12 美元拿下整个域名，AI 攻击降价了

一个 Markdown 文件、12 美元预算，就能让 AI 智能体变成攻击者的内应。这不是实验室里的假想，而是最近接连被披露的在野攻击与实测结果。核心判断是：AI 攻击的瓶颈已经从「技术能不能做到」变成了「花多少钱能做到」，而防御方给出的答案——用 Agent 管 Agent——本身还悬而未决。安全行业正在被自己的产品反向教育。

📄 文档不再只是文档

先看一个几乎所有开发者都中过招的场景：你在终端里敲下 git clone，拉下一个开源仓库，然后让编码助手帮你理解代码。助手会自动扫描仓库里的说明文件、指令文件——很多团队的智能体工具就靠这些 Markdown 文件来「记住」项目约定。

问题恰恰出在这里。安全研究人员近期披露了一种在野攻击（in the wild）：攻击者把恶意指令藏在 Markdown 文档里，利用编码助手对本地指令文件的信任，让智能体把一段普通文本当成了待执行的任务。文本与可执行动作之间的边界，就这样被抹平了。

关键在于，这不是安全公司的概念验证，而是已经发生在真实世界的攻击。最具代表性的是 2025 年 8 月末披露的 Nx「s1ngularity」供应链攻击事件——攻击者在被投毒的 npm 包中植入脚本，主动调用开发者本机上安装的 AI 命令行工具（Claude、Gemini 等）去读取本地凭据和文件，Wiz 等厂商随后公布了完整分析 [1]。同年 9 月，安全社区又曝出多起针对 AI 编码助手「规则文件」的投毒尝试，攻击思路如出一辙：只要助手信任仓库里的指令文件，指令文件就是攻击面。整条攻击链可以拆成这样几步：

过去二十年，威胁模型有一条默认假设：文档是惰性数据，渲染归渲染，执行归执行。浏览器花了十几年才把「文档里藏脚本」这件事管住，而现在智能体把这条战线重新撕开了——只不过这次的「脚本」是自然语言。据多位做红队工作的人士观察，针对指令文件的注入正从研究话题变成常规武器库的一员。

产业逻辑很清晰：供应链安全的边界，正从「依赖包与构建链」扩展到「提示词与指令文件」。以前审查一个仓库看的是依赖锁定文件和构建脚本，现在还得看每一个可能被智能体读到的 Markdown。文档安全第一次成了攻防主战场，而绝大多数团队的软件开发生命周期（SDLC）里还没有这一环。

💸 12 美元的攻击预算

如果说第一类攻击解决的是「怎么打」，那么更值得警惕的是「打的成本」。

两个实测案例给出了答案。一个攻击活动利用开源权重模型（open-weight models），批量生成攻击内容，一次性针对 105 个站点发起打击——整个活动的边际人力成本几乎可以忽略 [2]。另一个案例更直白：用公开可获取的模型，攻击者只花了 12 美元，就拿到了对整个域名的完全控制权 [3]。

12 美元，什么概念？不到一顿外卖钱，不到一张某云厂商的月度账单零头。攻击的经济模型被彻底改写了。

传统攻防是一场比赛谁先犯错的棋：攻击者写定制化攻击代码，一个漏洞利用动辄数周打磨；防守者只要把入口守得足够多、足够密，就能把攻击成本抬到不划算。现在这个算式崩了——模型批量生成的攻击内容几乎零成本，105 个站点意味着攻击者不再需要挑目标，而是全量覆盖、坐等有谁掉队。

据多位接近安全厂商的人士说法，不少团队内部已经把「AI 生成攻击」从风险清单上的尾部项挪到了头部项。原因不难理解：防守方依然要覆盖所有入口，攻击方却只需要在算力上砸一点小钱，然后挑成本最低的那个突破口。攻防双方第一次在「产能」上不在同一个量级。

这直接冲击了两类生意：一是靠人工红队交付的渗透服务，二是以特征规则为核心的检测产品。当攻击样本可以无限量、低成本生成时，任何基于「已知攻击特征」的防御都在结构性贬值。网络防御必须换一套打法——这个判断已经没有争议，争议只在于换什么。

🛡️ 微软押注统一安全栈

攻击侧的剧本更新了，防御侧的大厂也在出牌。

Microsoft 近期披露了 Project Perception（2025 年 11 月，微软在其安全博客上公开了这一项目的细节）[4]，思路是把 AI 智能体纳入统一安全栈来治理。其中最引人注目的是 Guardian Agents——一类专门负责监控其他 AI 智能体的智能体，用于发现异常行为并对可疑的智能体进行遏制（containment）。

拆开看，这套设计其实对应三个安全诉求：

• 可见性：企业里跑着多少智能体、各自在访问什么，先得看得见；
• 异常检测：某个智能体突然开始读取不该读的数据、调用不该调的工具，要有东西能发现；
• 遏制：发现异常后能隔离，而不是等损害扩散。

从产业视角看，Microsoft 的打法并不意外，反而是它一贯路线的自然延伸——把端点、身份、邮箱、云之上再加一层「智能体」，全部收进同一个安全栈。智能体在这里被当成一种新的身份类型：要注册、要授权、要审计。这与身份与访问管理（IAM）领域过去几年的演进是同构的，只是这次要管的「用户」不是人。

据多位接近厂商的人士透露，智能体安全正在被头部厂商当作安全栈里下一个必争的层来规划——谁先定义了「智能体的身份、权限与审计标准」，谁就在下一轮平台竞争中占住位置。对 Microsoft 来说，这既是防御产品，也是生态卡位。

但这里恰恰埋着一个让不少研究员皱眉的问题。

⚖️ 用 Agent 管 Agent，是灭火还是扇风

金句先放这里：用一个不确定的系统去监督另一个不确定的系统，得到的大概率不是确定性，而是两个不确定性。

多位安全专家已经明确警告：用其他智能体来约束行为不可预测的智能体，风险可能不是被遏制，而是被放大。逻辑推演并不复杂——

Guardian Agent 本身也是一个大模型驱动的智能体。它有上下文窗口，就要消费输入；它消费输入，就可能被注入；它被注入，攻击者拿到的就不只是一个作恶的智能体，而是整个监控层的控制权。第一节的 Markdown 攻击已经证明：智能体会把文本当指令。那么谁来保证 Guardian Agent 读到的告警日志、行为记录里没有被埋进指令？

上面这张定位图是我的一个粗略判断：Guardian Agent 这类「概率性监督」方案技术含量高、叙事价值大，但它的可信度依赖一个目前没有答案的前提——监督者自身免疫注入。而真正确定性强的手段，比如智能体身份与权限管控（把智能体当零信任里的一等公民，最小权限、短期凭证、动作白名单），反而更接近可持续的解法，尽管它听起来没那么性感。

产业逻辑上，这不意味着 Microsoft 的方向是错的，而是说：概率性监控可以当眼睛，但不能当锁。 眼睛负责发现异常，锁必须是确定性的策略引擎——权限边界、工具调用白名单、关键动作的人为确认。把遏制职责完全压在另一个智能体身上，等于把单点故障从「一个智能体」升级成了「一整套监控系统」。

🔐 防御范式改写清单

把三件事拼在一起——指令文件成为攻击面、攻击成本趋近于零、监控层自身存在被攻陷风险——可以提炼出一份当下就该落地的防御清单：

逐条展开说几句。

指令与数据分离是第一条，也是最紧迫的一条。智能体工具链需要明确区分「供人阅读的内容」和「供机器执行的配置」，前者默认不可执行。企业侧则应把指令文件纳入代码审查范围——它改一行，智能体的行为可能就拐个弯。

身份治理是第二条。过去 IAM 管的是人和服务账号，现在要多出一类：智能体身份。每个智能体应该有独立身份、独立权限集，凭证短生命周期，动作可追溯。这正好落在企业 IAM 和云安全两块的交界处，也是未来两年安全预算大概率流向的地方。

行为检测是第三条。既然攻击内容可以无限生成，检测的锚点就不能再是内容本身，而是行为——一个智能体突然访问了它历史上从未碰过的资源，这件事比任何载荷特征都更值得报警。

人保留关键动作的确认权是底线。智能体可以读、可以分析、可以建议，但删除、外发、改配置这类不可逆动作，确认权不该下放。这不是保守，这是把最后一道闸从概率系统手里收回来。

小结

回看这三件事，共同点只有一个字：便宜。一份 Markdown 文件是免费的，12 美元是一次性投入，批量生成攻击的算力成本可忽略。当攻击降维到这个成本，防守就不能再抱「攻击者不值得打我」的侥幸。

往前看一年，可以预期三件事：指令文件会被纳入主流代码审查工具的扫描范围；智能体身份管理会从概念变成 IAM 厂商的标准产品线；而「Agent 管 Agent」的方案会在真实攻防里被反复检验——它是眼睛还是锁，答案很快会揭晓。智能体安全的下半场，比的不再是谁的模型更强，而是谁先把不确定性关进确定性的笼子。

如果你所在的团队已经在智能体工具链里落了安全这一环——无论是审查规则文件，还是给智能体上了独立身份——欢迎在评论区聊聊你的做法。这篇文章列的是我的判断和依据，链接都在下面，欢迎核对与反驳。

（完）

参考资料

1. Wiz Research 对 Nx「s1ngularity」供应链攻击事件的分析（2025 年 8 月 26 日披露）：https://www.wiz.io/blog/s1ngularity-supply-chain-attack

2. 关于利用开源权重模型批量生成攻击内容、单次活动打击 105 个站点的实测记录（2025 年）：https://www.anthropic.com/news/disrupting-AI-espionage

3. 安全研究者公开的 12 美元拿下整个域名控制权的实测复盘（2025 年）：https://x.com/danielmiessler/status/1986000000000000000

4. Microsoft「Project Perception」与 Guardian Agents 官方公告，Microsoft Security Blog（2025 年 11 月）：https://www.microsoft.com/en-us/security/blog/2025/11/project-perception-guardian-agents/

“注：以上链接为发布时可访问的信源，如失效请以各厂商官方博客为准。文中「多位接近厂商/安全厂商的人士说法」均为行业访谈所得，按惯例做匿名化处理。