了派单记录，覆盖7个区的出警时间、响应类型、状态和街道级位置信息。这些是调度记录，不是救护车的实时定位，但其中包含的个人信息已经足够敏感。
消防调度技术供应商的数据库管理面板，是用默认的管理员口令登录进去的，暴露了18张以上的数据表。台湾一家贷款公司则通过16个数据库注入点被提取了账户数据表；还有一家移动支付应用被绕过了信用卡安全码校验。泰国方面，3所大学确认遭到数据库注入攻击并被提取数据。
需要区分的是“被盯上”和“被攻破”。数百家机构遭到扫描和试探，但确认失守的只有约10家。攻击者撒网的范围很大，真正得手的，都是那些本身就存在老问题——没有身份验证、默认口令、多年不打补丁——的目标。
人工智能攻击也有短板
安克诺斯的报告并没有把人工智能攻击写成无所不能。恰恰相反，报告花了不少篇幅讲这些智能体有多不靠谱：扫描工具HalberdStrike给出的高危和严重级别发现中，一半以上是误报或分类错误。它甚至在一个国家级灾难响应中心“发现”了一个根本不存在的严重漏洞。
更关键的是，智能体在防护到位的系统面前基本无计可施。报告的原话大意是：当系统配置正确时，智能体能做的事情要少得多。强制身份验证、及时打补丁、过滤好对外接口的地方，攻击就进行不下去。换句话说，这场行动最致命的不是人工智能本身，而是那些机构多年来一直敞开的大门，人工智能只是让一个人能同时去推成百上千扇门。
同一周，文档平台GitBook也公布了一起人工智能智能体参与的入侵事件。根据该公司的事后分析，攻击者利用单点登录流程的缺陷伪造了员工会话，进而获取了内部代码库和云服务密钥，生产环境访问持续了约2小时45分钟。两起事件放在一起看，指向同一个结论：人工智能正在拉低攻击的门槛，但得手的路径仍然是那些经典的老漏洞。
普通人会被波及吗
对普通读者来说，直接风险主要来自个人信息泄露。应急服务系统里的就诊记录、调度记录一旦外流，可能被用于精准诈骗：骗子知道你什么时候叫过救护车、住在哪条街，就更容易编出可信的说辞。贷款公司和支付应用的数据被窃，风险则更直接，账户信息、交易记录都可能成为身份盗用的原料。
如果你在台湾生活或工作，或者曾经使用过相关应急服务，不必过度恐慌，但值得做几件事：留意以医疗、保险或政府名义打来的可疑电话和短信；定期查看银行和信用卡账单，发现异常交易立刻联系发卡机构；不要在多个网站使用同一套密码；重要账户开启多因素认证。这些建议听起来老生常谈，但它们针对的正是这类攻击真正利用的弱点。
还要提醒一点：泄露的病人数据大多是2018年的旧记录，时效性有限，但旧数据并不会因此失效，姓名、电话、病史一旦进入黑市，可以反复使用多年。数据泄露的伤害往往是滞后的，这也是为什么事情过去了不等于风险过去了。
华人小企业主：现在就能做的8件事
对在美国开餐馆、超市、电商、留学中介、会计事务所的华人小企业主来说，BossAI事件是一次免费的风险提示。攻击者偏爱的目标，恰恰是预算有限、安全投入不足的中小机构。下面这份清单不需要请昂贵的安全顾问，多数事项一个下午就能完成：
- 改掉所有默认口令：路由器、摄像头、收银系统、网站后台、数据库管理面板，一个都不要留默认密码，管理员账户不要用常见名字。
- 给所有对外服务加上身份验证：不要让任何数据接口、文件或管理页面无需登录就能访问，重点检查网站后台和云存储的共享设置。
- 开启多因素认证：邮箱、银行、云服务、网站后台的管理员账户全部开启，优先使用验证器应用而不是短信验证码。
- 及时打补丁：网站程序、插件、数据库和服务器系统有更新就尽快安装，老旧的数据库版本是这次事件里反复被利用的突破口。
- 做好离线备份：客户资料、账目和订单数据定期备份，备份介质不要一直连在网上，万一遭遇勒索软件才有退路。
- 收紧员工权限：只给每个人工作必需的最低权限，离职员工的账户当天就停用，不要多人共用同一个管理员账户。
- 留意异常流量：定期查看网站和服务器日志，发现短时间内大量扫描请求、异地登录或异常下载，及时封禁相关地址并排查。
- 培训员工识别钓鱼邮件：不点不明链接、不下载不明附件，财务付款流程坚持电话二次确认，人工智能生成的钓鱼邮件只会越来越像真人写的。
如果企业处理客户的健康、金融或儿童信息，还要留意各州的数据保护法规要求。加州、纽约州等地的法规对个人信息泄露的通报时限和处罚都有明确规定，提前合规比事后补救便宜得多。
最后一点也是最重要的一点：不要把测试用的开发环境暴露在公网上。这次事件的起点，正是一台没有关好的开发服务器。开发、测试用的系统和真实数据之间，永远要隔着一道墙。
防御的胜负手还是基本功
BossAI事件最值得记住的不是12个智能体这个数字，而是一句反直觉的结论：人工智能让攻击变得更便宜、更快、更广，但并没有让攻击变得更聪明。它没有攻破任何一扇锁好的门，只是更有效率地找到了那些没锁的门。对防守方来说，这反而是个好消息：补上身份验证、默认口令、补丁这些基本功，就能挡住绝大多数人工智能驱动的批量攻击。网络安全的军备竞赛还在继续，但第一道防线，始终掌握在每个机构和每个用户自己手里。
暂无评论内容