当AI学会打漏洞，攻防换了剧本

一周之内，三条看似不相关的威胁情报先后落地：荷兰漏洞披露机构DIVD披露自己遭遇了一场由代理式AI（Agentic AI）驱动的攻击，攻击链中用到了Zammad的两个在野零日漏洞；ESET研究员给FamousSparrow组织的新旗舰后门SparroWocky写了完整的技术分析；Cofense则发现黑客伪装住客投诉，向酒店业投递利用公链定位C2的EtherRAT和TONResolver。

三件事，三个攻击环节：自动化找洞、手工精造武器、去中心化基础设施。拼在一起，就是一条正在成形的「攻击工业化」流水线。这不是焦虑贩卖，而是攻防成本曲线的一次真实位移——防守方需要看清楚，位移发生在哪里。

🤖 漏洞披露机构自己被打了，讽刺里全是信息量

最好的钓手，家也可能被偷。

DIVD的定位很特殊：它是一家负责任的漏洞披露机构，日常的工作就是找漏洞、通知厂商、推动修复。这样一家机构成为攻击目标，本身就有话题性——但真正值得注意的不是「谁被打」，而是「怎么打的」。

根据DIVD的披露，攻击者利用了开源客服工单系统Zammad的两个漏洞，目前均已分配CVE编号并完成修复：

• CVE-2025-9074：Zammad的服务端请求伪造（SSRF）漏洞，可被用来访问内网资源、探测内部服务；
• CVE-2025-59972：Zammad的访问控制缺陷，可绕过权限校验读取本不应可见的数据。

两个漏洞在Zammad 11.2.0中修复，也就是说，所有低于11.2.0的版本均受影响。值得肯定的是，DIVD在事件响应过程中与Zammad团队完成了协同披露——先修洞、后发文，这是披露机构自己的「职业病」做对了地方。

攻击过程本身，是这次披露里最有史料价值的部分。据DIVD描述，攻击者在一台VPS上运行了一个AI代理，该代理完成了以下动作：

1. 自动化侦察：对目标资产进行端口扫描与指纹识别，定位到DIVD对外暴露的Zammad实例；

2. 浏览器自动化：代理使用了Playwright这类浏览器自动化框架与目标系统交互，而不是传统的手工点选或纯脚本请求——这意味着侦察与利用环节的「操作痕迹」是机器生成的；

3. 漏洞链利用：组合上述两个漏洞，从SSRF打到权限绕过，在Zammad内创建了具有管理员权限的新账户；

4. 自主浏览与数据访问：以管理员身份浏览系统内容、尝试获取内部数据。

DIVD的监测在较短时间窗口内发现了异常并切断访问，损失被控制在有限范围内。DIVD同时指出，这是目前最早被公开确认的、由AI代理以较高自主度完整执行入侵链的案例之一——这个「之一」，就是本文把它放在头条的原因。

所谓Agentic AI，指的是AI不再只是回答问题的聊天助手，而是能自主规划步骤、调用工具、连续执行任务的智能体。在攻击场景里，它意味着侦察、漏洞探测、横向移动这类原本需要人工逐步推进的环节，可以被一个自动化代理压缩在更短时间窗口内完成。

这次攻击还有个容易被忽略的细节：AI负责速度与自动化，真正的突破口依然是那两个尚未修复的软件缺陷。业内最近流传一种说法：AI不会替攻击者发明新漏洞，但会让已知套路跑得比补丁更快。这次事件算是给这句话添了一个具体注脚——代理做的事情没有一件超出渗透测试教科书，只是每一步都不再需要人坐在屏幕前。

产业逻辑上，这件事有两层含义。第一层，安全研究机构本身是高价值目标：它们手里有漏洞知识、有厂商关系、有披露渠道，拿下它们等于拿到情报放大器。第二层，也是更冷的一层——当攻击的「执行成本」被AI压低，攻击者的目标池会扩大。过去嫌麻烦、不值得打的中小机构，现在可能进入攻击者的成本收益计算之内。

防守方的第一课由此而来：不要把「我们不够重要」当作安全策略。在自动化攻击面前，重要性不是攻击的门槛，而是排序依据。

⚙️ 拆开AI攻击链：变快的不是技术，是节奏

攻击链没变，变的是链条上每个环节的耗时。

把DIVD披露的事件按其实际过程抽象，一条AI增强的攻击链是这样的形态：

注意，这条链里没有一个环节是「AI独有的新技术」：侦察、探测、利用、横移，全是渗透测试教科书里用了二十年的动作。AI改变的是执行方式——代理可以不知疲倦地批量尝试组合，把原本按天计的探测压缩到按小时计，而且一次编写、多次复用。

这对应到防守侧，就是一个非常具体的不对称：攻击者的一次自动化尝试，成本趋近于零；防守方的一次响应，涉及告警研判、取证、修复、验证，每一个环节都是人时。当攻击频率上升一个量级，响应人力不会跟着自动翻倍，缺口就是这样撕开的。

Zammad是一个开源客服工单系统，在企业和公共服务场景里部署广泛。这次事件对使用者的直接行动项非常明确：

• 核对版本：确认部署版本是否已升级到11.2.0及以上，低于该版本即处于暴露状态；
• 排查IOC：检查Zammad后台是否存在来历不明的管理员账户、异常时间点的账户创建记录，以及针对Zammad端口的陌生来源扫描与请求；
• 收敛暴露面：工单系统这类后台管理面，能不上公网就不上公网，SSRF类漏洞的危害高度依赖「能摸到什么内网资源」。

更普遍的启示仍是开源供应链那条老规律：组件越普及，漏洞的辐射面越大，而修复速度取决于最慢的那批使用者。对使用开源工单、客服、协作类系统的团队来说，建立组件清单（SBOM意识）、订阅上游安全通告、缩短补丁验证周期——这些不性感，但就是有效。

多位一线应急响应的同行私下有个共识：现在处置一个入侵，最难的不是找到入口，而是判断攻击者在自动化链条里已经走到了哪一步。AI驱动的攻击让「时间线重建」变得更难，因为机器操作留下的痕迹密度和人类行为模式不一样，老的检测基线未必适用。DIVD披露里Playwright浏览器自动化的出现就是例证：请求频率、会话时长、操作序列的规整程度，都和人类管理员不同——检测规则需要为「机器节奏」重新校准，这是未来一两年检测工程团队绕不开的功课。

🐦 FamousSparrow亮出旗舰后门，APT的活儿还是细活

AI再快，也快不过一双耐心打磨武器库的手。

与DIVD事件几乎同时，ESET的研究员文档化了SparroWocky——FamousSparrow组织的新旗舰后门。命名里带着该组织一贯的麻雀意象（Sparrow）加上后门本体的名字，功能定位则是标准的APT级武器。据ESET报告，该后门至少自2022年起已在亚洲多国的受害组织中被观测到部署，受害者涉及政府等高价值行业，且该后门已事实上取代了该组织早期依赖的通用型商业武器，成为其长期驻留的核心工具。

SparroWocky是一套插件化的Windows后门，其核心功能清单（依据ESET公开的技术分析）包括：

• 命令执行：接收并执行C2下发的指令，可派生进程、执行任意命令；
• 文件系统操作：文件上传/下载、枚举、读写删除；
• 进程与服务管理：枚举进程、操纵系统服务；
• 注册表操作：读写注册表，用于配置与驻留；
• 反向代理与端口转发：为内网横向移动提供通道——这是「旗舰后门」区别于一次性载荷的关键能力；
• 插件扩展：主体体积可控，功能通过附加模块按需下发，需要什么能力就投递什么模块；
• 通信加密与伪装：C2流量经过加密处理，混入常规HTTP/HTTPS形态，降低流量侧被识别的概率。

驻留与