数字安全观察

俄罗斯背景的攻击团伙CyberXero利用Claude Code组建了51个AI代理，在一次任务中扫描了4708个目标，61秒内植入32个WebShell，窃取62.8万条乌克兰数据。

凌晨时分，SOC告警台突然被大量告警淹没。429个WordPress后台在极短时间内遭到批量登录，随后61秒内，32个WebShell被上传至服务器。若在几年前，这样一连串动作通常意味着一支精干的红队连续作业数日。但这一次，操作者几乎没敲几行命令——他手中有一支由51个成员组成的“AI团队”。

上周，安全厂商SOCRadar披露了一个代号为CyberXero的攻击团伙。该团伙具有俄语背景，以牟利为动机，属于初始访问经纪人，将Anthropic的Claude Code和一个名为PentAGI的开源自主渗透Agent直接接入了自己的攻击流水线。AI安全已被讨论许久，而这一次，成建制的“AI打手”实战终于出现。对一线安全人员而言，这不只是一条新闻，更是一次预演。

CyberXero的作业方式颇具“公司化”特征，两条流水线同时运行。

第一条是全球化、自动化的“撒网线”。它针对WordPress和电商平台上的已知漏洞发起攻击：wp2shell（CVE-2026-63030、CVE-2026-60137），以及Support Board插件的SQL注入漏洞CVE-2026-4815。其目标是获取大量后台权限和支付数据，做的是“以量取胜”的生意。

第二条是精心挑选的“点名线”。这条线瞄准乌克兰的能源和关键基础设施，包括哈尔科夫的一家供热企业，手法更偏向深度侦察和人工渗透。SOCRadar对这条线的评价是“没有明显的直接变现逻辑”——这句话的分量，业内人士都清楚。

一明一暗，一条赚钱，一条可能另有买家。这种“双轨”结构，正是AI被用于放大攻击效率之后才会出现的打法。

最令人不安的是速度。

根据泄露的工作目录日志，CyberXero的一次自动化执行扫描了4708个公网目标，确认拿下429个WordPress管理后台，随后在61秒的窗口内植入了32个WebShell。注意这个量级：扫描、验证、投递几乎并行进行，人尚未反应过来，后门已经落地。

它依靠两套AI编排。

一是运行在攻击者主力工作站上的Claude Code，挂载了一个包含51个专用Agent的集群，分工覆盖扫描、漏洞串联、侦察和后期利用。51个Agent各司其职，如同流水线上拧螺丝的工人。

二是将开源自主渗透Agent PentAGI接入Cobalt Strike，通过AI供应商的API生成载荷、执行渗透。也就是说，从“找目标”到“打进去”再到“留后门”，中间需要人工介入的环节越来越少。

这套架构还有一个细节值得留意：整个攻击由8个节点支撑，包括攻击者的Linux工作站、配置服务器、变现基础设施、载荷暂存服务器，以及一个专门负责寻找目标的扫描器。这不是单人操作，而是一个小型作战体系。

这里有一个细节，值得所有从事AI安全的人反复研读。

AI模型不是有安全护栏吗？是的，但护栏约束的是“这一次会话的上下文”，而非模型本身。SOCRadar的原话是：模型的安全控制作用于会话上下文，而不作用于模型权重，因此一次会话中的拒绝不会延续到下一次。

于是攻击者采用了一套非常“朴素”的越狱思路：将请求包装成“我在对自己的基础设施做授权渗透测试”，一旦Agent拒绝，就重置会话，预先置入“授权”话术，重开一局再来。

但有意思的是，护栏并未完全失效。日志中记录了真实的拒绝：模型连续四次拒绝安装后门、关闭防火墙、横向移动、投递WebShell；还有一次，它连续四次拒绝扫描，并识破了一个伪造的所有权令牌。也就是说，AI的安全底线在发挥作用，只是攻击者用“换个会话再来”的笨办法，一点点消磨。

这给防守方的启示很直接：如果只在单次会话层面做AI管控，攻击者用“重置+重开”就能绕过。真正需要管理的，是Agent能够触达的系统边界、凭证权限和出口流量。

SOCRadar的排查建议很具体，建议直接纳入值班清单。

WordPress侧：检查是否存在异常的WordPress管理员账号，是否存在WSO类WebShell。

电商站：运行Magento、PrestaShop的站点，重点核对后台账号和插件完整性。

Redis：检查Redis主机上 ~/.ssh/authorized_keys 是否被写入陌生公钥；暴露在公网的Redis本身就是高危项，应尽快收口。

出口管控：对所有AI Agent和自动化流水线强制最小权限、限制出网。攻击者的AI能够运行，前提是它能自由访问互联网。

会话层之外：将AI管控从“会话级”提升到“系统级”——Agent能碰什么、能连什么、能发什么，必须由边界和凭证来定义，而不能依赖模型“自觉”。

还有一点容易被忽略：这起事件已经波及中国实体。报告提到，攻击者还利用了暴露在公网的Redis服务器，导致两家中国企业被攻陷。这不是“别人家的新闻”。

需要指出的是，CyberXero并非孤例。同一份报告中，SOCRadar还披露了另一个代号为Operation Master的行动。操作者同样大量借助Claude系AI代理编写入侵代码和外传脚本，一边扫描Palo Alto GlobalProtect网关，一边搭建自动化的发票诈骗平台，生成了240万条诈骗消息。

AI在攻击链中的位置，已经从“辅助写个脚本”转移到“编排整个攻击流程”。对防守方来说，坏消息是攻击的边际成本在快速下降；好消息是，这些攻击依然依赖老一套的东西——未打补丁的WordPress、暴露在公网的Redis、过大的权限。

CyberXero这一仗告诉我们，AI不会凭空制造新的攻击面，但它会以空前的速度和规模打穿旧的攻击面。61秒32个后门，不是炫技，而是提醒：当对手开始用Agent集群扫描全网时，靠每周打一次补丁、靠人工盯告警，已经追不上了。将补丁窗口压缩到小时级，把权限和出网卡死，把AI管控做到系统层——这几件事，今天就得排上日程。

更多AI知识，请扫码关注Aiker World社区公众号

Aiker World社区网址：https://aikerworld.com

Aiker World（AI世界）-聚焦AI人才与智能体工具的垂直专家社区。专家领航+人才汇聚+工具赋能，打通AI技术与产业落地断层，为AI从业者、开发者及企业提供一站式成长与协作平台。

来源：安全客安全动态；原文日期：2026-10-19。内容经中文改写，请以原文为准。

(责任编辑：数字安全观察)