网络安全观察日报｜智能体参战

一、开篇暴击：今日最荒诞的一幕

今天最魔幻的新闻：勒索软件组织 Gentlemen 把 MCP——就是那个被全行业吹成「AI 时代 USB 接口」的协议——当成了 C2 通信信道。

你没看错。安全厂商们花了一年时间教大家怎么用 MCP 给大模型接工具，结果勒索团伙先学会了怎么用 MCP 给恶意软件接指挥链。同一个协议，一边是 PPT 里的「智能体未来」，一边是实战中的加密外呼通道。

这事的讽刺在于：MCP 之所以好用，恰恰因为它标准化、低门槛、流量长得像正常 AI 业务。攻击者不需要发明任何新技术，只需要搭你们铺好的路。安全行业的惯例又一次应验——你造什么轮子，黑产就开什么车。

二、最被高估的事：Google 自吹自擂的「500 个漏洞」

Google 宣布其 PageBreak AI Agent 在自家 Web 应用里找到了 500 个漏洞，媒体一窝蜂转载，仿佛 AI 自动挖洞的乌托邦明天就到。

冷静一下。500 这个数字本身就是营销话术。没有严重性分布、没有可利用性说明、没有与人工团队的对比基线，一个「自家 AI 检自家应用」的闭环故事——既当运动员又当裁判，成绩单自己开。500 个里有多少是低危的配置噪音？有多少是扫描器早就覆盖的常规项？通通不告诉你。

更值得玩味的是时机：同一周里，GitHub Copilot CLI 被曝出加密提示注入漏洞，攻击者能用它偷走开发者的密钥；Anthropic 刚把 Claude 的高级网络攻击能力向「经过验证的红队」降低限制开放；韩国金融圈刚被一个用 Agentic AI 干活的黑客连锅端。AI 防御的成绩单还没审计，AI 攻击的战报已经满天飞。

「AI 找到 500 个漏洞」的正确读法是：Google 需要一个数字来证明自家 Agent 值得卖。至于这 500 个漏洞背后是防住了 500 次攻击还是带来了 500 行报告——那不重要，重要的是发布会。

三、最被忽视的事：三个小国域名，撬动整个信任链

今天没人讨论、但杀伤半径最大的新闻：攻击者劫持了 .gh（加纳）、.sl（塞拉利昂）、.as（美属萨摩亚）三个国家/地区顶级域名的基础设施，进而为攻击者控制的域名签发了「合法」SSL 证书。

大家的目光全在 AI 上，可这件事直击互联网信任的根。TLS 证书的整个安全模型建立在「证书颁发机构会验证你控制域名」这个前提上。而当一个 ccTLD 的注册局、whois 或者域名状态机被人动了手脚，验证环节就成了摆设——攻击者拿到的是浏览器绿锁背书的证书，你的 HSTS、你的证书透明度监控、你的零信任架构，全都看着一张「真护照」放行。

这类攻击的可怕之处在于:它不针对某个公司，而是针对「所有公司都会信的东西」。SolarWinds 式供应链思维打到了 PKI 层。讽刺的是，各家安全团队红蓝对抗演练了无数次的场景里，几乎没有「国家域名被劫持」这一项。建议今天就把证书透明度日志监控调到最严格档位——这不是演习。

四、最值得警惕的事：智能体攻击链已经闭环

把今天的新闻竖着看，你会看到一条完整的「AI 原生攻击链」，每一环都有实锤：

入口：Copilot CLI 的加密提示注入，开发者终端直接沦陷；Tensorlake 包被劫持传播 Shai-Hulud 供应链恶意软件，npm 生态继续流血。

横移：GitHub Actions 被滥用窃取 SSH 私钥、云凭证和访问令牌——CI/CD 就是新的内网跳板。

落点：AgentCorruption 证明一条提示词就能把整个 AWS 环境置于风险之中；韩国金融攻击者用 Agentic AI 完成多目标入侵——AI 不是辅助工具，是攻击主体。

再看防守侧的窟窿：Veeam 备份组件低权限用户可 RCE（备份软件，勒索软件的头号猎物）、Splunk 未认证 OS 命令执行、Citrix NetScaler 被打出反弹 shell、Fortinet 防火墙和 VPN 被 FBI 通报凭证窃窃活动、VMware 客户机逃逸 PoC 公开、LMCache 干脆连补丁都没发，PoC 已经满地跑。

这条链的恐怖之处在于：企业的 AI 采用速度远快于 AI 治理速度。你们给 Agent 接了 MCP、给了云凭证、给了代码库权限，然后祈祷它不会被人喂一句恶意提示。祈祷不是安全策略。

五、数据说话

上面这条攻击链里，今天素材中有 7 起属于入口与凭证窃取环节，4 起是边界与虚拟化设备的关键漏洞，而 AI 原生手法（MCP C2、提示注入、Agentic 攻击）已从「研究课题」变成了「在野利用」。给防守方的三句话：第一，把 AI Agent 当成拥有生产凭证的初级员工来管，权限最小化、操作可审计；第二，边界设备（Veeam、NetScaler、Fortinet、Splunk）的补丁今天就打，这些是勒索软件的标配敲门砖；第三，监控你的证书透明度日志——信任链最底层的洞，永远最疼。

AI 攻防同一天开打，双方用的还是同一批协议。唯一确定的是：2026 年的攻防主战场，就在你们正在部署的那台智能体上。