AI 渗透工具，落进了黑客手里

同一类 AI 能力，正在攻防两端同时兑现。攻击者拿开源渗透 Agent 批量扫站，谷歌用自研 Agent 挖出 500 个漏洞，而承载这些 Agent 的开源平台自己先爆了两个未认证 RCE。这不是巧合，是 AI 安全从 PPT 叙事变成资产负债表真实项的信号。三条线索放在一起看，才能看清这场攻防成本曲线的重排。

🔓 渗透工具，落进了不该落的手里

安全行业流行一句话：每一把好用的矛，迟早会掉头。

最近发生的事情印证了这一点。据安全社区披露，一名使用中文的攻击者滥用 AI 渗透测试工具 Cairn，对全球网站发起了一轮大规模自动化攻击，受影响站点数以百计。更扎眼的是受害名单里的大鱼——农业机械巨头 John Deere、小家电厂商 SharkNinja、发动机制造商 Cummins，这些平时安全投入不低的企业，也在这轮扫荡中失守。

这里的关键不是哪个站点被打了，而是攻击的组织方式。传统渗透测试依赖人的经验链：侦察、选点、构造 payload、验证利用，每一步都要人盯。而 Cairn 这类 AI 驱动的工具，把这条链压缩成一个循环——Agent 自己规划、自己尝试、自己调整。攻击者要做的，只是把工具对准目标列表，然后等待结果。

据多位接近事件调查的人士透露，这轮攻击并非针对某一漏洞的单点利用，而是典型的广域扫荡式作案：能捞一个是一个，捞到 John Deere 这样的名字算超额收益。

产业逻辑随之改变。过去渗透能力是稀缺资源，掌握在红队、APT 团队和少数犯罪团伙手里；当 AI 把「怎么打」的知识封装进工具，低能力攻击者的天花板被硬生生抬高了。防御侧面对的不再是「会不会有人打我」，而是「有多少人在同时打我」。

🤖 谷歌用同一类东西挖出 500 个洞

矛有多快，盾就得有多快。

几乎在同一时间窗口，Google 公布了自家 AI Agent PageBreak 的战绩：在谷歌的 Web 应用中找出了 500 个安全缺陷。和市面上大量「AI 告警制造机」不同，PageBreak 的方法论值得细看——它不是让大模型自由发挥式地猜漏洞，而是引入确定性验证（deterministic validation）来确认缺陷是否真实可利用，并给出风险评估。

这一步很要命。AI 在漏洞挖掘领域的老问题是幻觉率高：模型会言之凿凿地报出一个根本打不出来的「漏洞」，安全团队花三天验证，结论是白干。产出越多，信任越低。谷歌的做法等于给 AI 的判断加了一道可复现的验证关卡：只有能被确定性证明可利用的发现，才进入交付环节。

把两组数字并排看更有意思：攻击侧，Cairn 被滥用横扫数百站点；防御侧，PageBreak 批量产出 500 个漏洞。同一个技术范式，两条兑现路径。

产业判断在这里浮出水面：AI 安全工具的竞争焦点，正在从「模型多聪明」转移到「验证链条多扎实」。谁能让 AI 的产出可复现、可审计、可直接进工单，谁就能把 AI 从玩具变成产能。这也是为什么大厂选择自建 Agent 而不是简单采购——验证能力本身就是核心资产。

⚠️ AI 平台自己先塌了

造 AI 的人，往往最后一个给 AI 上锁。

第三条线索最讽刺。IBM 披露了其旗下开源项目 Langflow 的 25 个漏洞，影响 1.0.0 至 1.12.2 版本，其中两个是允许未认证远程代码执行的严重级别漏洞。安全公告的建议是升级到 1.12.3，并且——注意——没有提供任何缓解措施（workaround）。

Langflow 是什么？它是一个用可视化方式构建 AI Agent 和工作流的开源平台，支持用 Python 做深度定制。换句话说，它是企业搭建 AI 自动化的「乐高底座」，里面跑的常常是接了内部系统权限、接了大模型 API、能执行任意 Python 代码的 Agent。

把这三个要素连起来：一个能执行代码的编排平台 + 一个未认证 RCE + 企业内网部署，攻击面画像已经齐了。这和当年 Confluence、VPN 边界设备被勒索团伙批量打穿的历史剧本，结构上一模一样——只是这一次，入口处挂的牌子换成了「AI 平台」。

没有 workaround 意味着什么？意味着防御方没有缓冲带：要么立刻升级，要么假设已经被打穿开始排查。对于内网里散落着多个 Langflow 实例、版本参差不齐的企业，这是一个不小的运维考验。

📊 攻防同一把刀：产业逻辑正在重排

安全产业最不缺叙事，最缺的是能兑现的资产负债表。

把三条线索放进一个坐标系里，格局会很清楚：横轴看智能化程度，纵轴看实际落地价值。传统漏扫器智能化和产出都有限，处于跟随区间；人工红队价值高但难以规模化；被滥用的 Cairn 类工具证明了 AI 渗透的攻击价值；PageBreak 则站在了智能化与落地价值双高的位置——因为它有确定性验证兜底。

三个推论值得展开。

第一，「卖铲人」变成了「双向铲子」。安全厂商引以为傲的渗透能力、漏洞知识，一旦被封装成开源 Agent，就可能直接为攻击者所用。开源安全工具的发布者需要开始像发布武器一样做发布评估——这不是夸张，Cairn 事件已经给出了实例。

第二，AI 基础设施正在成为新的高危攻击面。Langflow 的两个未认证 RCE 提醒所有做 AI 落地的团队：编排平台的威胁模型，应该按边界设备甚至按「可执行代码的 Web 服务」来建模，而不是按「内部工具」降级处理。

第三，防御侧的规模化窗口正在打开。PageBreak 的 500 个漏洞证明，配好验证链的 AI Agent 可以在大厂内部形成真实产能。这个能力未来大概率会产品化，成为安全厂商的新战场——比拼的不再是模型，而是漏洞验证与风险评估的工程化程度。

一个私下流传的说法是：接下来一年，买安全产品之前先问一句「你们的 AI 产出怎么验证」，能把一半 PPT 厂商问出局。

🛡️ 防御者现在该做的三件事

趋势看不看懂不重要，清单做没做才重要。

对一线安全团队，这三件事的优先级高于任何战略讨论。

第一，把 AI 工具和 AI 平台纳入暴露面清点。Cairn 被滥用说明安全工具可能反过来成为攻击跳板；Langflow 的未认证 RCE 说明编排平台就是边界资产。资产清单里没有它们，等于边界上留了没登记的门。

第二，把 Langflow 这类已知未修复 RCE 按最高优先级处理。没有 workaround 的严重漏洞，处置窗口只有「立刻升级」一个选项；已停止维护的实例应直接下线，而不是留在内网吃灰。

第三，如果要用 AI 做漏洞挖掘，先搭确定性验证再放量。验证链决定了 AI 产出是资产还是噪音，这一课谷歌已经替行业交了学费。

结语

三条线索，一个共同点：AI 安全不再需要被论证「是否值得投入」，它已经在攻防两端各自产出了真实数字——数百个失陷站点、500 个被挖出的漏洞、2 个没有缓冲带的严重 RCE。

对产业而言，接下来的分水岭不是谁先拥抱 AI，而是谁的验证链条跑得通。攻击者用不上确定性验证，所以他们先冲了一步；防御方只要补齐这一环，规模化防御的窗口就在眼前。而这扇窗的钥匙，可能就攥在每个团队升级 Langflow 到 1.12.3 的那双手里。