卡巴斯基威胁研究团队 11 月 2 日披露，攻击者用开源框架 CyberStrikeAI 指挥了针对非洲和拉丁美洲教育机构的入侵：大模型坐在攻击者的服务器上挑工具、写命令、分析结果，植入程序只负责在受害机器上执行。从植入到拿下域管理员账号只用了 3 到 4 天。这起案例用真实入侵记录说明，智能体已能接管入侵后的大部分操作，而防御方盯住的仍是那些熟悉的老手法。
卡巴斯基观察到的攻击发生在 2026 年 9 月至 10 月，还原出的链条分三步：1. 攻击者先手工经一台被攻破的 SQL Server 收集信息、准备工具，随后停手约两周；2. 重新出现后布下 CyberStrikeAI 植入程序，模型在服务器端接管指挥，植入程序按指令执行侦察、提权、横向移动和数据收集；3. 最后的横向移动、凭据收集和数据库导出不到一小时，整个植入后阶段在 3 到 4 天内走到域管理员权限。卡巴斯基端点检测发现了凭据转储、恶意计划任务等行为，网络检测识别出框架控制流量与绘制域结构的异常查询，植入程序已被命名为 HEUR:HackTool.Win64.CyberStrike.gen 与 Linux 版本。
模型没有自己找上门，归属也还没有定论
CyberStrikeAI 的分工要讲清楚：人在攻击方定目标，模型只在已攻破的网络里协调后续动作；模型并不在受害机器上运行，植入程序也不会直接调用 AI 服务。卡巴斯基在脚本里发现了中文注释，但明确表示这不能确定攻击者的身份或位置，也无法把活动归因于某个已知组织，更不能确认所有基础设施属于同一操作者。换句话说，这是一起“人在回路里”的智能体入侵，不是模型自主发现漏洞并发起攻击，夸大成“AI 黑客独立作案”就走样了。
防这类攻击，盯行为比盯模型更管用
卡巴斯基的判断是：AI 改变的是入侵的协调方式和速度，手法本身仍是侦察、凭据转储、横向移动、收集与外泄这些老套路，配置得当的安全工具依然能够发现并拦截。建议也落在行为层面：用端点检测盯住可疑命令、凭据访问和持久化机制，用网络检测发现跨系统异常流量，配齐威胁情报，非工作时间保持监测。同一类风险并非孤例，英国 NCSC 关于 AI 勒索软件的警告同样指向 AI 正在放大已有的攻击手段，防御的起点是把已有的行为监测做扎实，而不是等一个专用的“反 AI”工具。
