当勒索软件第一次由 agent 自主跑完,被重新定义的不是攻击

Sysdig 上周公开了 JadePuffer 的全过程。一个勒索组织利用 Langflow 一个未鉴权端点的漏洞,把整个入侵链条交给了一个大模型 agent 自己跑——从踩点到抓凭据,从横向移动到提权,从加密到数据擦除,中间几乎没有人按回车。

这件事让人不舒服的点不在「AI 又被滥用了」这种老话,而在更具体的位置:在 agent 之前,自动化脚本只能做事前写好的那几步;在 agent 之后,链条里多了一个能根据现场反馈临时改写下一步的系统。

差别看起来只在「能不能临场应变」,落地的差别是——响应方第一次面对的对手,不再是一组静态 payload,而是一个会观察、会判断、会重试的循环。应急脚本、威胁情报、检测规则,这一整套过去十年围绕「已知行为」建立起来的防线,被同时绕过了一层。

更深的一层:从这一刻起,「自动化」和「不可逆伤害」之间的距离,被 agent 拉到了一个动作以内。过去要让一条攻击链跑完,需要熟练的运营人员轮班;现在只需要一个漏洞加一个会调工具的模型。门槛下降的不是技术,是后果。

所以接下来要重新讨论的不是「要不要禁 agent」,而是一个更工程的问题:当对手也跑 agent 的时候,响应侧的 agent 该按什么节拍参与?是全程同步对抗,还是在每一道高风险动作前强制插一道人类确认?问题的形状变了,解题的节拍也必须跟着变。