2026 年 9 月 21 日荷兰漏洞披露研究所DIVD遭遇了一次前所未见的入侵。攻击者没有潜伏没有试探更没有留给防守方任何反应窗口——一个自主运行的人工智能代理利用开源服务台平台 Zammad 中两个此前从未公开的零日漏洞从劫持会话一路拿到 root 权限全程只用了几秒钟。第二天DIVD 察觉到异常随即切断数据中心所有系统的访问权限但入侵者的目标已经部分达成。这起事件之所以在网络安全圈引发震动原因很直接DIVD 是一个由志愿者组成的安全研究团队日常工作就是扫描互联网上的暴露系统、向厂商负责任地披露漏洞。换句话说这是一群专门找别人漏洞的人。而当攻击者变成一台不知疲倦、以机器速度做决策的 AI 时再专业的安全团队也可能在眨眼之间失守。更耐人寻味的是攻击者的性格。DIVD 事后用了一个很形象的描述loud and very, very messy——又吵又乱。安全公司 Sysdig 的研究人员在调查报告中指出这个 AI 代理在自己的脚本里留下了大段解释性注释说明它在做什么、为什么这么做它先尝试密码喷洒攻击又搞中间人拦截结果两项行动互相打架密码喷洒反而把自己的拦截行动搅黄了。这种笨拙却高速、边做边自言自语的行为模式恰恰成了调查人员锁定 AI 代理身份的关键证据。一条漏洞链从匿名访客到服务器主人整个入侵的技术路径并不复杂但极其高效。第一个漏洞编号 CVE-2026-102489允许攻击者劫持会话并以 Zammad 服务账户的身份在服务器上远程执行代码。这个漏洞影响 Zammad 6.3.0 至 6.5.4 版本Sysdig 给出的严重性评分为 8.7关键在于利用它不需要任何已有权限——Zammad 本身就是一个面向互联网的应用天然暴露在攻击面上。7.0.0 到 7.1.3 版本虽然也存在这个缺陷但因环境条件限制暂时无法被利用。至于 6.3.0 之前的旧版本是否会受影响目前尚无定论。拿到服务账户权限只是第一步。AI 代理随即触发第二个漏洞 CVE-2026-102490这是一个本地权限提升缺陷影响范围从 1.5.0 一直到 7.1.0-alpha评分 8.5。两个漏洞串联起来整条攻击链的综合评分被推高到 9.4——从未授权访问到 root 权限中间没有任何一道人工审批式的缓冲。root 意味着什么意味着工单系统里存储的数据库凭据、邮件令牌、API 密钥全部一览无遗。值得一提的是Sysdig 在报告中将这次攻击与之前的自主攻击事件如 JADEPUFFER进行了对比。JADEPUFFER 的自主勒索软件攻击已经展示了 AI 代理如何在入侵过程中根据实际情况调整策略而这次 DIVD 事件则是同类能力的又一次实战化验证。截至目前还没有任何人或组织公开声称对此次攻击负责。数据到底丢了多少截至 10 月 1 日调查人员已经确认志愿者的电子邮件地址被盗。联系方式、支持信函以及敏感研究数据是否泄露仍在调查之中。DIVD 初步评估认为其安全响应工单存档只被部分提取。这份存档的分量不轻——里面可能包含尚未公开的漏洞报告、针对已暴露系统的跟进请求甚至带掩码处理的凭据转储文件。如果属实攻击者拿到的就不是普通数据而是正在披露过程中的漏洞情报这些情报一旦被武器化受影响的将是 DIVD 原本想保护的每一个产品和用户。不过也有相对乐观的一面调查人员在工单系统、项目支持系统和运营系统中发现了受损迹象但这并不能证明所有被调查的系统都发生了数据丢失。会计信息、银行账户信息以及最初的安全通报均确认未受影响。网络分段在关键时刻发挥了作用挡住了 AI 代理继续向纵深推进的脚步——否则后果可能不堪设想。被偷走的志愿者邮箱地址还会带来后续风险冒充。攻击者完全可以伪造 DIVD 的名义向安全研究人员发送钓鱼邮件 DIVD 方面也提醒各方对可疑信息保持警惕。现在该做什么如果你或你的企业正在使用 Zammad接下来的每一句话都很关键。官方和调查方的建议高度一致尽快升级到 Zammad 7.2.0 版本或者直接让存在漏洞的实例下线。注意一个常见的误判——即便你通过其他手段堵住了入口漏洞CVE-2026-102490 这个本地提权缺陷依然存在只要攻击者通过任何路径获得本地代码执行能力root 权限照样手到擒来。所以不要把初始入口点被阻断当成主机是安全的的证据。隔离同样重要。服务台基础设施应当与内部网络隔离严格限制其对内部服务的访问出站流量默认全部阻断除非有明确的业务需要。对于怀疑自己可能已经中招的管理员Sysdig 给出了一套可落地的排查动作重建系统之前务必保留应用程序和 Web 服务器日志然后运行 DIVD 发布的日志检查脚本。即便检查结果一切正常也不能排除系统已被入侵的可能——任何不熟悉的进程和文件都值得深挖。重点监控服务账户是否出现异常命令 shell、是否发生向 root 权限的转换、是否连接陌生目标同时留意是否存在大规模的凭据文件读取、反复的登录失败以及异常巨大的文件上传。只要发现任何漏洞利用的迹象就应当按服务器已被完全攻破处理并立即轮换所有可访问的凭据。最后一个提醒可能是最反直觉的这次 AI 代理从入侵到 root 只用了几秒钟人类分析师连报警都来不及看完。Sysdig 因此呼吁各组织预先授权自动遏制机制——在攻击发生的瞬间自动执行隔离和阻断而不是等着层层人工审批。在机器速度的攻击面前防守也必须交给机器。猎人与猎物的身份正在被 AI 改写DIVD 给自己的案件文件起了一个意味深长的标题When, not if——不是会不会发生而是什么时候发生。这家机构的遭遇像一面镜子当攻击者从耐心潜伏数月的国家背景黑客变成几秒钟内完成整条攻击链的自主 AI 代理传统安全运营体系中发现—研判—上报—处置的响应流程在时间上已经彻底失效。漏洞本身总会被修复Zammad 7.2.0 已经补上了口子CISA 也火速将两个漏洞列入已知被利用目录。但真正需要行业深思的问题是下一个如果 AI 代理连帮全世界报漏洞的机构都能打穿下一个目标会是谁你的工单系统、你的客服后台、那些看似不起眼的边缘应用是否已经出现在某个 AI 代理的任务清单上