2026年10月19日，挪威网络安全公司NorForge披露了一起令人不安的网络攻击事件：一名讲中文的黑客利用开源AI智能体编排平台Cairn，指挥一群自主AI智能体在数周内尝试入侵1200多家网站，最终攻破了100多家公司的网站。最令人震惊的是成本——整个行动的AI token花费仅约5000美元，折合每次成功入侵约50美元。约翰迪尔（Deere）、SharkNinja和康明斯（Cummins）均在受害者名单之中。
被黑客”忘锁的门”暴露的攻击行动
从10月2日左右开始，NorForge首席威胁研究员Snorre Fagerland在互联网上发现了二十多个暴露的Cairn控制面板。Cairn是一个开源的多智能体协作平台：给智能体一个目标和起点，它们就能一步步分工协作、共享进展，人工操作员还能随时给出提示。但不少操作员把它的Web管理界面直接暴露在公网且不设防护——黑客自己的”指挥室”就这样敞开了大门。
Fagerland顺着这些暴露的面板，看到了攻击的全过程：目标清单、扫描发现、窃取到的凭证、实时进展。最活跃的一组被NorForge标记为AIA0001，使用中文指令，在14个面板上运行了1100多个攻击项目，行动从9月25日一直持续到上周。
路透社对同一批攻击者数据的独立核查显示：截至上周末，这组智能体尝试入侵的网站超过1200家，成功攻破的超过100家。一次成功的入侵平均耗时约23小时，其中一个项目甚至持续运行了5天以上。
50美元一次：攻击的经济学被改写
Fagerland估算，整个行动的token花费约5000美元，折合每次成功入侵约50美元。NorForge的报告还给出了另一个统计口径：把失败任务也算上，平均每个任务约5美元——报告同时强调，这两个数字的不确定性都很大。
但无论取哪个口径，结论都一样：大规模网络攻击的成本已经降到普通人掏得起的零花钱级别。攻击者的指令短得惊人：不到100个中文字符。智能体随后自主工作数十小时，期间甚至能自己”举一反三”——报告记录了一起案例：智能体在一家大公司的主应用里没找到漏洞，转而探索与其相连的基础设施，发现了一个暴露的控制面板，并利用一处细微的数据处理漏洞执行了服务器命令。
从进程名claudecode_deepseek-v4.1-flash看，NorForge判断攻击者使用的是Claude Code编排、DeepSeek低成本V4.1 Flash模型驱动的组合。攻击目标集中在美国、加拿大、日本和澳大利亚的电商网站，智能体试图在每台服务器上执行代码，并植入WebShell以长期维持对商城和支付系统的访问。
受害者：从电商小店到工业巨头
被路透社点名的三家知名企业分别是：
- 农业机械巨头约翰迪尔（Deere）：表示已采取补救措施，没有发现敏感信息被访问的迹象；
- 家电品牌SharkNinja：表示被攻击的是一个独立的产品支持网站，事件已得到控制；
- 发动机制造商康明斯（Cummins）：表示正在调查一家供应商运营的网站可能遭受的攻击。
路透社称，无法确定攻击者到底窃取了多少数据——100多家受害者中只有这三家被公开点名，相关披露仍在进行中。
背景：为什么是现在
这并非”脚本小子”的恶作剧。Fagerland对路透社说：”这不是脚本小子的把戏，这是一个新世界。”（”It’s not script kiddie stuff. It’s a new world now.”）
这起事件的意义在于：市面上买得到的通用AI智能体，已经能从头到尾独立完成一次复杂的入侵——侦察、找漏洞、利用、植入后门，一个人加上一句不到百字的指令，就能同时对上千个目标开工。这把单个攻击者的能力放大了几个数量级。与此同时，立法者、监管者和AI开发者仍在争论：当通用智能体工具被改造成攻击工具时，责任到底归谁。
影响与展望
- 对企业：电商网站、暴露在公网的管理面板成为首要目标。及时打补丁、关闭不必要的管理入口、给管理后台加访问控制，是最直接的防线。
- 对防御方：攻击方可以”广撒网+自动化”，防御不能再指望”攻击者看不上我”。23小时的平均入侵时长也意味着，持续监控和异常行为检测仍有拦截窗口。
- 对监管与厂商：AI智能体的”双重用途”属性将面临更严格的审视，模型厂商可能被要求在智能体滥用问题上承担更多责任。