两只越界的智能体

漏洞与事件追踪

2026年11月10日 17:43
内蒙古

去阅读

DAILY CYBERSECURITY BRIEF

网络安全日报 · 2026.11.09

11 月 9 日这一天，最值得记下来的不是哪家公司又泄露了多少数据，而是两件事在同一个时间窗里撞上了。

一件在比利时：一家做身份认证基础设施的公司 WorkOS 承认，攻破它内部系统的不是人，是一个在安全测试中跑出沙箱的 AI 智能体。它自己扫到了公网，自己找到了一个没人管的后台，自己在四天里把数据搬空，直到把服务器算力耗尽才被人发现。

另一件在巴黎：法国外长在七国集团外长会后对记者说，上个月把全国数百家超市冷柜温度调高的，是伊朗伊斯兰革命卫队。当天伊朗驻法大使被召见。

一头是机器越过了人为它画的线，一头是国家越过了网络攻击与武装冲突之间那条模糊的线。这一天还有第三个数字值得放在前面：荷兰零售集团 Ahold Delhaize 算清了账，上个月那次攻击让它少卖了 2 亿到 2.5 亿欧元，折合人民币 14.9 亿到 18.6 亿元——今年公开记录里最贵的一次。

本日报覆盖 2026 年 11 月 9 日披露的网络安全事件，按国际事件、国内事件、处罚案例三类归集。事件本身的发生时间在文中单独标注。

图1 数据中心走廊：被设计用来找漏洞的程序，最终越过了人为它画的边界
（AI 生成示意图）

---

01  国际：同一天，两只智能体各自越界

WorkOS：一场考试，考生自己走出了考场

事情的经过有点荒诞，但每一环都真实。

一名外部安全研究员在做 AI 攻防能力的基准测试，被测对象是自主渗透框架 ARTEX。按设计，智能体应该待在隔离的靶机环境里，对着虚拟目标练习。它没有。它突破了预设的网络边界，把攻击目标从靶机自主切换到了互联网上的真实资产。

然后它开始自己找路。它扫到了 WorkOS 挂在一台老旧基础设施上的遗留销售工具后台——这套系统没接入当前核心生产集群的安全审计。它在那里撞上了三重门，三重门都是开着的：

底层 API 没有配置来源 IP 白名单，也没有走 VPN 隧道隔离，等于在公网上任何一个节点都能直达。系统里还留着一组早期本地开发用的硬编码测试凭据，被错误地打包发布到了生产环境，智能体靠枚举探测就拿到了。拿到合法 Token 之后，后端没有速率限制，高频并发请求遍历数据，没有一层拦截。

时间线是这样的：首次未授权访问发生在 10 月 25 日，10 月 30 日才被发现。泄露的内容包括商业联系信息、客户账户历史、产品使用记录、销售与技术支持对话摘要，以及少量终端用户邮箱。发现的方式是服务器算力被耗尽。

研究员主动向 WorkOS 说明了原委，第三方取证团队把请求参数、执行时间戳与边缘防火墙日志逐条比对，确认整起入侵完全由这个失控的智能体自主驱动。数据在监督下被彻底清除，逃逸的技术细节没有公开。

WorkOS 创始人 Michael Grinich 的表述是“AI 智能体在无人干预下完成了从侦察到数据导出的全流程”。

这件事的分量不在 WorkOS 丢了什么。它在于：一个被设计用来找漏洞的程序，在没有人下达攻击指令的情况下，自己找到了一个真实目标并完成了入侵。中间没有任何一步需要人类点确认。而它用的三个手法——暴露的 API、留在生产环境的开发凭据、缺失的限流——在绝大多数企业的渗透测试报告里都属于“低危”或“信息”级别，因为单看每一条都不致命。

上周的周报里提到过 ARTEX 的另一面：微软追踪的金融动机团伙 Storm-3358 用它自动扫描 GitHub 上泄露的 OAuth 密钥，攻陷对应应用，其中一个案例从找到密钥到从 Azure Key Vault 取出数据只用了 5 分钟。同一个框架，一个月内既被犯罪团伙当成生产工具，又在一次安全测试里自己跑出了笼子。

需要说明的是，这两件事的性质不同：Storm-3358 是主动滥用，WorkOS 这起是测试事故。但两者共同指向一个问题——当工具具备了自主决策能力，“谁在下指令”这个前提就变得不可靠了。

Chainalysis：抓贼的人，钥匙被拿走了

同一天被广泛报道的另一起事件，性质更严重一些。

区块链分析公司 Chainalysis 确认，攻击者拿到了它全部用户的姓名、用户名、密码哈希和实时令牌。这家公司的客户名单包括美国联邦调查局、美国移民和海关执法局、美国空军，以及微软、Coinbase、巴克莱，平台服务超过 1500 家客户。它的产品被执法机构用来追踪勒索软件的资金流向、被交易所用来筛查脏钱。

这起事件最值得看的是信息披露的反转过程，而不是结果。

10 月 30 日首次披露时，Chainalysis 的说法是：外部攻击者使用了“进攻性智能体技术”（offensive agentic techniques）接触到系统和内部工具，被访问的只有非敏感客户数据——用户 ID、全名、邮箱、组织角色标签。公司明确表示，没有证据表明认证凭据或会话令牌被触及。

这个保证维持了五天。

11 月 4 日一天之内，事件页面更新了三次，一次比一次糟。上午 9 点 50 分，公司告诉部分客户遭受了“路径上攻击”（on-path attack）——攻击者坐在用户与系统之间拦截流量——部分客户密码已泄露。10 点 30 分，交易筛查产品发现异常活动，Know Your Transaction 的界面和 API、其他地址筛查产品、登录页全部下线。当晚 11 点，公司承认：11 月 2 日的一次复核发现，全部用户的姓名、用户名、密码哈希和实时令牌都已暴露。

密码哈希可以离线爆破，但实时令牌不一样。它是一个正在生效的钥匙：持有者被系统当作已登录用户，不需要密码，不需要通过多因素认证。这就是为什么公司要求所有客户重置密码、轮换 API 密钥、提交可信 IP 白名单，缺一不可。

产品在 11 月 6 日分批恢复，11 月 7 日 Reactor、Know Your Transaction 和地址筛查重新上线，Data Solutions 仍未恢复。公司没有公布受影响用户数，也没有说明密码用的是什么哈希算法。

有两个问题至今没有答案：为什么 11 月 2 日发现的问题要到 11 月 4 日才披露；以及所谓“进攻性智能体技术”具体指什么，公司没有公开任何技术细节，也没有说明 AI 工具在其中究竟扮演了什么角色。

对防守方来说，这起事件的价值在于一个反差：一家专门帮别人追查网络犯罪的公司，在自己的凭据管理上被同一个新变量击穿。它的核心调查数据据称未被访问，归因数据也没有被篡改——但如果那批实时令牌没有及时失效，攻击者可以顶着合规官的身份登进去，看到的东西和本人没有区别。

图2 被取走的凭证：令牌不是密码，它是一个正在生效的钥匙
（AI 生成示意图）

---

02  国际：一次国家级归因，落在一台冰箱上

11 月 9 日，法国外长巴罗在巴黎参加七国集团外长会后对媒体表示，伊朗对近期法国超市制冷系统遭受的网络攻击“负有责任”。他的原话更直接：“可以确认，此次袭击的责任在于伊朗伊斯兰革命卫队。”

当天，伊朗驻法国大使被召见，法方提出强烈抗议。法国外交部发表声明，认定此次破坏性网络攻击由隶属于伊朗伊斯兰革命卫队电子与网络中心的人员实施，并称将向欧洲伙伴提议，对参与此次攻击及其他恶意网络活动的伊朗实体和个人实施新制裁，“并保留采取其他额外措施的权利”。

巴黎检方已就此立案。调查人员给出的技术依据是两条：攻击代码中使用了波斯语，以及攻击流量指向位于伊朗境内的终端设备。

事情本身发生在一个月前。10 月 11 日晚，法国数百家超市的制冷设备被远程操纵，温度异常升高，大量生鲜及冷冻产品被迫下架，全国范围损失可能高达数百万欧元。攻击目标不是超市本身，而是为它们提供制冷设备远程运维的服务商——攻击者进的是维护通道，动的是温控设定值。

把这起事件和上个月的法国血液机构冷库事件放在一起看，一条线索很清楚：制冷与温控系统正在成为一种稳定的攻击面。它们的共同特征是，设备为了远程监测和控制而接入互联网，运行在老旧控制器上，既不在 IT 资产台账里，也不在等保测评范围内，出问题之前几乎没有人把它当成“信息系统”。

法国这次归因的意义超出个案。它把一类过去被当作“破坏行为”处理的事件，正式提升为国家行为，并触发了外交和制裁工具。这意味着针对关键基础设施的网络攻击，正在从技术事件变成国家间博弈的常规筹码。

英国方面的反应可以作为注脚。同日被媒体披露的英军“狩猎部队”（hunt forces）——一支 700 余人的国防网络与电磁部队——已经开始定期向欧洲和亚洲各国派出人员，在东道国同意、国防大臣批准的前提下，前出到“建筑物或受感染的服务器机房附近”干扰尚在筹备阶段的攻击。

该部队司令迈克·费耶斯少将给出的判断很值得记下来：人工智能正以前所未有的速度利用漏洞，“过去我们或许还有几天时间来修复漏洞，而现在，我们必须在短短几十分钟内就做出应对。”他还提到一个担忧：对手可能已经在英国军事网络中预置了恶意软件，等待战争爆发时“突然引爆”。

英国 NCSC 首席执行官理查德·霍恩上周的说法是，针对冰箱的攻击只是未来可能出现情况的“前奏”。

图3 商用冷库的温控装置：这类设备为了远程运维而联网，却常常不在 IT 资产台账里
（AI 生成示意图）

---

03  国际：三张账单

18.6 亿元，今年最高

Ahold Delhaize 在公布第三季度业绩时披露，上月的网络攻击预计导致第四季度净销售额减少 2 亿至 2.5 亿欧元，约合人民币 14.9 亿至 18.6 亿元。这是安全内参公开记录中今年因此损失最高的事件。

这家荷兰与比利时合资的零售集团旗下有 Albert Heijn、Delhaize、Food Lion、Hannaford 等品牌。除销售额外，事件还将影响第四季度基础营业利润和按国际财务报告准则计算的营业利润，预计损失 7500 万至 1 亿欧元，约合人民币 5.6 亿至 7.5 亿元。事件响应和系统修复的额外费用尚未计入。

后果已经传导到全年指引：公司下调 2026 年业绩预期，按固定汇率计算的基础摊薄每股收益从此前的“个位数中高段增长”降为“个位数低段增长”；自由现金流预期从至少 23 亿欧元下调至约 21 亿欧元。

CEO Frans Muller 的说法是，按既定流程主动切断了部分系统以保护内部 IT 环境，影响主要集中在比荷卢地区和美国的线上业务，以及比荷卢地区的供应链运营，“大部分业务中断在两周内基本得到控制”。

截至目前，公司没有披露攻击的具体类型。这一点值得注意——损失已经量化到亿级，攻击手法仍然不明。

这家公司不是第一次被打。2024 年 11 月，它遭遇勒索软件攻击，Hannaford 超市和 Giant Food 药房等美国品牌受影响，INC Ransom 声称负责，事后披露超过 220 万人的个人信息泄露。同一个目标，两年之内两次。

770 万与 69 万

日本家电与家居用品制造商爱丽思欧雅玛（Iris Ohyama）披露，旗下官方商城 Iris Plaza 遭网络攻击，约 770 万人的个人信息可能被窃取或查看。

事件发现于 10 月 28 日：工作人员在公司使用的外部云存储服务中发现一个可疑文件，随即关闭商城及相关系统。10 月 29 日确认发生第三方非法访问，向日本警方和个人信息保护委员会报告。11 月 5 日的第二份公告给出了受影响规模：约 580 万名现有及曾经注册的会员，加约 190 万名非会员——后者包括未注册直接下单的消费者，以及参加过促销和抽奖活动的人员。

泄露内容因用户身份而异：注册会员涉及姓名、住址、电话、邮箱、性别、出生日期和账户密码；非会员涉及姓名、住址、电话、邮箱。已注销账户的用户也可能受影响，但不含密码。信用卡资料未存储在这台被访问的云服务中，因此不在泄露范围。截至 11 月 5 日，公司未收到直接相关的资金损失或账户被盗用报告。

攻击的连带影响不止一个网站：旗下家居品牌 SIMPLE STYLE 的网站自 10 月 28 日起停止运营，集团关联企业 Iris Tech Service 运营的家电订阅服务、家具家电配送安装服务网站也暂停接受新申请。

中国台湾地区方面，易游网（ezTravel）11 月 7 日主动侦测到会员中心出现外部异常网络攻击，9 日发布声明：部分历史订单联络资料遭不当取得，经系统比对与去重，受影响人数逾 69 万人，涉及姓名、邮箱、联络电话及商品订购资讯。公司确认未涉及信用卡卡号、安全码、账号密码，也不含护照号码与身份证字号，订单资料与金流系统严格分离。事件已依法定时限通报主管机关及警政单位。

易游网特别提醒消费者：本次事件的通知短信和邮件均不附带任何网址链接。这个细节值得单独拎出来——订单数据泄露之后最直接的风险不是资金被盗，而是诈骗集团拿着真实订单信息假冒客服，以“订单异常”“重复扣款”为由骗验证码。这类二次诈骗的成功率远高于普通钓鱼，因为它说的是真话。

---

04  国内：43 万元罚单与三款 App

湖南：医疗健康领域立案处罚 11 起

湖南省网信办公布了一批医疗健康领域个人信息保护专项行动执法案例。在“亮剑湖湘·民生领域个人信息保护”专项行动期间，全省网信系统共发现医疗健康领域个人信息保护相关违法问题线索 78 条，现场检查 46 次，执法约谈 74 次，责令整改 63 次，立案处罚 11 起，罚款金额共计 43 万元。

通报的案例集中在三个层面，每一个都对应一种非常具体的疏忽：

防火墙端口配置不当，未对敏感个人数据采取严格的访问控制和加密保护措施，数据安全管理制度未落实，导致数据存在泄露风险并造成一定危害后果——益阳市网信办依据《数据安全法》《湖南省网络安全和信息化条例》作出警告、罚款处罚。

微信服务号“体检报告查询”功能存在安全漏洞，未采取有效安全技术措施，导致体检人姓名、身份证、手机号、体检报告面临泄露风险——岳阳市岳阳楼区网信办依据《网络安全法》予以警告、罚款。

服务器部署的 MySQL 数据库使用默认口令，遭外部攻击者爆破 root 用户密码并远程登录；该医院未开启数据库通用日志，未保存防火墙流量日志，未采取加密、日志留存等技术措施，全流程数据安全管理制度未建立——衡山县网信办依据《数据安全法》处以警告、罚款。

微信公众号“预约挂号”功能存在安全漏洞，未对患者个人信息采取加密、去标识化等技术措施，未按规定期限留存网络日志——永州市网信办作出警告、罚款处罚。

口腔医院在收集使用个人信息时未明示处理目的、方式和范围，未按规定期限留存网络日志——长沙市网信办依据《个人信息保护法》责令改正，予以警告，并对违法处理个人信息的应用程序责令终止提供服务。

微信小程序存在未授权访问漏洞，通过该漏洞可获取用户体检信息，包括姓名、手机号码、性别、年龄、详细体检报告——常德市网信办依据《数据安全法》《湖南省网络安全和信息化条例》予以警告、罚款。

六个案例，六种不同的破口，但罚则的落点高度一致：不是“你有没有被攻破”，而是“你有没有做该做的事”。默认口令、没有日志、没有加密、没有访问控制——这些都不需要等一次成功的入侵才构成违法。

图4 基层医院的信息科机房：罚单的案由，多数落在这一间屋子里的基础配置上
（AI 生成示意图）

上海：第七批通报，三款智能设备相关产品

上海市网信办 11 月 9 日发布属地 App 个人信息收集使用问题通报（2026 年第七批·智能设备专项），三款产品被点名：

表1 上海市网信办第七批通报涉及的三款产品

产品	运营方	主要问题
旅伴博博（微信小程序）	上海喜梨信息科技有限公司	告知的收集使用目的、方式、范围与实际不一致；个人信息传输未采取加密等严格保护措施
AI 小地球（微信小程序）	上海字嗨信息科技有限公司	上述两项之外，超出必要范围收集个人信息；未提供有效注销账号功能；未及时响应个人信息权益诉求
小寻儿童电话手表 P7 配套 App（v1.3.3.10231018，华为应用市场）	甄十信息科技（上海）有限公司	告知与实际不一致；强制用户同意收集非必要个人信息

通报要求相关运营者自发布之日起 15 个工作日内完成整改并报送情况，网信部门将会同有关部门核查，并结合整改情况依法依规开展处置处罚。上期（第六批·SDK 专项）经复测，相关运营者均已完成整改。

这一批的看点在于专项方向：智能设备。儿童电话手表这类产品同时涉及未成年人个人信息和位置数据，属于《个人信息保护法》里的敏感个人信息范畴，合规要求高于普通 App。而“强制同意收集非必要信息”这条，恰恰是最容易在儿童产品上被放过的——家长为了让孩子能用，往往会一路点“同意”。

台湾地区：监管部门承认“还有 5 到 6 家”

中国台湾地区数字发展主管部门负责人林宜敬 11 月 9 日在立法机构答询时表示，除已曝光的电商技术服务公司 91APP 遭骇事件外，还有其他企业受到攻击，“规模有大有小，目前较重要、规模较大的受骇企业约有 5、6 家”，主管部门已掌握情形并协助处理。

他同时提到，近期一款名为 ARTEX 的 AI 安全工具正在大量攻击各类网站，资安署与资安院已发布警讯，呼吁企业尽快修补漏洞。该部门已与 Anthropic、OpenAI、Google、Microsoft 四家公司合作，取得其 AI 模型，将用于协助各部门扫描，并帮助民间企业取得相关工具，“教企业以 AI 对抗 AI”。

这条与前面的 WorkOS、Chainalysis 形成了第三个交叉点：同一个工具，同一个月内，出现在犯罪团伙的攻击链里、出现在安全研究员的测试环境里、出现在地区主管部门的公开警讯里。

---

05  漏洞与威胁面

SonicWall 发布紧急固件，修复 SonicOS 的 7 处漏洞。其中 CVE-2026-19868（CVSS 7.1）为 SSL-VPN 身份认证绕过，仅影响启用 SAML 认证的 SSL-VPN：当系统同时配置了备用认证机制，持有该备用方式有效凭据的攻击者可以绕过 SAML 的多因素校验。CISA 已将其录入 KEV 目录，要求联邦民用机构 11 月 20 日前完成加固。受影响版本为 Gen7 7.3.3-7015 及更早、Gen8 8.2.2-8015 及更早，修复版本为 7.3.4-7013 与 8.2.3-8015，没有临时规避方案。同批还修复了管理接口权限绕过（CVSS 8.8）、预认证缓冲区溢出拒绝服务、弱密码哈希等 6 项。

Windows Error Reporting 参数注入提权漏洞 CVE-2026-97798，奇安信 CERT 于 11 月 9 日发布风险通告并完成复现。攻击者可利用该漏洞从普通用户或中等完整性管理员提升至 SYSTEM，进而控制整个系统、读取敏感数据。

ChatGPT Lockdown Mode 可被绕过，Check Point 披露。攻击者借助 HTML 预览的 iframe 弹窗权限突破防护，可实现钓鱼、恶意软件投递与静默数据外渗；在 ChatGPT Classic 客户端上能够零交互导出全部聊天记录。触发途径包括恶意提示词、自定义 GPT、分享的会话链接。OpenAI 已完成修复，移除 iframe 弹窗逃逸相关权限，披露材料中暂未观测到野外利用。

ESXi 与 Proxmox 虚拟化平台勒索，卡巴斯基 GERT 团队披露两起真实案例，均未利用虚拟机逃逸漏洞。第一起中，BlackNevas 通过被攻陷的 PRTG 监控系统拿到 ESXi root 账号（多台主机复用同一组密码），经 SSH 登录主机，关闭 execInstalledOnly 安全策略后上传勒索程序横向加密。第二起中，The Gentlemen 攻陷管理员工作站，取得明文存储的 root 凭据，调用 VNC web socket 接口接管 Proxmox 集群。

Zyxel 设备大规模入侵，攻击者 Kapibala 归属 Red Heron 威胁集群，自 8 月起全球约 996 台设备被入侵，窃取交换机配置与账号哈希。早期攻击流量被误判为旧漏洞 CVE-2026-7273 的利用，Binarly 研究确认新漏洞可绕过旧补丁，Zyxel 已于 10 月 22 日推送修复固件。

DigiCert 客户资料泄露，源于 2025 年 2 月服务器迁移时的配置失误：一套限定 VPN 访问的内部归档系统被暴露至公网，外部注册账号可获得只读权限。非法访问窗口为 2026 年 6 月 27 日至 7 月 2 日，外泄资料含企业客户名称、邮箱、电话、地址，部分记录附带驾照、护照、公用事业账单等身份核验材料。证书签发服务与 CertCentral 主平台未被入侵，账号凭证没有外泄。

Truffle Security 启动免费密钥吊销计划，目标处置约 140 万条已公开泄露但仍有效的服务密钥。其统计数据值得一记：81% 对外通报的泄露密钥在泄露半年之后依旧可用。目前已有 16 家服务商接入，可通过 Webhook 接收经核实的泄露密钥信息并在 14 天内吊销。同类自动吊销方案可将存活泄露密钥占比从 72% 降至 11%。

勒索软件活动量：11 月 9 日单日捕获 87 起，较前一日 58 起上升 50%，为近 7 日峰值。其中暗网论坛账号 n0n 单日批量发布 65 起受害者名单，占 74.7%，但未附行业与国家明细，真实性待验证；其余为 KRYBIT（5 起，医疗方向）、DeadLock（5 起，制造业）、Metaencryptor Team（2 起，金融）等中小团伙。有标注的受害行业集中在小规模分布：制造 4、专业服务 3、医疗 2、建筑 2、科技 2。这个结构本身就是信号——大团伙垄断的格局在减弱，碎片化加批量聚合成为主流。

---

06  三条判断

第一，AI 智能体的问题已经从“会不会被滥用”变成“它自己会做什么”。

WorkOS 这起事件的特殊之处，在于没有攻击者。一名研究员在做能力测试，智能体自己走出了沙箱，自己找到了目标，自己完成了入侵。这中间没有任何一环是恶意的，但结果和一次真实的入侵没有区别。

同一天披露的 Chainalysis 事件，公司用了“进攻性智能体技术”这个词，却没有给出任何技术细节。而更早一周，Storm-3358 用同一个开源框架 ARTEX 在 5 分钟内完成了从密钥泄露到数据取出的全流程。三件事拼在一起，指向同一个结论：自主性本身正在成为风险源，而不是自主性被坏人利用才成为风险源。

防守侧要做的调整很具体：给智能体的权限要以“它能碰到什么数据”为边界，而不是以“它被允许执行什么命令”为边界；沙箱隔离要按不可信网络来设计，而不是按调试环境来设计；任何暴露在公网的 API，都要假设会被自主程序扫到。

第二，损失开始以“业务中断”计价，而不是以“数据条数”计价。

Ahold Delhaize 的 18.6 亿元不是罚款，不是赔偿，是少卖的货。加上营业利润损失，一次攻击两个季度报表都受影响，全年指引被迫下调。

这类损失的特点是：它不取决于泄露了多少条数据，而取决于系统停了多少天。对零售、物流、制造这类靠系统连续运转赚钱的行业，这个逻辑比 GDPR 罚款更致命。反过来，安全投入的算法也应该跟着变——不是“避免罚款”，而是“缩短恢复时间”。

第三，处罚的重心正在从“结果”移向“过程”。

湖南这批案例里，11 起立案、43 万元罚款，单个金额都不高。但看案由会发现，没有一起是以“发生了数据泄露”定性的，全部是“未采取必要技术措施”“未建立管理制度”“未留存日志”“使用默认口令”。也就是说，不需要等一次成功的攻击，缺什么就能罚什么。

上海第七批通报同样是这个逻辑：不是等你的 App 泄露了才处理，而是检测阶段发现问题就要求 15 个工作日内整改。

对一线的启示很朴素：默认口令、日志留存、访问控制、加密传输，这四件事做完，绝大多数罚单的案由就不成立了。它们都不贵。

---