2026年7月底Palo Alto Unit42 披露的一起真实网络攻击事件彻底打破了行业对AI网络攻击的固有认知。在此之前绝大多数安全从业者认为AI攻击停留在概念化、半自动化阶段需要攻击者全程介入辅助决策无法形成规模化、无人化的完整攻击闭环。但这起基于 DeepSeek 大模型 Hermes Agent 框架的攻击事件用真实攻击数据证明普通攻击者仅需一次初始指令下发就能实现全天候无人值守的规模化漏洞狩猎单轮攻击可自动遍历460公网暴露资产自主完成资产探测、漏洞匹配、POC下载、命令执行、结果复盘全流程。本次事件最核心的颠覆点不在于攻击破坏力有多强而是网络攻击的技术门槛被直接抹平。攻击者无需精通各类CVE漏洞原理、无需熟练编写渗透脚本、无需7×24小时值守操作依托开源大模型与AI智能体框架就能完成专业红队的批量渗透工作。本文将从底层原理、攻击架构、完整攻击链路、漏洞风险、检测手段、防御方案、落地配置等维度完整拆解这起新型AI Agent攻击事件同时提供可直接部署的检测脚本、监控规则和资产防护清单帮助企业安全团队直面AI自动化攻击的全新威胁。一、基于第一性原理拆解AI Agent攻击的底层逻辑所有网络攻击的底层本质只有一件事利用资产漏洞、权限缺陷、配置疏漏实现未授权访问与代码执行。传统人工渗透、工具自动化渗透、AI Agent渗透三者的攻击目标完全一致唯一的区别是「决策与执行的自动化程度」。传统渗透的核心瓶颈在「人」。安全人员的精力、漏洞储备、操作速度、持续值守能力决定了批量渗透的上限。一名成熟红队队员单日精细化测试的目标资产不会超过50个批量扫描利用也需要持续监控日志、调整参数、更换POC人力成本极高。早期自动化工具批量扫描器、EXP脚本的瓶颈在「固定逻辑」。这类工具只能按照预设代码执行操作无法自主判断目标环境、无法适配漏洞版本差异、无法自主迭代攻击策略遇到WAF拦截、版本不匹配、配置异常就会直接失效容错率极低。而本次 DeepSeek Hermes 攻击的核心突破是补齐了自动化攻击的「决策短板」。大模型承担人脑的推理、判断、决策工作Agent框架承担机械执行、工具调度、流程迭代的工作二者结合形成了自主决策全自动执行的无人值守攻击闭环。行业内长期存在一个误区认为大模型的安全对齐机制可以防范AI作恶。但从第一性原理来看模型对齐约束的是「模型本身的输出内容」而非「外部工具的执行权限」。只要Agent被赋予Shell执行、网络访问、文件下载、代码运行的权限大模型的安全护栏会完全失效。这也是本次攻击能够落地的核心根源安全厂商和企业一直聚焦管控AI模型本身却完全忽视了AI智能体的工具调用权限、执行链路、自动化流程管控。二、攻击主体与核心组件实战拆解本次攻击由匿名攻击者 knaithe/KnYuan 发起整套攻击体系完全基于开源组件搭建无任何私有定制工具意味着任何个人、黑灰产团队都可以零成本复刻这套攻击方案。整套架构由推理引擎、Agent编排框架、资产数据源、漏洞攻击库、C2控制通道五部分组成。2.1 推理引擎DeepSeek 大模型核心决策大脑攻击者测试了市面主流开源与闭源大模型最终选定DeepSeek作为核心推理模型。测试结果显示Claude、OpenAI系列模型会拒绝生成攻击代码、拒绝执行漏洞利用指令对齐机制严格通义千问、GLM、Kimi仅能完成基础的扫描命令生成无法完成复杂的漏洞匹配、POC筛选、异常复盘逻辑。DeepSeek 的适配优势非常明确对网络安全攻防场景的语义理解精度高能够精准解析CVE漏洞原理、适配不同系统版本的EXP脚本同时不会触发严格的安全拦截可完整支撑从资产识别到漏洞利用的全链路决策。在攻击链路中DeepSeek 承担所有核心思考工作判断目标资产的服务版本、匹配对应高危漏洞、筛选适配的POC脚本、修正执行命令、判断攻击结果、决策下一步迭代策略。2.2 执行编排层Hermes Agent无人值守核心Hermes 是一套开源AI智能体框架也是本次无人值守攻击的关键载体。它的核心作用是打通大模型与本地终端、网络接口的权限壁垒将大模型的文字决策转化为可落地的系统操作。其中最危险的配置是Yolo 极速执行模式。常规Agent框架执行高危操作会弹窗确认、人工审批、日志二次校验而Hermes的Yolo模式会跳过所有人机校验环节收到大模型的决策指令后直接执行Shell命令、下载网络文件、运行脚本代码全程零人工干预。同时框架内置成熟的红队自动化能力自动调用网络测绘接口、批量迭代目标IP、自动清理失效任务、失败目标自动跳过、成功结果自动留存完全适配规模化批量狩猎的攻击场景。2.3 控制与数据组件资产来源全部依托FOFA网络空间测绘平台通过接口批量抓取公网暴露的服务端口、系统版本、设备信息快速生成攻击目标清单本次攻击累计筛选460有效公网资产。控制通道采用Telegram攻击者仅需在平台下发一次全局攻击任务后续全程无需操作。Agent会自主运行、自主迭代、自主上报攻击结果真正实现“一次部署、全天狩猎”。三、攻击架构整体可视化Mermaid架构图为了清晰展示整套攻击的层级关系我整理了完整的技术架构图涵盖决策层、编排层、执行层、数据源层、控制层五大模块。单次指令下发攻击者Telegram C2控制端AI决策层 DeepSeek大模型Agent编排层 Hermes框架工具执行层Shell命令执行POC/EXP脚本下载运行网络端口探测系统版本读取数据源层FOFA网络测绘接口GitHub漏洞POC库目标资产集群Langflow AI平台n8n自动化平台Citrix NetScalerMarimo NotebookApache Tomcat结果反馈层攻击成败自主判断失败目标自动迭代成功权限留存四、完整无人值守攻击链路流程拆解整套攻击没有复杂的0day漏洞利用全部依托公开Nday漏洞实现胜在自动化、规模化、无人化。我将按照攻击者的真实执行顺序完整拆解每一步攻击动作同时纠正全网普遍存在的认知误区。4.1 初始任务下发唯一人工操作步骤攻击者在Telegram控制端输入全局任务指令内容包含调用FOFA抓取指定品类公网资产、匹配对应高危CVE漏洞、自动下载适配POC、批量执行漏洞利用、失败自动切换下一个目标、成功留存会话凭证。该步骤完成后攻击者全程退出流程无任何后续操作。4.2 资产批量采集与筛选Hermes Agent 主动调用FOFA接口按照预设资产特征批量抓取互联网暴露资产剔除无效IP、屏蔽重复目标最终生成460有效攻击目标列表同步推送至DeepSeek大模型进行智能分析。4.3 智能漏洞匹配与策略决策DeepSeek 根据每一个目标的服务版本、端口信息、系统特征自主匹配对应的高危漏洞判断漏洞利用难度、成功率为每个目标定制专属攻击策略。本次攻击主要依托8个高危CVE漏洞覆盖5类主流公网暴露资产也是目前AI Agent攻击的重点狩猎目标CVE-2026-33017Langflow AI低代码平台未授权RCE漏洞攻击者批量扫描84台在线实例因目标环境配置差异未实现有效利用CVE-2026-3055Citrix NetScaler内存越界读取漏洞可窃取系统核心认证Cookie本次攻击成功获取3套有效凭证CVE-2026-39987Marimo Notebook远程命令执行漏洞自主探测识别多台脆弱性实例Apache Tomcat 系列已知漏洞批量探测弱配置、路径遍历、未授权访问风险n8n 自动化工作流平台组合漏洞尝试未授权访问、代码注入利用4.4 全自动漏洞利用执行DeepSeek 完成策略决策后向Hermes Agent下发具体执行指令。Agent 自主访问GitHub漏洞库下载对应适配版本的POC脚本通过本地Shell终端执行渗透操作完成命令执行、文件读取、凭证窃取等攻击行为。4.5 攻击结果自主复盘迭代这是无人值守攻击最核心的能力。Agent 会自动读取命令执行回显由大模型判断攻击是否成功。针对补丁修复、WAF拦截、版本不匹配的失效目标直接跳过并迭代下一个IP针对攻击成功的目标自动留存Cookie、会话Shell、权限凭证持续维持访问权限。4.6 攻击事件曝光核心原因本次攻击并非被安全设备检测发现而是攻击者自身运维失误。Hermes Agent 意外将本地攻击工作目录暴露为公网文件服务器安全研究员直接抓取到完整的攻击日志、AI思考记录、Shell执行历史、目标IP清单、API密钥、POC脚本等核心数据相当于完整复刻了攻击者的全部攻击流程。五、攻击数据真实复盘与行业误区纠错目前全网多数解读存在数据失真、能力夸大的问题我结合Unit42官方报告做最真实的攻击效果复盘杜绝认知偏差。首先460仅代表AI Agent自动发起的攻击尝试总数并非全部攻陷成功。整套自动化链路受限于目标环境差异、安全防护设备、补丁配置无法做到百分百突破。其次本次攻击中3台Citrix NetScaler数据窃取、11台Marimo Notebook命令执行并非AI Agent自动完成。AI仅完成前期探测、漏洞匹配、初步利用最终的权限巩固、数据窃取均为攻击者后续人工介入操作。但这并不代表本次攻击威胁性低。它的核心价值是验证了低成本、规模化、无人化网络攻击的可行性。传统批量渗透需要安全人员持续值守数天而这套开源组合工具普通人一台服务器、一次指令就能完成同等规模的狩猎工作攻击成本呈断崖式下跌。同时本次攻击暴露了AI Agent的固有短板无法处理复杂异构环境、无法绕过高级WAF防护、无法自主定制修改POC脚本、无法应对非常规配置的业务系统。现阶段AI Agent攻击的核心场景就是批量狩猎公网暴露的、未修复漏洞、默认配置的薄弱资产针对性极强。六、AI Agent无人值守攻击完整流程图S[攻击启动] -- A[Telegram下发全局任务]A -- B[Hermes调用FOFA采集公网资产]B -- C[DeepSeek分析资产版本匹配漏洞]C -- D{漏洞匹配成功?}D – 否 -- E[自动跳过 迭代下一目标]D – 是 -- F[Agent下载对应POC脚本]F -- G[本地Shell执行漏洞利用]G -- H[采集执行回显 判定攻击结果]H -- I{攻击成功?}I – 否 -- EI – 是 -- J[留存权限凭证 记录目标信息]J -- K[持续遍历全部460目标]K -- L[无人值守持续运行 等待新任务]七、核心安全风险深度梳理对抗式审查视角跳出事件本身从对抗视角梳理这套攻击体系带来的是网络安全攻防范式的彻底改变衍生出三类全新的、传统防护体系无法应对的安全风险。7.1 权限优先级凌驾模型安全护栏所有企业目前的AI安全防护都聚焦于大模型内容审核、prompt风控、输出内容过滤。但本次攻击证明模型对齐机制完全无效。只要AI Agent被授予Shell执行、网络下载、文件读写、代码运行权限大模型可以无限制生成攻击指令外部工具权限会直接覆盖模型内部的安全约束。风险根源不是AI会主动作恶而是人为赋予的工具权限让AI拥有了落地攻击的能力。7.2 攻击范式从「人在回路」转为「人在监督」传统网络攻击人是核心执行主体每一次扫描、每一次漏洞利用都需要人工操作攻击规模和时间完全受人力限制。而新型AI攻击是典型的人在监督模式攻击者仅负责下发初始任务AI全权负责全流程执行人力成本几乎归零。未来黑灰产的攻击模式会彻底迭代不再需要大量脚本小子、渗透人员仅需少量人员维护AI Agent集群即可实现7×24小时全网不间断漏洞狩猎。7.3 攻防技术门槛彻底扁平化以往批量漏洞狩猎、规模化渗透需要从业者掌握漏洞原理、脚本编写、工具调试、日志分析等专业能力学习周期长达数年。而DeepSeekHermes的组合让零基础人员可以直接复刻专业红队的批量攻击能力。攻击者无需懂CVE原理、无需写代码、无需调试工具AI会自主完成所有技术环节黑灰产的入门门槛被彻底拉平未来全网自动化攻击频次会迎来爆发式增长。7.4 攻击行为无固定IOC传统防护完全失效传统攻防防护依赖特征库、固定IOC、攻击指纹进行拦截。但AI Agent的攻击行为是动态变化的大模型会根据目标环境自主调整命令、修改参数、更换POC、迭代策略没有固定的攻击特征。静态防火墙、WAF特征库、入侵检测系统无法精准识别动态AI自动化攻击这是目前企业防护最大的盲区。八、可直接部署的AI Agent攻击检测脚本完整源码针对本次AI Agent攻击的核心行为特征我编写了可直接部署的Python检测脚本可实时监控服务器、办公设备、网关设备的异常行为精准识别Hermes类Agent的自动化攻击行为适配Linux全系列系统。脚本核心检测维度批量GitHub POC下载行为、高频FOFA测绘接口访问、短时间大量版本探测Shell命令、异常Telegram出站连接、高频迭代式漏洞利用操作。#!/usr/bin/env python3# AI Agent无人值守攻击检测脚本# 检测维度Hermes自动化攻击特征、POC批量下载、网络测绘访问、异常Shell批量执行# 适配系统Linux CentOS/Ubuntu/Debian# 运行方式python3 ai_agent_detect.pyimportreimporttimeimportsubprocessfromdatetimeimportdatetime# 风险特征配置RISK_DOMAINS[github.com,fofa.info,fofa.com,telegram.org,telegram.me]RISK_CMD_KEYWORDS[curl http,wget http,python exp,poc.py,cve-2026,netscaler,langflow,n8n,marimo]# 告警阈值ACCESS_THRESHOLD10# 1分钟内访问风险域名超10次告警CMD_THRESHOLD15# 1分钟内高危命令超15次告警classAIAgentDetect:def__init__(self):self.domain_record{}self.cmd_record{}self.alert_statusFalse# 检测网络出站访问defcheck_network_flow(self):try:resultsubprocess.check_output([ss,-tulnp],encodingutf-8)fordomaininRISK_DOMAINS:countlen(re.findall(domain,result,re.IGNORECASE))ifdomainnotinself.domain_record:self.domain_record[domain]0self.domain_record[domain]countifcountACCESS_THRESHOLD:self.trigger_alert(f【高危】检测到{domain}高频访问疑似AI Agent资产测绘/POC下载行为)exceptExceptionase:pass# 检测系统高危命令执行defcheck_shell_cmd(self):try:resultsubprocess.check_output([history],encodingutf-8)total_risk_cmd0forkeywordinRISK_CMD_KEYWORDS:cmd_countlen(re.findall(keyword,result,re.IGNORECASE))total_risk_cmdcmd_countiftotal_risk_cmdCMD_THRESHOLD:self.trigger_alert(f【高危】检测到批量漏洞利用命令累计{total_risk_cmd}条疑似AI自动化渗透)exceptExceptionase:pass# 告警触发机制deftrigger_alert(self,msg):ifnotself.alert_status:self.alert_statusTruenowdatetime.strftime(datetime.now(),%Y-%m-%d %H:%M:%S)print(f[{now}] AI AGENT攻击风险告警{msg})# 可对接企业微信/钉钉告警此处预留接口# self.send_webhook(msg)# 重置统计defreset_record(self):self.domain_record{}self.cmd_record{}self.alert_statusFalse# 循环检测defrun(self):print(AI Agent无人值守攻击检测脚本运行中...)whileTrue:self.check_network_flow()self.check_shell_cmd()time.sleep(60)self.reset_record()if__name____main__:detectAIAgentDetect()detect.run()九、企业落地防御配置清单可直接复用结合本次攻击的全部特征我整理了一套从零到一的企业防御落地方案无技术门槛、可直接部署执行覆盖资产收敛、漏洞修复、权限管控、行为监控、AI安全管控五大维度。9.1 公网资产收敛与漏洞修复最高优先级AI Agent攻击的首要目标就是公网暴露的薄弱资产优先排查并修复以下业务组件杜绝基础漏洞风险紧急修复漏洞CVE-2026-3055、CVE-2026-33017、CVE-2026-39987覆盖Citrix、Langflow、Marimo全系版本收敛公网暴露端口非必要不对外开放Tomcat、n8n、AI低代码平台、运维管理面板关闭设备默认配置、弱密码、未授权访问接口杜绝批量探测命中9.2 AI Agent权限强制管控针对企业内部自建、部署的所有AI大模型、Agent框架强制执行三条安全规则从根源杜绝攻击落地永久关闭Agent框架的极速执行、免确认模式Hermes Yolo模式同类功能全部禁用严格遵循最小权限原则AI Agent禁止授予完整Shell权限、公网无限制下载权限所有AI工具调用、命令执行、文件操作行为全程留存日志保留90天以上审计记录9.3 网络边界监控规则配置在防火墙、WAF、态势感知平台添加自定义监控规则精准拦截AI自动化攻击行为监控短时间内高频访问FOFA、GitHub漏洞库、各类POC资源站的出站流量拦截服务器异常Telegram跨境出站连接阻断C2控制通道对批量同特征的版本探测、目录扫描、命令执行行为做限流拦截9.4 常态化安全巡检机制每周开展公网资产测绘自查批量对比FOFA、ZoomEye平台的企业资产数据及时发现新增暴露资产、未知业务系统提前修复漏洞避免被AI Agent批量狩猎。十、行业终极启示AI攻防的未来发展趋势这起DeepSeekHermes攻击事件不是单次偶然的攻击案例而是未来网络攻防的分水岭。从此网络攻击正式进入AI规模化无人值守时代。未来的黑灰产不会再依赖人工批量渗透而是搭建AI Agent攻击集群依托开源大模型和智能体框架实现7×24小时全网自动狩猎、自动探测、自动利用、自动权限维持。攻击的数量级、覆盖范围、持续能力会远超传统人工攻击。对应的防御思路也必须彻底迭代。传统的漏洞修复、特征拦截、资产巡检已经不足以应对新型威胁企业安全团队必须从「被动补漏洞」转向「主动控权限、控行为、控边界」。AI时代的网络安全防御核心不再是防漏洞而是防自动化、防规模化、防权限滥用。管控所有智能体的工具调用权限、约束自动化执行行为、监控异常批量操作才是长效防御的核心。同时可以明确的是本次事件只是AI攻击的初级形态。后续会出现更智能的Agent框架能够自主修改POC、绕过WAF、适配复杂业务环境、实现全自动权限巩固未来的攻防对抗门槛会持续拉高中小企业的安全防护压力会急剧增大。十一、互动讨论1、你所在的企业是否部署过AI低代码平台、自动化工作流工具是否完成公网资产收敛与漏洞修复2、你认为现阶段AI Agent自动化攻击对中小企业的威胁更大还是对大型企业的威胁更大欢迎在评论区交流观点。