Unit 42 实录：多 Agent 前沿 AI 勒索攻击 10 小时拿下企业，还留下 80 页审计

攻击者在周三给一个匿名企业受害者递上了一份 80 页的全面安全审计——不是作为服务，而是作为刚刚吞掉这家企业的勒索攻击的后记。据 Palo Alto Networks 威胁情报部门 Unit 42 的记录，这份审计由同一批 AI Agent 生成：它们用十小时系统性地拆掉了公司的云、身份、CI/CD 与 SaaS 防线，使用了 50 多种 ATT&CK 技术——这项工作让协调有序的人类红队来做，通常需要大约两周。

10 小时 vs 人类红队两周

这份 9 月 2 日发布的研究报告，是迄今关于一次在真实企业内完整运转的多 Agent AI 勒索攻击最详细的公开记录。与 JADEPUFFER 形成关键对比：Sysdig 在 7 月 1 日记录的 JADEPUFFER 攻击单个暴露的 AI 框架端点，使用单一 LLM Agent；9 月的攻击则横跨云、身份、DevOps 与 SaaS 四个平面同时推进——完整的企业攻击面——使用多个并行运作的前沿 AI Agent。攻击者在谈判中主动披露他们使用了前沿 AI 模型，这一点意义重大：前沿模型比安全研究者此前预测会驱动下一波攻击的开源瘦身模型具备强得多的推理能力。

80 页审计：最令人不安的细节

攻击者留给受害者的最终产物——一份记录几十个被利用漏洞的 80 页技术安全审计——是事件中最令人不安、也最有揭示性的细节。它暴露了这类攻击制造的根本治理缺口：为人类速度对手设计的防御——顺序检测、人类分析员事件分诊、手动响应剧本——都建立在一个隐含假设上：以人类认知速度决策的攻击者，会以人类行为速度产生检测信号，给防御者留出观察、分诊与响应的时间。当攻击者把每个技术决策都委托给以模型推理速度运转的机器，这个假设就失效了。组织的安全栈可能功能完备，却仍然结构性不足——因为它为错误的攻击者设计。

攻击链：三个条件的组合

Unit 42 的调查产出一个任何安全团队都能立即套用的诊断：攻击成功，是因为三个条件同时存在——可被程序化攻破的入口点、Agent 能从代码仓库中收割的凭据、以人类速度检测与响应的安全运营。三个条件都在你的环境里，你就处于这次攻击利用的风险窗口。

入口点方面，9 月事件的公网 API 端点未被点名，但模式已确立：Agent 系统性地探测可编程访问的表层，每一个未经认证与限流审查的互联网 API 都是潜在滩头阵地。凭据方面，Agent 直接从源代码中收割 token 与服务密码。硬编码机密不是新暴露，但 AI Agent 能在人类分析员审查单个发现所需的时间内系统枚举整个仓库组合，这改变了风险计算。9 月攻击横跨四个平面：云环境、身份系统、CI/CD 流水线、SaaS 服务与容器基础设施——同时推进，没有给防御者『先处理一个、再处理下一个』的节奏。

同步遏制：唯一有效的响应方式

操作上最重要的发现是同步遏制。当一次 Agent 攻击同时横跨云、身份、CI/CD 与 SaaS，只隔离一个平面、而 Agent 仍在其它平面活跃，攻击会继续适应并在被隔离的平面重新建立立足点。遏制必须是同步的——自动化剧本同时撤销凭据、终止 OAuth 会话、冻结 CI/CD 流水线、隔离云账号，而不是逐个平面顺序执行。如果你的响应手册分别处理云、身份、CI/CD 的攻破，你就没有为多平面 Agent 攻击校准。

AI 基础设施必须被治理为核心安全面，而不是带松散控制的生产力工具。每一个模型端点、API key、Model Context Protocol 网关与 AI 工具集成，都是进入组织 AI 算力的潜在入口——也是被攻破后的潜在编排层，能把攻击流量藏在合法的模型调用里。对 AI 服务的限流、最小权限与诊断日志不再是可选项。

被验证的护栏：分支保护

DevOps 流水线锁定在这个威胁模型里是承重墙：对基础设施即代码仓库强制多方代码评审与不可变分支保护，直接挡住了 9 月事件的 Terraform 后门尝试。那一个控制项就堵死了攻击者的一个持久化机制。它是最便宜的防御之一，却对 AI 辅助攻击有最直接的针对性。原因是架构性的：这是攻击链中唯一需要显式人类授权才能让自动化系统行动的阶段——Agent 能生成代码、尝试推送，但没有人类批准者就无法完成合并。Unit 42 以此证明：阻断自主基础设施变更的控制（要求带外人工批准）能在特定咽喉点挡住自主 Agent，即使环境其余部分已被攻破。

企业可以立即做的三件事

一，先补入口点。9 月事件的公网 API 端点未被点名，但模式已确立：Agent 系统性地探测可编程访问的表层，每一个未经认证与限流审查的互联网 API 都是潜在滩头阵地。如果你运行 Langflow、CrewAI、LangChain 或类似 AI 编排工具，确认访问控制、网络隔离与凭据处理达到你对待生产数据库的标准。二，审计代码仓库中的硬编码凭据。这个案例中 Agent 直接从源代码收割 token 与服务密码——硬编码机密不是新暴露，但 AI Agent 能在人类分析员审查单个发现的时间里系统枚举整个仓库组合，这改变了风险计算。任何过去 30 天没做过全量仓库机密审查的组织，都带着已知缺口在运行。三，测试遏制剧本是否同步。如果你的事件响应手册把云攻破、身份攻破、CI/CD 攻破分开处理，你就没有为多平面 Agent 攻击校准——9 月案例是存在性证明：一次攻击操作能在数小时内同时横穿全部三个平面。一个接一个平面的遏制，等于给 Agent 时间在其它平面重新立足。

底线判断

7 月的 JADEPUFFER 证明单个 AI Agent 能自主完成攻击；9 月的事件证明多 Agent 前沿 AI 能在十小时内打穿企业级防御的每个平面——并在结束后留下一份 80 页的审计。对安全团队，校准公式很简单：如果你的环境同时存在可程序化攻破的入口、代码仓库里可收割的凭据、以及人类速度的检测与响应，你就在这次攻击利用的风险窗口内。三者之中任何一个都可以今天开始改：补入口、清凭据、把遏制剧本改成同步的。这场竞赛没有暂停键——Agent 不会等你的季度安全评审。

参考来源

• TechTimes: Agentic Ransomware Took Down Enterprise in Ten Hours — www.techtimes.com/articles/326409/20260903/agentic-ransomware-took-down-enterprise-ten-hours-ai-left-80-page-audit.htm
• Palo Alto Networks Unit 42: multi-agent ransomware case study (published September 2, 2026)
• Sysdig: JADEPUFFER autonomous ransomware analysis (July 1, 2026) — sysdig.com/blog/ai-agent-ransomware-langflow/