AI自己动手打零日，攻防换天了

一周之内，三件事接连落地：一家专挖漏洞的荷兰机构被「AI代理」用两个零日打穿；ESET 拆解出 APT 组织 FamousSparrow 的新旗舰后门；Google 联手行业伙伴端掉了 130 万台电视盒子组成的僵尸网络。三件事看似不相干，背后是同一条曲线——攻击的自动化、工程化、规模化同时提速。防守方真正要焦虑的不是某一个漏洞，而是对手的生产方式变了。

🤖 当AI代理自己挑漏洞、打漏洞

最懂漏洞披露的机构，成了漏洞攻击的受害者。

荷兰漏洞披露研究所 DIVD 公开披露：在一次针对自身的攻击中，攻击方使用了代理化 AI（agentic AI），并配合工单系统 Zammad 的两个零日漏洞。这次攻击最具冲击力的地方在于身份的错位——DIVD 日常工作就是接收和分析全行业的漏洞报告，是欧洲漏洞生态里的关键情报枢纽。枢纽被打通，意味着攻击者眼中的目标价值排序，已经把「安全机构本身」放进了高优先级名单。

业内私下讨论的焦点不在漏洞本身，而在「agentic AI」这四个字。过去打零日，是一个熟练攻击者人工盯目标、试攻击面、写利用链的慢工细活；代理化 AI 把侦察、攻击面枚举、漏洞筛选、利用尝试压缩成一个可循环的自动化流水线。这不是实验室里的演示，也不是某篇 paper 里的推演，而是第一次公开确认的实战案例——AI 不再只是攻击者的辅助检索工具，而是链条上的执行者。

对防守方的含义非常直接：假设对手是人工操作的，你的响应窗口是「小时级」；假设对手是自动化代理，窗口就要压到「分钟级」。Zammad 作为开源客服与工单系统，广泛部署在企业和机构内网，恰恰是那种「不重要到上头条、但重要到能横穿内网」的资产。攻击者选它，本身就是一次对防守盲区的精准计算。

🕵️ APT的后门，开始讲究「旗舰款」

老牌组织每一次换枪，都值得整个行业盯三遍。

ESET 研究员本周公开了 SparroWocky——APT 组织 FamousSparrow 的新旗舰后门。命名带着研究圈的黑色幽默：Sparrow（麻雀）承接组织名，Wocky 补上一点戏谑。但「旗舰后门」这个定位词，透露的信息比名字多得多：它意味着该组织当前的主力植入体、长期投入迭代的核心工程成果，而不是一次性的战术工具。

逆向工程师的日常是拆样本、提 IOC、写报告，行业每年产出成千上万条指标。但真正值得防守方消化的，是「旗舰款」背后的组织形态：一个能维持旗舰后门持续迭代的 APT，必然有稳定的开发分工、版本管理和投递渠道——这已经是产品公司的运作方式。据多位长期跟踪东亚方向 APT 的研究人员私下交流，近两年头部组织的植入体普遍走向模块化：核心驻留做小，功能插件按需下发，样本层面制造大量噪声。

由此得出的产业判断是：检测重心必须从「抓文件指纹」转向「抓行为链路」。IOC 会随着版本迭代迅速失效，而后门的驻留逻辑、通信节奏、权限维持手法，才是跨版本稳定存在的东西。 SparroWocky 的价值，不在于多了一条 IOC 库记录，而在于它是一份对手工程能力进化的实物证据。

📺 130万个电视盒子，一条被人租走的宽带

最危险的供应链问题，往往藏在最便宜的硬件里。

Google 本周宣布，与行业伙伴联合瓦解了一个由超过 130 万台 Android 电视盒子组成的僵尸网络。这些设备出厂即预装恶意软件，秘密地把用户的互联网连接「租」给陌生人，同时实施广告欺诈。参与处置的专家评估：此次行动预计切断了该僵尸网络对另外 1000 万台以上受感染系统的控制，其中还包括其他物联网产品——安卓医疗设备和卡拉OK机都在名单上。

这个数字结构值得细看：130 万是「源头带毒」的出货设备，1000 万是它们作为跳板辐射的下游感染面。一颗被污染的种子，长成了一片森林。用户视角下，这些盒子一切正常，能看视频、能开机，唯一的变化是家里的宽带偶尔「变慢一点」——大量受害者甚至在 Google 公开之前都不知道自己的设备参与了犯罪基础设施。

产业逻辑在于：白牌安卓设备是当前僵尸网络最肥沃的温床。出厂镜像环节的污染，意味着没有任何一款终端杀毒软件能在事前介入；用户既没有感知，也没有追责渠道；而处置成本最终压在平台方和云厂商头上。这已经不是「终端安全」问题，而是「硬件供应链准入」问题——谁能把恶意固件塞进出厂镜像，谁就白拿了百万级节点。

⚖️ 三类玩家，三种生产方式

攻击这门「生意」，也在分层。

把本周三件事放到一张图上看，会发现威胁行为者已经分裂成三种截然不同的生产方式：AI 代理化攻击卖的是技术溢价和新奇度，APT 卖的是长期定向渗透，白牌设备僵尸网络卖的是纯粹规模。三种模式对应三种防守策略，用同一套防御框架去套，必然顾此失彼。

左上角的僵尸网络是典型的存量玩家：技术不新，但规模碾压一切，130 万台盒子证明了「数量本身就是武器」。右上的 APT 是高门槛领跑者，不追求广度，追求驻留时间和情报价值。而「代理化 AI 打零日」目前落在潜力股象限——影响规模还有限，但技术轨迹陡峭，随着代理框架成熟，它向右上角移动的速度，可能超过绝大多数防守团队的预算审批速度。

这里有一个容易被忽略的连接点：三类玩家在共享同一套基础设施。僵尸网络的代理节点可以被 APT 复用做跳板，AI 代理的自动化侦察工具会从高门槛阵营向低门槛阵营扩散。攻击生态的技术扩散方向永远是自上而下的，防守方看到的每一个「高级威胁新手法」，半年后就会出现在黑产的工具箱里。

🛡️ 防守端要改的三个默认值

真正的变化不在攻击侧，而在防守假设里。

三起事件分别击穿了防守体系的三个默认假设：默认对手是人工节奏、默认出厂设备是干净的、默认安全机构不会成为目标。按这三条修正，本周事件对企业的实操价值才算落地。

还有一层更冷峻的判断：AI 参与攻击的门槛，不会等技术 defenses 准备好才降低。代理化工具的迭代速度由开源社区和模型能力共同驱动，防守方唯一能控制的变量是自己的响应窗口和资产可见性。那些还在用年度渗透测试和季度补丁周期对抗自动化对手的组织，差距只会以肉眼可见的速度拉大。

小结：一周三件事，指向同一个结论——攻击侧完成了各自的「工业化升级」：AI 代理接管了执行，APT 完成了产品化迭代，僵尸网络靠供应链源头污染稳住了百万级底盘。2025 年之后的攻防对抗，比的不再是单点技术，而是生产方式的代差。下一个值得盯紧的信号：当代理化 AI 第一次被证实用于勒索软件的初始 access 环节时，整个行业的保险费率和响应 SLA 都将被迫重写。那一天不会太远。