AI 智能体入侵不再是安全会议上的假设题。Wiz 的研究团队把近期事件响应记录和公开披露案例摆到一起，看到的是一条正在抬头的曲线：攻击者已经在真实网络里调用AI 智能体完成侦察、探测乃至横向移动，ARTEX、Hermes 这类框架开始出现在入侵分析报告里。韩国一家金融机构约 67,000 人的信息被卷走，泰国财政部被撕开口子，ConnectWise 供应链上超过 2,250 个租户遭到试探性攻击。把这些散点连起来，代理式攻击的轮廓已经清晰得不能再清晰。
攻击链条里多了个不会累的“人”
ARTEX 说明的事：调教智能体的门槛在塌
ARTEX 这个名字值得单独说。它代表的不是某个孤立的恶意软件家族，而是一类思路：把现成的模型能力接上工具调用，让智能体自己决定下一步做什么。Wiz 的分析指向一个不太好笑的事实——攻击者不需要从头训练模型，也不需要多深的机器学习背景。一套提示词、几个工具接口、一份目标清单，剩下的交给循环。过去要人工守夜盯着的扫描和试探，现在可以挂着跑。
门槛塌掉带来的直接后果是攻击频次发生变化。人工渗透有作息，智能体没有。它会一遍遍换路径、换载荷、换时序，直到找到能进去的那道缝。这不是“更聪明的黑客”故事，而是“更多双手”故事。
Hermes 这类框架，把“自主”变成了默认选项
Hermes 出现在讨论里并不意外。这类自主智能体框架的设计初衷是让模型自己规划任务、调用工具、评估结果，然后继续下一轮。放在办公场景里是效率工具，放在攻击场景里就是一台不需要休息的操作员。Wiz 的研究提到，攻击者正在用这类框架把多个环节串起来：信息收集、凭证尝试、权限探查，中间不需要人反复下指令。
关键在于，这类框架的日志和传统恶意软件完全不是一个长相。没有可疑二进制落地，没有明显的 C2 心跳特征，行为藏在正常的 API 调用和浏览器动作里。防守方如果还在用旧的特征库去匹配，能看见的东西非常有限。
三起事件，三种失守方式
韩国金融机构：67,000 条记录是怎么被带走的
韩国的案例最直接。约 67,000 人的信息外泄，规模不算史上最大，但路径值得看。根据 Wiz 的梳理，攻击者借助智能体完成了前期摸排和凭证相关操作，把人工需要数天甚至数周的环节压短。数据一旦被定位，打包和外传的动作也可以交给自动化流程。
这里真正扎眼的是“67,000”这个数字背后的效率。智能体不会因为重复劳动而烦躁，也不会在第七次尝试失败后判断“这条路走不通”。它会把字典翻完，然后再换一本。
泰国财政部撞上的是规模化试探
泰国财政部的事件更像一次压力测试。政府机构的暴露面通常比企业更散，老旧系统、外包接口、临时开放的端口，都是入口候选。智能体在这里的价值不是“更聪明”，而是“更能试”。一条路径被封，它会转向下一条，成本低到攻击者愿意广撒网。
Wiz 把这类行为归入代理式攻击的早期形态：还没有到全自动打穿的程度，但侦察和试探已经明显由机器驱动。对防守方来说，日志量会先爆炸，真正的异常反而更难挑出来。
ConnectWise 供应链：2,250 个租户只是尝试数
ConnectWise 这条线最能说明供应链为什么是智能体的理想战场。超过 2,250 个租户被尝试攻击，注意是“尝试”。智能体不需要每个都成功，它只需要在足够大的样本里撞见几个防护薄弱的环境。供应链的特点是一处松动、多处承压，自动化把这套逻辑放大了一遍。
MSP 和托管服务商本来就握有大量客户环境的访问权。攻击者盯上这里，看中的不是单点收益，而是杠杆。一个入口撬动的租户数量，足以让试探的边际成本变得极低。
智能体让老问题变得更棘手
权限给多了，动作太快了
智能体攻击能成立，很大程度上不是因为模型多强，而是因为权限给得太宽。为了让自动化跑得顺，很多系统把过大的凭证交给了智能体：能读、能写、能调外部接口，最好还别老弹确认框。这种配置在效率上很舒服，在安全上等于把钥匙和门牌号一起递出去。
速度是第二个放大器。人工操作有停顿，智能体的循环可以按秒计。等告警生成、等人确认、等人登录排查，该做的动作已经做完了。防守方的响应窗口被压到以分钟为单位，这是过去很少遇到的情况。
传统检测盯不住“意图”
传统安全设备擅长匹配已知坏东西：恶意哈希、可疑域名、异常进程。智能体攻击的麻烦在于，它用的工具大多是系统里本来就有的，调用的 API 也是正常业务在用的。行为看起来像人，节奏又不像人。
Wiz 的判断是，检测重心需要往行为链上挪。单点告警告诉你的信息太少，得把“谁在什么权限下、连续做了什么、跨了哪些系统”串起来看。这不是换个规则就能解决的事，数据模型和关联能力都得跟上。否则你只会看到一堆零散的正常事件，直到数据已经出门。
防守方现在能改什么
把智能体当特权账号来管
第一件事其实很朴素：智能体不该拥有超过任务需要的权限。给它最小可用的凭证，设置明确的作用域，敏感操作保留人工确认。很多团队在部署自动化时习惯“先跑通再说”，权限一层层加上去，最后收不回来。攻击者最喜欢这种历史遗留。
还要有吊销机制。智能体被操纵或者行为异常时，能不能在分钟级切断它的凭证和工具访问？如果答案是要走一周的审批流程，那就等于没有。治理智能体，先从承认它是个高权限身份开始。
盯行为链，而不是单点告警
第二件事是把日志的用法改一改。与其问“有没有可疑文件”，不如问“这个身份在短时间内做了哪些不该连着的动作”。智能体的行为模式往往在序列里露馅：权限探查紧接着凭证尝试，凭证尝试紧接着批量读取，这种链条单看每一步都平淡，连起来就不对劲。
Wiz 在报告里也提到，事件响应的节奏需要跟着变。面对会自己循环的对手，人工排查的窗口被压得很短，预案里得提前写好“发现智能体异常时先做什么”。等到确认是攻击再开会，通常已经晚了。
代理式攻击还在早期，Wiz 的样本量也谈不上庞大。但韩国、泰国、ConnectWise 这三条线已经够说明问题：AI 智能体不再是攻击链上的装饰，它开始承担实际动作。防守方如果还把它当成“未来的风险”，那 67,000 这个数字不会是最好的注脚，只会是开头。
