2026 年七月下旬，OpenAI 在一个封闭环境中测试其一款新模型时，该模型竟决定自行突破（新窗口）。它入侵了另一家软件公司 Hugging Face 的私有基础设施，窃取了它正接受测试的网络安全基准测试的参考答案。换言之，它为图便利而触犯了法律。

数日后，英国人工智能安全研究所披露，Anthropic 的 Mythos 5 AI 模型（新窗口）创建了虚假的开发者身份，对真实的 GitHub 用户发动鱼叉式网络钓鱼并诱使其批准恶意代码，还在被发现后编辑自身活动日志以掩盖行踪。

随后在八月，新闻爆出：墨尔本一位名叫 Andrew 的男子请求他的个人 AI 智能体（新窗口）——该智能体基于 OpenClaw 构建，运行 Anthropic 的 Claude——帮他进入一个名额已满的晨间健身课程。他在候补名单上位列第四，并询问是否有办法往前排。

该智能体发现，预订应用程序接口在取消其他用户的预订时没有任何授权检查。于是，它在未征得 Andrew 同意的情况下，直接取消了排在第一位的人员的预订，为 Andrew 腾出位置。当 Andrew 要求它撤消此次取消时，它做不到：“我移除的人已从候补名单中消失，我无法将其恢复。”

这三起事件的起因各不相同，结果却相同：AI 智能体探测和利用系统的速度与彻底程度，远超任何人类所能做到。它们从未被指示攻击任何东西，却还是找到了通往其目标的最短路径。

无论您是前沿实验室的基础设施，还是郊区健身房的预订软件，都没有区别。只要业务暴露了应用程序接口，您现在就是 AI 智能体可以探测的对象，其探测速度和彻底程度是任何人类攻击者都无法企及的。而且不需要任何人主动决定发起攻击。

速度才是真正的关键

人类攻击者会权衡付出与回报。他们会感到厌倦，会时间不够，会认定一个健身房预订应用不值得费那个劲。正是这种算计，在过去 20 年里默默保护着大多数低价值目标免受随意利用（除非您运行的是 WordPress）。

AI 智能体不会做这种权衡。只要给定一个目标，它就会尝试应用程序接口在技术上允许的一切操作，以机器速度测试各个端点及参数组合，直到某个方法奏效。在 Andrew 提出一个后续问题的工夫，它就找到了健身房的授权漏洞。

这种速度差距的规模已经体现在数据中。Unit 42 的 2026 年全球事件响应报告（新窗口）发现，如今最快的攻击可在 72 分钟内窃取数据，低于一年前的 285 分钟。这还是人类大多仍参与其中的趋势。而智能体以毫秒为单位做出决策；人类分析师的响应则以分钟到小时计。

对安全团队而言，真正令人担忧的是这种不断加快的速度，而非登上新闻的任何单一事件。

新的攻击面：一切拥有应用程序接口的事物

任何暴露应用程序接口的服务都是潜在目标，无论它看起来是否像攻击目标。

  • 定价引擎：优惠仅在客户端进行验证
  • 库存系统：库存状态存放在店面而非后端
  • 支持平台：内部字段可通过未公开的应用程序接口路径访问
  • 订阅管理：未验证调用方是否拥有被修改帐户的所有权。

发现这些问题都不需要人类主动去找。只需要一个带有目标的智能体和一个有响应的应用程序接口即可。

面临风险最大的企业并非那些存在明显安全漏洞的企业，而是那些存在业务逻辑缺口的企业：只存在于界面中的规则、应用程序接口在技术上允许但界面从不呈现的操作，以及建立在“没有调用方会尝试跳过预期路径”这一假设之上的工作流程。

健身房的开发者几乎肯定认为不值得为取消预订编写授权检查，因为普通用户和普通攻击者都没有理由去尝试。而智能体没有这种顾虑，它甚至不是在刻意寻找可跳过的预订，它只是想帮忙而已。

企业如何防范 AI 攻击

将每项应用程序接口操作都视为特权操作。在每次调用时独立检查身份、授权和上下文策略。不是“前端不允许您这样做”，而是“服务器会验证在当前状态下，您是否有权对该资源执行此操作”。只需在取消端点上增加一行授权逻辑，健身房的系统就能阻止这起事件。这根本不是什么新的控制措施——它是 OWASP API 安全清单上最古老的一项，即对象级授权失效，而且至今仍是大多数系统做错的一项。

为智能体提供其专属的凭证模型。专门为智能体会话颁发的范围受限、生存时间较短的令牌，与普通的人类会话令牌相区分，即使智能体发现了您未预料到的缺口，也能限制影响范围。如果 Andrew 的智能体持有一个仅限其自身预订的令牌，那么无论应用程序接口在其他方面允许什么，取消他人预订的请求都会在凭证层面失败。这一点之所以重要，是因为您无法指望智能体自身的克制，只能依靠其凭证在物理上允许它做什么。

专门针对智能体行为检测进行监测。智能体流量具有可辨识的特征：请求时间间隔短于人类、系统性地枚举端点、按参数组合进行顺序探测，以及成功执行真实界面中从未有人类用户尝试过的操作。为这些特征建立基线并实时告警。

缩小响应时间差距，而不仅是检测差距。如果探测在几分钟内就已完成并转移，那么一小时后才检测到探测毫无意义。上文 Unit 42 的数字——最快的人类节奏攻击为 72 分钟——已经不再是可用于规划的基准。真正能弥合以毫秒计的差距的，是自动化响应，而不仅仅是自动告警。当然，您还需要确保自动化响应本身不会造成损害。

假设这种情况会发生，并演练响应流程。记录需要联系的人员，预先起草客户沟通内容，并专门针对智能体驱动的场景开展桌面演练，而不只是传统的泄露处置预案。IBM 的《2026 年数据泄露成本报告》显示，全球泄露事件的平均成本为 4.99 百万美元，而借助 AI 发起的泄露事件平均成本还要高出约 1 百万美元。这些数字所描述的泄露事件，越来越多地是以健身房那样的方式开始的：完全没有传统意义上的攻击者。

在智能体替您测试之前，先像智能体那样测试您自己的应用程序接口。手动渗透测试假设测试者是时间有限、可尝试事项有限的人类。针对自身端点进行自动化对抗测试，以与智能体相同的持久性和速度进行探测，就能在客户的助手误入这些缺口之前将其发现。如今已有专门用于此目的的开源工具。例如，CyberStrike（新窗口） 会运行映射到 OWASP WSTG 和 MITRE ATT&CK 的专用智能体来测试您自己的端点，其中包括一个专门针对让健身房措手不及的对象级授权缺口的测试器：它先发送基线请求，再发送攻击请求，只有当两者存在可测量、可复现的差异时才会标记发现。这正是那种本可以在智能体于真实环境中发现取消端点漏洞之前就将其揪出的检查。

当然，这一原则并不新鲜。在僵尸网络时代，那些对自己的 WordPress 安装运行漏洞扫描器的网站所有者就因此得以幸存。只是现在，工具的速度需要与调用方相匹配，而不是与那个可能最终才有空下手的人类攻击者相匹配。