AI蜂群来了，攻击从数月缩到数小时

同一个周期里，安全圈刷到两条消息：Cisco Talos 警告协调作业的 AI Agent 蜂群，可以把传统上需要数月的攻击流程压缩到几小时；IBM 则给 Langflow 一次性修补了 25 个漏洞，其中两个是未认证远程代码执行（RCE）。

两条消息看似独立，其实指向同一个判断：AI Agent 正在同时改写攻防两端的时间常数。攻击者拿到了加速器，而许多企业脚下踩着的，还是半年前的补丁节奏和以"月"为单位的响应流程。这篇文章想讲清楚的是——蜂群攻击意味着什么，Agent 平台为什么先失守，以及防御侧该补哪几笔账。

⚡ 蜂群作业：几个月的活，几小时干完

安全行业最稀缺的资源从来不是漏洞，是时间。

先看一个熟悉的场景。一次传统的红队式攻击是什么节奏？前期规划数周，外部侦察数周，注册域名、搭建基础设施、准备 C2 通道又是数天，然后才是漏洞验证、利用链组装、横向移动。一个有经验的团队打穿一个防护到位的目标，三个月起步并不夸张。这套流程之所以"慢"，是因为每一步都要人来串——人是最贵、也是最难并行复制的资源。

Cisco Talos 的警告正是针对这个成本结构。据其发布的分析，协调作业的 AI Agent 蜂群可以把红队式的规划、侦察、基础设施工作整体压缩到小时级。更关键的是那句定性：业界真正该担心的，已经不是"AI 会不会被用于攻击"，而是"组织能否扛住持续性、可规模化的攻击"。persistent 和 scalable 这两个词，比"压缩到几小时"更值得咀嚼。

产业逻辑随之变了。过去攻击复杂度本身就是门槛——能把数月工程跑下来的对手屈指可数；当边际成本趋近于零，"能打一次"和"能打一万次"的区别消失了。蜂群不是更强的黑客，是可复制的黑客。防守方要面对的不再是某一次入侵事件，而是一台不知疲倦、可以无限重启的攻击机器。

🕳️ 先失守的，是造 Agent 的平台

讽刺的是，最先被 AI 拖下水的，是造 AI 工具的环节本身。

IBM 的安全公告值得逐条看：Langflow OSS 一共披露 25 个漏洞，影响版本横跨 1.0.0 到 1.12.2——也就是说，问题大概率不是某个版本引入的孤立缺陷，而是伴随整个版本演进累积出来的。其中两个被评为严重级，均允许未认证远程代码执行。官方建议是升级到 1.12.3，且没有列出任何临时缓解措施。

为什么这类平台容易出现未认证 RCE？答案藏在产品形态里。Langflow 提供可视化环境来搭建 AI Agent 和工作流，支持用 Python 做自定义——而"用 Python 自定义"意味着平台天然就要执行任意代码。在这样的产品里，认证边界就是唯一防线，一旦未认证可达的执行路径被打穿，防线直接归零。这不是设计者的失误，是这类产品的基因决定的：灵活性的代价，就是把"代码执行"这个最高危原语做成了基础能力。

更麻烦的是部署现实。据多位在企业侧部署过开源 Agent 工具的人士观察，这类平台往往跑在开发环境、测试容器、云上"先跑起来再说"的实例里，几乎没有纳入正式的漏洞管理流程。25 个漏洞、横跨 12 个小版本、没有 workaround——三个事实叠在一起，意味着相当一部分存量实例的修复窗口，可能比公告本身还要长。

📊 一张表看懂攻防时间差的坍缩

当攻击以小时计，防守的报表就不能再以月计。

把 Cisco Talos 给出的"数月对数小时"拆开看，变化发生在每个阶段（下表为基于该判断的阶段级推演）：

蜂群的作业方式大致是这样一条流水线：

注意这条链里没有一个"天才黑客"节点——每个环节都是可以被替换、被重试、被并行放大的组件。这正是蜂群与传统 APT 的本质区别：后者的核心资产是人，前者的核心资产是流程。

对防守方而言，这直接改写了指标体系。过去 MTTD（平均检测时间）以天计还能接受，因为攻击者的 kill chain 也是以周计的，两者之间存在缓冲带；现在攻击窗口缩到小时级，而检测响应窗口不动，缓冲带就消失了。不是防守变弱了，是比赛的计时单位变了。

🏗️ Agent 平台的"堡垒机化"

Agent 平台手里握着的钥匙，比域控少不了多少。

再回到 Langflow 这类平台在企业里的角色。它们不是孤立工具，而是被设计来连接一切的：LLM 的 API Key、内部数据源、各类业务系统的工具调用权限。一个典型工作流里，往往躺着能直接触达核心系统的长期凭证。

把这张图和上一节的蜂群流水线拼起来，画面就很完整了：一条未认证 RCE 打入平台，蜂群式自动化接管内部横向——Agent 平台事实上成了放大器。这正是 Cisco Talos 说的"可规模化"在企业内网里的具象形态：不是外部的蜂群打到内网，而是内网里已经存在的几十个 Agent 工作流，被一次失陷批量点亮。

从身份与访问的视角看，结论很直接：Agent 必须被当成一等公民的 principal 来管理，有独立的身份、最小化的权限、可审计的行为轨迹——而不是挂在某个员工浏览器里的插件。据接近多家安全厂商的人士透露，把"非人类身份治理"提上日程的企业，2025 年以来明显增多，这背后就是同一个判断。

🛡️ 防御侧要补的三笔账

以自动化对抗自动化，是唯一成立的对称答案。

第一笔账，把 Agent 平台当生产系统管。补丁 SLA、暴露面收敛、认证加固，一样不能少——尤其是未认证可达的接口，要当作 0day 预期来对待。这次 Langflow 没有任何 workaround，升级是唯一动作，那么"存量版本盘点 + 快速升级通道"就成了硬需求。开源组件的版本治理，不能再停留在 SBOM 报表层面。

第二笔账，检测与响应的自动化。🛠️ SOC 引入 Agent 做告警分诊、自动编排处置动作，不是锦上添花，而是被迫跟进——对手以分钟级并行作业时，靠人肉三班倒跟不住。防守侧同样需要自己的蜂群，哪怕是一个初级版本。

第三笔账，给 Agent 做权限最小化和可观测。🔑 短期凭证替代长期 Key、工具调用白名单、每一次工具执行留痕可回放。这三件事单独看都不新，但放到 Agent 语境下就是生死线：蜂群攻击的本质是滥用既有权限，而你连"它有什么权限"都说不清，就谈不上防御。

回头看，这两条消息其实是同一枚硬币的两面：Cisco Talos 描述的是攻击侧时间常数的坍缩，IBM 的 25 个漏洞展示的是 Agent 基础设施自身防御的欠账。未来 12 到 24 个月，攻防比拼的将不再是单点技术深度，而是谁的自动化闭环更紧、谁的补丁到部署间隔更短、谁先把 Agent 纳入身份治理。时间常数变了，所有旧账都要按新汇率重算——这是蜂群时代给每一家企业出的第一道题。