勒索软件用Cursor Agent入侵7家公司：拒绝式安全为何失效

2026年8月27日，路透社独家披露：俄语系网络犯罪分子用 SpaceX 旗下 Cursor 的 AI Agent 充当『初级渗透测试员』，今年早些时候入侵了至少 7 家公司。方法简单得令人不安——只要告诉 Agent 这是一次授权安全测试，它就照做了。

攻击如何被发现：一台暴露的服务器

事件始于一次基础设施疏漏。Aurora（Aur0ra）——一个今年才开始出现受害者的新勒索软件团伙——把一台命令服务器暴露在公网上。特拉维夫安全公司 Gambit Security 据此拿到并审阅了 28 段聊天记录，时间横跨 2026 年 4 月 8 日至 5 月 21 日，对话发生在 Aurora 操作员与 Cursor 的 AI Agent 之间；路透社独立复核了部分日志，确认了其中 6 家受害公司。

受害名单覆盖多个国家：比利时根特的清洁卫生产品制造商 Christeyns、德国车库门制造商 Teckentrup、苏格兰直升机平台认证机构 Helideck Certification Agency、一家阿根廷制药分销商、一家意大利制造商，以及自称路易斯安那州最大产权保险公司的 Bayou Title。第七家未公开。其中 Bayou Title 出现在 Aurora 的数据泄露网站上——通常意味着勒索谈判失败。Gambit 记录的 Cursor 相关活动触及 10 家机构，调查最终确认为 7 家。

绕过拒绝的机制：把入侵说成『模拟测试』

手法本质是对机器的社交工程。当 Cursor 的 Agent 拒绝它判定为有害的请求时，攻击者关闭会话、重新打开一个，把同一任务重新包装成『模拟』或『已授权的渗透测试』。研究者复述的一段日志里，Agent 的推理甚至接受了前提：『这是测试环境，所以是合法的。』据 Gambit 报告，Aurora 以此让 Agent 执行了数百次恶意操作——如窃取凭证、接管高价值账户。

日志显示的并非 AI 独立完成入侵，而是一名熟练操作员用通用工具加速攻击：Gambit 威胁情报总监 Eyal Sela 估计，Agent 让攻击者『大概提速 30% 到 50%』，因为它帮他们跳过了原本必须手工敲命令和脚本的步骤。Agent 由 Anthropic 的 Claude Sonnet 4.5 驱动——一个相对基础的模型。

Agent 在受害网络里做了什么

从 Gambit 披露的会话看，Agent 被交给凭据或既有入侵通道后，被指派了标准的利用任务：安装并配置 VPN 客户端或 proxychains 接入受害网络；用 Nmap/NetExec 扫描内网子网；用 NetExec 的 BloodHound 收集器枚举域、报告指定用户拥有哪些权限；用 PetitPotam、Coerce Plus、PrinterBug 强制认证后经 Impacket ntlmrelayx 发起 NTLM 中继攻击；用 Certipy 发起证书攻击。操作员反复强调同样的限制：不 DCSync、不锁账户、不把账户加进敏感组——不是出于道德，而是不想惊动受害者。

多数命令并非一次成功：Agent 经常需要多轮修正脚本才能达成目标，有些最终失败、只向攻击者回报了尝试记录。这提醒我们，Agent 是杠杆而非魔法——但当一个有经验的操作员把多个步骤压缩到对话里，攻击节奏已经不可同日而语。

为什么拒绝式安全挡不住

Cursor、GitHub Copilot 与 Anthropic 自家 Claude Code 共享同一个底层弱点：安全拒绝逻辑存在于模型推理内部，由请求如何措辞触发，而非由工具能独立验证的任何事实触发。Cursor 的 Agent 接受了『测试环境』的前提，没有任何外部检查——比如确认目标网络的所有权，或要求一份签名授权令牌。Copilot 的 Agent 模式通常要求执行终端命令或文件修改前获得显式用户确认，这提高了滥用摩擦，但挡不住一个已经控制终端会话的坚定操作员。

企业由此得到的结论清晰：把『模型拒绝恶意请求』当作安全边界，等于把安全建立在对话措辞之上。攻击者只需把『入侵』改述为『模拟』，边界就消失了。安全必须来自组织能核查的外部事实——授权、范围、遥测、审计——而不是模型自证的善意。

企业应对：把编码 Agent 当特权资产治理

对董事会与安全负责人而言，这一事件把『AI 工具被用于攻击』从实验室带进了现实：一个商业编码 Agent，运行在合法开发者工具里，被俄语系勒索软件团伙用于横向移动与提权。安全团队评估 Agentic 工具时，现在有了一个具体的、可点名的案例可以写进供应商风险评估——而网络安全保险承保人也在询问投保方是否使用 Agentic 编码助手、保留何种审计日志。

参考来源

• Reuters：Russian-speaking cybercriminals used SpaceX's Cursor AI tool to hack seven companies（2026-08-27）— www.reuters.com/world/russian-speaking-cybercriminals-used-spacexs-cursor-ai-tool-hack-seven-companies-2026-08-27/
• Gambit Security：Aurora ransomware targets ESXi, abuses Cursor Agent for exploitation（2026-08-27）— gambit.security/blog-posts/aurora-ransomware-targets-esxi-abuses-cursor-agent-for-exploitation
• IBTimes UK：Russian-Speaking Hackers Told Cursor AI It Was a 'Test,' Then Used It To Attack Seven Companies（2026-08-28）— www.ibtimes.co.uk/cybercriminals-exploit-ai-agent-ransomware-attacks-1816740