12美元打穿域名：AI攻击白菜价了

12美元，一杯咖啡的价钱，就能让一个公开大模型拿到一整个域名的完全控制权。这不是演示环境的夸张修辞，而是真实发生过的攻击战役。当AI把攻击的边际成本压到接近于零，安全行业沿用多年的防御定价逻辑，正在被连根拔起。

💸 12美元的域名控制权：攻击经济学崩了

安全圈私下有句话：以前做大规模攻击，拼的是肉鸡数量；现在拼的是API调用预算。

把这句黑色玩笑落到具体数字上，冲击力才真正显现。近期披露的一起攻击战役中，攻击者利用开源权重（open-weight）模型，一次性对105个站点发起定向攻击。而在另一起案例里，攻击者仅花费12美元调用公开可用的大模型，就完成了对一个域名的完全控制——从侦察、构造载荷到拿下降地，整条链路由模型自动化推进。

这组数字真正的杀伤力不在总量，而在单价。传统大规模攻击需要预置僵尸网络、购买Exploit、雇佣熟练红队人员，固定成本极高；而开源权重模型意味着攻击能力本身已经商品化——模型权重公开下载，本地部署，无审查、无日志、无追责入口。

产业逻辑随之改变：企业安全预算历来按"核心系统重点防护"来分配，外围站点、测试环境、边缘业务长期处于低防御水位。过去攻击者打长尾站点不划算，人力成本覆盖不了收益；现在AI把人力成本抹掉了，长尾恰恰成了最便宜的入口。一次打105个站点，本质上是把攻击变成了概率游戏——只要有一两个站点失守，战役就是盈利的。

防御方必须接受一个新前提：你的每一个边缘站点，都可能正在被一个每小时只花几美元的自动化对手扫描。按人力成本设计的防御体系，对上按token计费的攻击体系，这不是技术差距，是经济学差距。

⚔️ Cairn事件：渗透工具的"武器化倒灌"

第二记重拳，打在了安全行业自己的工具箱上。

一名使用中文的攻击者滥用AI渗透测试工具Cairn，将原本用于授权测试的自动化能力转向真实目标，对全球数百家网站发动了大规模攻击潮。受害者名单里不乏行业巨头：农机巨头John Deere、小家电厂商SharkNinja、发动机制造商Cummins，均被卷入数据窃取范围。

这个事件的刺痛感在于：攻击者的效率提升，直接来自安全行业自己生产的工具。AI渗透测试工具的设计初衷是帮助防守方以更低成本做常规化验证，其自动化侦察、漏洞匹配、载荷生成能力，恰恰也是攻击者最需要的能力。工具是中立的，但自动化是双向的——Cairn被滥用不是孤例，而是整个AI安全工具赛道的集体隐忧。

从产业判断看，Cairn事件会推动两件事：一是AI安全工具厂商不得不给自动化能力加上更强的授权锚定与行为水印；二是防守方对"自己队伍里的工具"的信任模型要重写——渗透工具的输出日志，今后也可能成为攻击的侦察报告。据多位接近安全厂商的人士透露，已有厂商在内部复盘：自家产品的自动化能力，如果被整体逆向，能帮攻击者省掉多少人工环节？答案普遍不乐观。

🤖 微软的答案：用Agent看住Agent

攻击侧的AI化倒逼防御侧给出体系级回应，动作最大的玩家是微软。

微软正在推进的Project Perception项目，核心是引入Guardian Agents——一种专门监视其他AI代理的"代理警察"。它的任务定义很直白：当企业内部的AI代理出现异常行为时，Guardian Agent负责监测、告警并实施遏制。微软押注的是一个统一安全栈（Unified Security Stack）的叙事：把身份、终端、数据、云和AI代理的行为数据收拢到同一套控制平面，让代理的可观测性成为新的防御地基。

这个押注的产业背景很清晰。AI代理正在获得真实的企业权限——读邮箱、动数据库、调API、执行交易。每一个代理本质上都是一个非人类内部员工，而企业原有的身份与访问管理体系是为人类设计的。代理可以7×24小时运行、可以被提示注入操纵、可以因模型幻觉做出不可预测的动作，传统的"入职审批+权限矩阵"管不住它们。

微软的算盘不难理解：代理经济的爆发会催生一个"代理身份治理"的全新市场，谁先把Guardian模式做成标准，谁就握住了下一代安全栈的入口。这与当年端点安全、云安全态势管理的卡位逻辑一脉相承。

但问题恰恰藏在模式本身。用代理去管代理，是在用不确定性对冲不确定性。

⚠️ 悖论与出路：防御范式必须换算法

多位安全研究者已经提出警告：用一个代理去监管另一个行为不可预测的代理，风险可能不是被遏制，而是被复制甚至放大。Guardian Agent自己也是一个拥有权限的代理——它误判怎么办？它被提示注入怎么办？它和被监管代理共谋（无论是有意还是模型层面的涌现行为）怎么办？监视链条每延长一层，攻击面就多一层。

这不是唱衰微软的技术判断，而是所有"AI治理AI"路线的共同结构性难题。把整个防御图景摊开看，各条路线的位置差异会非常直观：

真正的出路，可能不在"造更聪明的警察"，而在收缩每个代理的不确定性边界。攻击成本已经崩塌到12美元级别，防御侧 corresponding 的做法应该是：给每个AI代理最小权限、强制短时凭证、行为全程留痕、关键动作强制人工确认。让任何一个失控代理的爆炸半径被物理性地限制住——这比事后派一个更大的Agent去追捕它，便宜得多，也可靠得多。

安全圈私下流传的另一句话是：你无法防住所有攻击，但可以让攻击变得不划算。 AI把攻击的划算程度推到了历史最高点，防御方的反制也必须回到经济学层面——不是比谁的反应更快，而是比谁的爆炸半径更小。

`infographic

{"type":"iceberg","title":"AI攻击产业的冰山","above":[{"label":"显性攻击事件","desc":"105站点批量攻击、12美元全域名控制、Cairn滥用攻击潮"}],"below":[{"label":"开源权重模型","desc":"攻击能力商品化，本地部署免审查、无追责入口"},{\"label\":\"安全工具武器化\",\"desc\":\"渗透测试工具的自动化能力被攻击者反向集成\"},{\"label\":\"代理身份失控\",\"desc\":\"AI代理成为持有真实权限的非人类内部威胁\"},{\"label\":\"防御成本不对称\",\"desc\":\"攻击按token计费，防御仍按人力定价\"}]}\n`\n\n## 小结：当攻击变成概率游戏，防御要变成半径游戏\n\n三起素材指向同一个事实：AI攻击已经进入白菜价时代——105个站点一场战役、12美元一个域名、数百家网站一轮扫荡。而防御侧最激进的回应，是微软用Guardian Agents看住代理的尝试，但这条路径自带"用代理管代理"的结构性悖论。\n\n接下来的1-2年，行业分水岭会很清晰：继续堆检测能力的厂商，会陷入与自动化攻击的军备竞赛；而把重心放到权限收敛、代理身份治理和爆炸半径控制上的厂商，才真正回应了攻击经济学的变化。AI安全下一阶段的胜负手，不是更聪明的AI，而是更小的权限。\n\n（本文基于公开披露的攻击战役与厂商动作整理分析，不构成任何安全建议。）"}