补丁拖一年，勒索团伙就守一年

防守方最怕的不是 0day，而是那扇你早就知道、却一直没关的门。

最近三起事件拼在一起看，结论有点扎心：Warlock 勒索软件用一年前的 ToolShell 漏洞链，如今还在打入水务、电信和政府；荷兰漏洞披露机构 DIVD 自己被一场 Agentic AI 驱动的攻击打穿，用的还是 Zammad 的 0day；连 Discord 上专门做反欺诈的安全机器人 Double Counter，也被攻击者抄了老窝，拖走约 12GB 数据库。三条线索指向同一个产业事实——攻击者的最优策略，从来不是最先进的技术，而是最软的信任链。本文拆开这三起事件，看看门到底是怎么被踹开的。

🚪 一年前的老门，攻击者守了一年

金句开场：漏洞的保质期，不取决于披露日期，而取决于最后一块补丁落地的时间。

先把事实摆清楚。据 Symantec 的追踪，Warlock 勒索软件至今仍在利用未修补的 SharePoint 漏洞入侵目标，受害者覆盖全球范围内的水务公司、电信运营商、政府机构和大学。这套利用链并不新鲜——2025 年年中，一组被统称为 ToolShell 的 SharePoint 0day 曾刷屏安全圈，当时的判断是'补丁已出，风波将平'。

一年多过去了，风波没平，门还开着。

这事听起来反常识：一个曝光超过一年、有官方补丁的漏洞链，凭什么还能打到关键基础设施？但站在攻击者的视角，逻辑非常干净——关键基础设施行业的补丁节奏，天然慢于通用 IT。水务系统要过工控兼容性验证，政府系统要走变更审批，大学里更有大量'谁都不知道归谁管'的老旧系统。攻击者不需要新武器，只需要比防守方的补丁窗口快一步，而且是持续快。

把整条链路画出来，你就明白为什么'守株待兔'在攻击侧是成立的：

产业判断只有一句话：漏洞披露日不是风险终点，补丁覆盖拐点才是。 对关键基础设施运营者来说，暴露资产盘点和补丁债台账，应该比任何新买的检测产品优先级都高。一位做过能源行业应急响应的朋友私下说过一句话，在圈子里流传很广：'客户花钱买的是检测能力，但出事的永远是没修的那台测试机。'

⚠️ 反诈骗机器人，被抄了老窝

金句开场：安全工具一旦拿到信任，它本身就是攻击面。

第二起事件的主角更讽刺。Discord 生态里有个叫 Double Counter 的安全机器人，功能是反欺诈、反小号，服务着数百万用户账号的信任。运营方 Tellter SAS 的事件报告披露：攻击者获取了云凭据，劫持了机器人本体，复制了约 12GB 的数据库内容，还滥用了另一个独立支付账户——而且攻击者在系统内持续活跃了一段时间才被发现。

拆一下这个案子的要害。机器人不是普通应用，它在 Discord 社群里天然携带'权威光环'：管理员信任它，用户默认它的消息可信。一旦机器人被劫持，攻击者拿到的不仅是数据库，还有一个可以冒充官方发消息的'合法话筒'。攻击路径大致是这样的：

这符合供应链攻击的经典模式：不打最硬的城堡，打运粮的路。安全机器人、客服系统、SSO 服务商、CI/CD 插件——这些'被所有环节信任'的中间件，正成为攻击者眼里的高性价比目标。业界的私下共识是：第三方 SaaS 和机器人生态的凭据治理，普遍落后于它们实际承担的信任权重。

给防守方的启示也很具体：凡是掌握大量用户数据或权威通信能力的第三方组件，都应按核心资产对待——凭据轮换、最小权限、异常行为告警、支付与数据访问的分离审计，一个都不能少。

🤖 当攻击开始由 AI 代理执行

金句开场：AI 攻击的可怕之处不在更聪明，而在更便宜。

第三起事件，可能是三个里最具前瞻性的。荷兰漏洞披露机构 DIVD——一家以协调漏洞披露为业的组织——披露自己遭遇了一场'Agentic AI 驱动的攻击'，攻击者利用 Zammad 的两个 0day 发起入侵。

几个细节值得展开。第一，受害方是 DIVD 这种'最懂漏洞的组织'，说明攻击者的目标选择不再是'越强越安全'的逻辑，而是看中其平台、数据和信任背书的价值。第二，攻击工具是 Zammad 的 0day——一个开源工单系统。这传递出两个信号：开源服务端组件的 0day 交易与利用正在下沉到更广泛的软件品类；攻击者开始盯'中间层'基础设施，而不仅仅是终端和门户。第三，也是最重要的：攻击被明确标记为 Agentic AI 驱动。

Agentic AI 攻击意味着什么？简单说，侦察、漏洞验证、横移尝试这些原本需要人手操作、按小时计费的环节，可以被自动化代理以'按分钟'的成本持续执行。攻击经济学被改写了：以前打一个目标要算投入产出比，现在可以低成本地把整张目标清单过一遍。

把当前攻击面的'技术门槛—商业价值'分布摆出来，你会看清攻防双方的注意力在往哪里走：

右上象限之外，真正的危险区是左上——'高价值软目标'：未修补的老系统、被广泛信任的第三方机器人、滥用凭据即可进出的云服务。这三起事件，全部落在这个区域。

产业判断：AI 不是让攻击变强了，而是让'坚持'变便宜了。 防守方过去靠'攻击者懒得盯我'获得的隐性安全，正在快速贬值。

🧩 三条线索，一个共识

金句开场：三起事件，三种入口，但门都是防守方自己留的。

把三个案子并排放，规律会自己浮出来：

一条是'不补'，一条是'新武器'，一条是'信任错配'——但它们共享同一个防守教训：风险不在你看得见的前门，而在你默认安全的侧门。

对应的解法，其实没有一条需要黑科技：

多说一句 AI 攻击的节奏问题。圈内私下有个说法流传甚广：'以前红队写报告要一个月，现在攻击者验证一个目标只要一个下午。'这不意味着防守方要恐慌性采购 AI 安全产品，而是意味着——所有依赖'攻击有成本、对方不会长期盯你'的假设，都需要重新估值。补丁窗口、凭据生命周期、第三方信任范围，这三个数字会决定未来两年大部分事件的走向。

小结

一年前的 ToolShell 还在开门，安全机器人 Double Counter 自己成了突破口，DIVD 则提前演示了 Agentic AI 攻击的形态。三件事放在一起，结论朴素但扎心：攻击者淘汰武器库的速度，远慢于防守方修补债的速度。2026 年的攻防分水岭，不会出现在谁买了更贵的检测平台，而在于谁的补丁拐点来得更早、谁的信任链治理更严、谁先按'会被 AI 持续探测'重建了防守假设。门一直都在，区别只在谁先去关。