Wiz在2026年10月29日发布的研究，描绘了攻击手法一个令人不安的变化：AI智能体正在承担入侵中的大量动手操作，并可能亲自编排攻击本身。人类仍然设定目标与护栏，但智能体以机器速度编写定制工具、检查结果、自我修正并不断迭代。Wiz强调，这类攻击目前往往不是隐蔽，而是“吵闹”的，会留下大量可观测活动；防御的难点在于把它和合法自动化区分开，并把零散信号拼成完整的攻击图景。
暴露的Flowise实例：一个据点去打几十个。 第一起来自一个暴露在外的Flowise实例，这是用来搭建大模型工作流的工具。攻击者通过一次未认证调用，加上一处绕过认证的请求头技巧，注入JavaScript并经由Puppeteer拿到shell。被拿下的实例随后成了中转站，去批量攻击其他同样暴露的Flowise实例。约24小时里出现了99个脚本，平均每1至2分钟就冒出一个全新、用途明确的脚本。
Java企业运营网关：4.5小时走完602步。 第二起从一个Java企业运营网关的远程代码执行漏洞开始，系统性地覆盖了几乎整个云原生攻击技术目录。Wiz数出602个独立步骤、12个技术家族，持续约4.5小时，各阶段之间只隔几秒；攻击者还生成了100多个ArgoCD主机名变体，并行扫描5台主机的15个端口，留下约40个临时文件。
AI智能体GraphQL后端：密钥成批外泄。 第三起里，攻击者控制的MCP命令经由子进程执行，在AI智能体GraphQL后端拿到shell。连锁远程代码执行导致云凭证、Kubernetes令牌等密钥成批外泄，并实现持久化、扩散到多个Pod。约21小时里用了150多个不同脚本，并行针对约25个目标组织，主要是大型加密货币交易所和金融科技公司；回收的工具里还有803行人类可读注释，说明智能体在记录自己的操作步骤。
七个指纹不是打勾清单
Wiz提出的七项判定标准是：节奏随步骤复杂度变化、能持续异常长时间的机器速度迭代；脚本与产物里嵌着的自然语言推理与攻击计划；根据返回结果诊断失败、换方法或重试的自我修正链；按清单系统化枚举、广度优先、几乎覆盖全部技术目录的方法；同时铺开多条横向移动路径、多端口、多主机的“量大且吵”；先用无害探针验证原语再发真实载荷，并有意识地控制输出、超时与清理；以及大量描述性、一次性的临时文件，等于无意中给攻击者“签名”。单凭任何一项都不能证明是智能体，只有这些特征在数小时、跨系统里同时出现，判断才站得住。
对防御方来说，优先级因此从“找某一个恶意工具”转向“跨环境看得见”。先关掉暴露在外的AI工具与智能体接口，把云与Kubernetes日志拼起来，让分散步骤能被读成一次战役，并事先备好遏制与修复流程——因为一旦智能体开始以机器速度迭代，只靠人工调查就太慢了。
