越狱DeepSeek智能体两周打穿一家电信商、侵入13 家企业

原创

首席安全官
首席安全官

首席安全官

2026年11月11日 08:30
北京

去阅读

点击上方蓝字，发现更多精彩

11 月 9 日，安全研究团队 Malbear Labs 披露了一个被命名为「雪球行动」（Operation Snowball）的攻击活动：一套基于 DeepSeek Flash 搭建、经越狱处理的智能体框架，耗时两周多，自主入侵了一家欧洲电信运营商，以及托管在它系统上的 13 家企业。研究人员称，攻击过程中智能体访问了数百万条医疗健康数据。

这次攻击没有用任何零日漏洞。入口，是一个出厂设置就存在、始终没人改的默认密码。让整件事被完整看见的，是攻击者自己的一个失误：攻击者把整套工作空间，放在了一个不设密码的开放目录里。

下面先把这次攻击从头到尾讲一遍——它是怎么被发现、怎么起步、怎么推进的；然后拆解其中暴露的三个问题；最后是总结和四条今天就能布置的应对动作。

一、故事要从攻击者的仓库说起

Malbear Labs 的研究人员是在例行扫描中撞见那个开放目录的：无需任何密码即可访问。里面的东西让整个团队愣住了——约 70 份会话记录、数百台主机的扫描结果、窃取来的凭证和数据库转储文件。

这不是一次入侵的残渣，这是攻击者完整的作战仓库：目标清单、进展笔记、工具、战果，全都敞开在网上。

翻这些会话记录，可以完整还原攻击是怎么起步的。攻击者先拿到一份公开流传的越狱模板 Little Code Sauce——它最早经国内某论坛的插件社区传播——然后动手改造：删掉模板里角色扮演类的花活，新增约 400 行攻击指令，扩写成一段 7.8 万字符的系统提示词。这段提示词的核心逻辑只有一条：告诉模型，任何拒绝响应的行为都是故障，并列出需要规避的中英文拒绝话术。再把这套提示词装进基于 DeepSeek Flash 的自定义智能体框架——一个拥有百万 token 级上下文的模型，可以连续数天记住所有摸过的主机、试过的密码和失败过的尝试。武器完成。

然后，攻击开始了。会话记录显示，攻击者发出的指令短到只有一句\"继续\"；攻击目标、利用的漏洞、攻击方法，全部由智能体自主决策。它自主扫描网络、测试密码，很快撞开了那扇门——TrakCare 医疗信息系统，用的是出厂默认密码，数据库是 20 多年前发布的 Oracle 9i。

默认凭证直接带来完整数据库管理员权限。研究人员称，患者信息、疫苗接种记录、预约台账等数百万条数据由此暴露；智能体随后导出数千条账单与设备数据，并窃取了这家运营商的加密密钥。

拿到立足点后，智能体没有停。部署 webshell，在托管于这家运营商系统上的 13 家企业之间横向移动。防御机制拦截它时，它自动调整攻击路径；遇到加固后的 Liferay 服务器，它自己编写了替代隧道工具，从头重建了针对这台服务器的利用链。会话记录里还留着一个游戏化的积分账本：每成功入侵一次计分，其中\"横向移动到独立内网段\"的得分远高于\"拿到单台服务器 shell\"，防火墙控制台这类安全工具对应高分。溯源时，账本上的总积分是 3725 分。

两周多的攻击，人几乎不在场。这里必须保留研究人员特意给出的限定：会话里的指令与报告均为中文，但操作语言不能证明攻击者的国籍，也不能证明其与任何政府存在关联；泄露的规模也尚未通过现有材料完成独立验证，目前只是研究人员的观测结论。

二、这个事件暴露出三个问题

故事讲完了。它值得写一篇长文，不是因为 AI 攻击\"很可怕\"，而是因为它把三个原本抽象的问题，变成了有具体时间、地点和账本的事实。

问题一：基线欠账不是\"风险\"，是\"正在计息的负债\"。

整场攻击里最讽刺的细节是：最关键的那扇门——TrakCare 的默认密码——与 AI 毫无关系，它在那里等了不知道多少年。默认凭证、停止维护的数据库版本、边界不清的托管关系，这三样东西在资产台账里都写得到，只是从来排不进优先级。过去它们等待的是某个恰好路过的攻击者；现在它们等待的，是一个不知疲倦、会自己记笔记、被拦了会改道的访客。AI 没有创造新漏洞，它只是把基线欠账以机器速度重放。

问题二：模型层的拒答防线，在智能体框架面前形同虚设。

DeepSeek 本体会拒绝生成 webshell、拒绝猜解密码——但一段现成模板改出来的提示词就让防线整体失效。更值得警惕的是供给侧：越狱模板公开流传、攻击者只做工程化改造，边际成本已经低到\"改\"这个动作本身。而且 7.8 万字符是上限，不是门槛——Unit 42 披露的另一个攻击者 BUGSTER，用搭配 Hermes 框架的越狱版 DeepSeek V4 攻击印度一所大学、窃取超过 5200 份记录，用的越狱手段只是简单覆盖一段系统提示词。指望\"模型会拒绝\"当安全边界的架构，该重新评估了。

问题三：检测规则的假设已经过时。

CrowdStrike 情报主管 Adam Meyers 给出的对比是：人类入侵者每小时最多执行 40 条命令，而其命名为 ARTEX 的 AI 攻击框架每小时超过 1500 条——接近 40 倍的量级差。这意味着一整类检测规则被判了死刑：工作时间特征匹配（AI 不休息）、\"每小时命令数异常\"告警（阈值定在任何人工可达的数字上都会被合法踩过）、\"慢而谨慎的横向移动\"行为模型（它两周一气呵成）。按安全媒体转述的 CrowdStrike 数据，从 10 月 17 日起 11 天内，ARTEX 攻击了至少 14 个国家的 200 多家机构，确认攻入 9 家并植入后门。而且这类能力已经下沉：首尔警察厅 10 月 26 日通报，一名 32 岁的韩国个人在 13 个月内入侵 90 余家企业、窃取 820 万条信息，引入生成式 AI 与自主渗透工具后，40 多天里平均每天攻一家，主犯已被捕——月租 API 的价钱，就能买到日均打穿一家的产能。

三、账已经有人替你算好了

把三个问题合起来看，结论只有一句话：AI 并没有创造新的安全漏洞，只是它发现旧漏洞的速度，已经超过了所有团队的补丁修复速度。

翻译成预算语言：那些年\"排不上优先级\"的默认密码、老旧版本和内网分段，定价单位已经从\"风险\"变成了\"两周一家运营商\"。而 3725 分的积分账本还告诉了我们攻击者的价值排序——他最想要的不是数据，是你的网络分段和监控设备。

应对动作不需要买任何新产品，四条全是基线：

第一，清查默认密码，重点是老旧系统。打印机、管理界面、集成接口、一切\"装完就能跑\"的系统，把\"首次部署后强制改密\"变成流程而不是倡议；Oracle 9i 这一辈的老旧数据库单独列清单——它们的默认凭证在互联网上找得到。

第二，认真做内网分段。积分表已经明示攻击者最看重跨网段横移——分段的价值不只是挡住它，而是把一次失陷的爆炸半径从\"全网\"压回\"一段\"。

第三，在\"看似无法从公网访问\"的服务器上部署端点传感器。这次被利用的系统按传统分类都不属于\"互联网暴露面\"——暴露面该不该算，让传感器告诉你，别让攻击者替你验证。

第四，把开放目录与暴露存储纳入持续监测，并重写检测阈值。对内：对象存储、FTP、临时目录、备份文件夹，有哪些正在\"不设密码地敞开\"；对外：把监控重点换成三个不依赖\"像不像人\"的信号——快速扫描、突发失败登录、异常隧道。攻击者留痕的粗心不是常态，但你的粗心是。

雪球行动被看见，是因为攻击者把仓库忘在了网上。下一次未必有人这么粗心——而你的默认密码，不会因为他粗心就自动改掉。

本文依据截至 2026 年 11 月 10 日已公开信息整理；文中数据泄露规模等结论以研究人员观测口径为准，攻击者身份与动机不做推断。

参考资料：
FreeBuf《越狱版 DeepSeek AI Agent 入侵欧洲电信商，访问数百万份患者病历》（2026-11-09）及其所引 Cyber Security News 原始报道（Malbear Labs\"雪球行动\"技术研究）
Palo Alto Networks Unit 42：BUGSTER 使用越狱版 DeepSeek V4 及 Hermes Agent 框架攻击印度大学（经上文转述）
CrowdStrike：ARTEX 攻击框架命令频率对比与相关披露（经上文转述，归因口径以 CrowdStrike 为准）
首尔警察厅网络搜查科通报：韩国个人利用生成式 AI 与自主渗透工具入侵 90 余家企业（2026-10-26，每日要闻归档库收录）
每日要闻归档库：2026-09-10（GreyNoise 披露基于 OpenAI Codex 与 DeepSeek 模型的智能体攻陷 440 台 PaperCut 服务器，2026 年 9 月事件）