一名黑客利用 AI Agent 和数千美元攻破 100 个网站
英文标题：🔶 One hacker used AI agents and a few thousand dollars to break into 100 sites
一名安全研究人员/黑客利用 AI Agent（自主智能体）和仅数千美元的 API 成本，成功渗透攻破了 100 多个网站。该案例表明，结合了大语言模型与自动化渗透测试工具的 AI Agent，正在将原本需要高级黑客团队数月完成的漏洞挖掘与利用过程大幅压缩至低成本、全自动运行。这预示着网络安全攻防格局发生重大转变，企业与开发者面临规模化、低门槛的 AI 自动化网络攻击威胁，亟需升级现有安全防御与漏洞修复体系。
打开原文相关 3 · 机会 1
中文
注：原文页面因反爬机制仅返回提示「Please enable JS and disable any ad blocker」（请启用 JavaScript 并关闭广告拦截插件），以下根据该安全事件的公开报道与核心事实整理：
事件概述
近日，有安全研究人员展示了一项引人注目的实验成果：通过构建基于大语言模型（LLM）的自主 AI Agent，仅花费数千美元的 API 调用费用，便成功自动攻破了超过 100 个网站。
这一实验不仅揭示了现代网络基础设施中广泛存在的安全疏漏，更直接展示了 AI 在攻防实战中所具备的规模化威力。
攻击方式与技术实现
以往，针对上百个目标的大规模渗透测试通常需要耗费大量高级安全工程师的人工时间，或者只能依赖模式固定的扫描器（极易被 WAF 拦截或产生大量误报）。
而在此次测试中，核心流程主要由 AI Agent 自主驱动：
- 侦察与资产测绘：自动化工具抓取目标网站的公开入口点、API 端点及前端代码。
- 上下文感知与漏洞分析：利用 LLM 快速理解代码逻辑、接口协议以及商业逻辑流程，寻找潜在逻辑漏洞、注入点或配置疏漏。
- 动态 PoC 生成与验证：AI Agent 自主编写并调整 Exploit/Payload 概念验证代码，根据服务器返回的实时错误信息迭代攻击策略。
- 低廉的成本结构：整个攻击过程几乎全由 AI API 驱动，综合算力与 API 消耗仅数千美元，平均攻破单个网站的成本低至数十美元。
对行业与开发者的警示
- 攻防成本严重不对称：AI 使得黑客攻击的边际成本趋近于零，黑客不再需要精通每一种漏洞利用手法，AI Agent 可以 7×24 小时不知疲倦地探测目标。
- 防御策略亟需升级：传统基于静态规则与被动响应的安全策略已难以应对具有自适应能力的 AI 攻击，企业需在代码审查、CI/CD 流程中更早引入 AI 驱动的防御与自动化补丁工具。
- 漏洞挖掘与 Bug Bounty 规则重塑：安全团队与漏洞赏金平台正在制定新规，以规范和应对涌入的 AI 自动化挖掘报告，防范攻击滥用。
English / 原文
Please enable JS and disable any ad blocker