過去幾週，資安公司 NorForge 首席威脅研究員 Snorre Fagerland 從旁看著一名使用中文的駭客，攻破 100 多家企業的網站，包括農機製造商 Deere、家電公司 SharkNinja 與引擎製造商 Cummins。然而，這名駭客幾乎沒有親自動手，而是把這波攻擊近乎全數交給 AI 代理（AI Agent），讓代理花上數小時自主探測、入侵目標網站。
這是《Reuters》美國時間 10 月 19 日的獨家報導，素材來自 NorForge 同日公布的研究報告。Fagerland 認為，這次發現是真實世界的證據，顯示市售 AI 代理能在沒有人介入的情況下，從頭到尾完成複雜的入侵，大幅放大單一攻擊者的能力。他說：「現在已經是一個新的世界。」AI 代理是怎麼完成這些入侵的？防守方又能從中看見什麼？
只下不到 100 字中文指令，AI 代理嘗試入侵逾 1,200 個網站
Fagerland 的發現，來自網路上意外外洩的 Cairn 控制面板。Cairn 是一套開源的 AI 問題解決平台，在駭客之間相當受歡迎；NorForge 指出，它的面板就是一般的網頁介面，用商用網路掃描平台就能辨識出來。
Cairn 作者（社群帳號 le1xia0）近期在 X 上表示，這個平台「是一種創新的多代理架構，並非為駭客攻擊而設計。若被用於實施有害的駭客攻擊，那並非我的本意」。
約從 10 月 2 日起，Fagerland 找到二十多個被用於惡意活動的 Cairn 面板，得以在一旁觀察攻擊者如何驅使 AI 工具。NorForge 的報告沒有點名受害者；受害企業的身分，是《Reuters》獨立審閱這名駭客的 Cairn 活動紀錄後確認的。
在這些攻擊者中，使用中文的這名駭客最為活躍。對方從 9 月 25 日起鎖定美國、加拿大、澳洲與日本的電商網站，下的指令十分簡短，只用不到 100 個中文字，概述自己偏好的入侵手法。據《Reuters》報導，截至 10 月中旬，其 AI 代理已嘗試入侵超過 1,200 個網站。NorForge 報告則顯示，這個中文組的 14 個面板上有超過 1,100 個攻擊專案，目的看來是取得電商與支付系統的長期存取權，以便日後變現。
受害企業方面，Deere 向《Reuters》表示，已在事件後採取「必要的補救措施」，且「沒有跡象顯示敏感資訊遭到存取」；SharkNinja 表示，受影響的是一個只放產品支援資訊的獨立網站，威脅已經控制住；Cummins 則表示，正在「調查有關我們一家第三方供應商所營運的網站可能遭受網路攻擊的通報」。另有兩家規模較小的企業承認遭到入侵。《Reuters》無法確定這些入侵造成多少資料遭未經授權取出。
一次成功入侵約需 23 小時：AI 代理怎麼找到突破口？
據《Reuters》報導，成功的入侵通常要花約 23 小時反覆試探、尋找漏洞；NorForge 的報告估計，平均成功率約 10%。
成本方面，Fagerland 估算，這波攻擊共耗費約 5,000 美元的 token，換算每次成功入侵約 50 美元。使用的工具方面，據《Reuters》描述，看來混用了中國的 DeepSeek 與 Anthropic 的 Claude Code；NorForge 報告則依執行程式名稱推測，可能是以 Claude Code 為執行框架、搭配 9 月發布的 DeepSeek 4.1 Flash 模型。報告另估算，若計入失敗、提早結束的專案，每個任務平均約 5 美元，但坦言誤差可能相當大。
在資安領域工作近 30 年的 Fagerland 表示，AI 代理的部分手法令他印象深刻。《Reuters》描述了其中一起案例：AI 代理在一家大企業的對外應用程式找不到弱點後，轉而翻查數位紀錄、找出相關基礎設施與一個對外公開的控制面板，發現其中的細微弱點；經過數小時反覆嘗試，代理回報已利用這個弱點，讓伺服器執行惡意指令。
「要想出這樣的解法並不容易。」Fagerland 說，「這不是『腳本小子』的把戲。」腳本小子指的是只會套用現成工具的新手駭客。
攻擊者也露了餡：外洩的面板反成防守方的觀察窗口
報告指出，這些外洩的面板不只暴露哪些網站正被測試弱點，也包含目標、漏洞與憑證等資訊。研究團隊在面板中找到數百組各類機密，從相對輕微到極為嚴重都有，其中 11% 經驗證仍然有效。報告作者也實際查看某個已完成任務留下的網址，確認上面確實放著可上傳檔案的網頁後門（webshell），攻擊者隨時可以把它換成更具破壞性的程式。
NorForge 在報告結論指出，AI 驅動的框架被用於惡意行為，早在這份研究之前就已確立；這次研究點出的另一件事是，攻擊者對這項技術同樣準備不足，許多人急於求成，忘了基本的資安防護。該公司目前正與《Reuters》合作通知受害者，也在設法讓託管商下架這些面板，但坦言未必做得到。
這也不是單一事件。資安公司 Gambit Security 9 月發布的報告指出，一名攻擊者使用 Strix 搜尋漏洞、Cairn 自主完成入侵、Hermes 協調整體行動，造成至少 27 家企業遭受不同程度的入侵，並從其中兩家竊取超過 60 萬筆信用卡紀錄；據攻擊者自己的成本紀錄，平均每次掃描約 25 美元。Gambit 也註明分析仍在初期，數字可能有誤差。
AI 代理介入的攻擊，台灣也已出現。數位發展部資通安全署 8 月公布，7 月即發現針對政府機關的異常攻擊，調查顯示具明顯境外來源特徵，並出現駭客操作結合 Open Claw 等 AI 代理輔助攻擊的混合模式。資安署指出，「AI Agent 可快速串聯多種攻擊手法，並利用備援、測試等次要系統作為跳板，使攻擊具備速度快、成本低及規模大的特性」；政府已建立防護指引，並強化系統監控與跨機關情資聯防。
Fagerland 表示，他原本以為駭客代理至少還需要一些監督，如今看來，這項技術顯然已經跨過那個階段。「這個領域的發展令人驚嘆。」他說。NorForge 則認為，這些外洩面板讓人看見自主與半自主代理如何解決真實世界的入侵任務，「這可以、也應該為我們未來的防禦提供參考」。
【推薦閱讀】
◆ 疑中國駭客用 8 個 AI Agent 攻擊台灣，入侵失敗還會自己找新招：資安防線如何跟上自主網攻速度？
＊本文開放合作夥伴轉載，資料來源：《Reuters》、NorForge、Gambit Security、數位發展部資通安全署，首圖來源：Unsplash
