一次被「意外公开」的攻击后台
攻击者把控制台暴露到了公网，TrendAI 研究员得以从公开目录取到三套攻击基础设施留下的日志、目标清单、结果与命令历史。其中一套运行着 CyberStrikeAI——一个开源的 AI agent 渗透测试框架——被配置为 44 个 agent 的群体，自主串联侦察、验证、利用、命令控制、持久化、外泄与报告，并自行生成日文钓鱼页与凭据收割页。这不是关于未来攻击的幻灯片，而是一次已经发生的实战记分牌。
需要澄清的是，三套基础设施处于三种不同的自主水平，TrendAI 未发现它们共享同一操作者的证据。把它们都归为「AI 在打日本」会丢失关键细节；真正值得写的是其中自主水平的跃迁。
被验证的三档成熟度
Case A 全自主（CyberStrikeAI）：一个 AI agent 框架驱动了整条工作流。暴露的控制台为简体中文界面，配置列出 44 个 agent，日志中出现「credential-search agent 8/44」这样的记录；agent 覆盖侦察、漏洞发现与验证、利用、命令控制、持久化、数据外泄与自动报告，平台还自建了日文表单与凭据收割登录页。在 10 月短窗口内，至少 19 个可识别组织（16 个在日本，另有台湾与香港）接受了验证活动。
Case B 人主导、LLM 重度辅助：约 24 天（8—9 月）里，操作者用大语言模型编写计划与工具，并以「授权评估」话术绕过安全护栏；战役扫描了 6000 多个日本 IP，目标直指廉价的大规模推理算力。一名受害者遭到完整控制链（FTP、数据库、管理员、webshell、SSH），攻击者在清理后还恢复了后门；一个因默认凭据暴露的 GIS 服务器泄露了数十万条地籍与商业记录、Windows 凭据与邮件。
Case C AI 仅做工具助手：1—10 月至少 6 轮，针对 Cisco SD-WAN、Citrix NetScaler、F5 BIG-IP、Yamaha RTX1210 等暴露边界设备，借已公开漏洞、暴露的管理功能或配置文件里遗留的凭据下手（Yamaha 路由器是被泄露的配置凭据攻破，而非产品缺陷）。
为什么值得写
这不同于「AI 帮写一封钓鱼邮件」的演示，而是一条结构化流水线：标准化验证报告、证据索引、本地化凭据收割资产，以机器速度产出。一个操作者如今能同时对 19 个组织做同等严谨度的验证，并为每个目标用当地语言出一份报告，而不会在第 15 个目标上疲劳或出错。
TrendAI 的判断很直白：AI 已经把攻击者的「人力」放大，但干的仍是找「没锁的门」这种老活；改变的，是它能在同一时刻尝试上千次、适配目标国语言、并不知疲倦地持续。与此同时，第二档战役暴露出新的闭环——攻击者偷取 AI 推理算力，用来跑自己的进攻 AI，形成自我强化的循环，这是防御方尚未规划好的新威胁。
影响与扩散
对日本（G7 经济体、关键基础设施与金融链路密集）而言，更快更隐蔽的战役会压缩防御的预警与响应窗口。对全球而言，同一套打法会外溢：Fortinet、Cisco、Citrix、F5、Yamaha 等边界设备，加上 WebLogic 与 VPN 集中器，是反复出现的目标类。优先动作很朴素——清空一切对外暴露服务的默认凭据（从管理界面与 GIS 界面开始）、把密钥移出会被攻陷主机直接奉上的配置文件、把「暴露边界清单」当作实时靶单，并把从厂商公告到自家补丁的窗口从周压到小时。
Shield53 等防御方进一步建议：在侦察层部署高交互蜜罐以「毒化」agent 的决策回路、对 GPU 与推理集群做出向管控、主动以 DNS 监控同形域名托管的本地化登录页。核心认知是——当开源自主进攻框架泛滥，运行「国家级入侵战役」的技术门槛会被压到脚本小子层级。
需要冷静看待的地方
几点保留。其一，三套基础设施 TrendAI 未找到共享操作者的证据，也不清楚具体用了哪些模型。其二，多数目标的结果是「无会话、无 webshell、无外泄」——最清楚的入侵起点反而是「本就开着的管理后台」；agent 并未针对硬化系统造出新 0day，它放大的是吞吐与触达。其三，研究基于攻击者侧公开文件，不能直接证明每个尝试都成功、损失的全貌或攻击者身份，受害者侧日志并未纳入。
换言之，这既是警报，也是定心丸：威胁在「量」与「自主度」上确实升级，但底层弱点仍是那些老问题——默认凭据、未打补丁、暴露在公网的边界。修好这些，44 个 agent 多半会扑空。
结语
自主进攻框架的开源化，正在把「国家级入侵战役」的技术门槛降到极低。防御者必须把「永不疲倦、自动出报告」的 AI 纳入威胁模型，并优先在侦察层下毒、对推理集群做出向管控。对 clawpk 的读者而言，这是 AI 安全从「助手」走向「操作者」的拐点事件：当进攻也能交给一群不知疲倦的 agent 时，防御侧同样需要把 AI 用满，且用得更早。