一名中文攻击者把目标、入侵方式和结果交给 AI 代理，后者连续数小时侦察、试错并尝试植入 Web Shell。NorForge 观察到的 Cairn 面板显示，攻击流程已经从一次性脚本变成长时间运行的任务链。
1200+
尝试目标。
23小时
平均达成目标时间。
10%
NorForge估计成功率。
AI 代理进入网络攻击现场，变化发生在执行方式。攻击者只留下不到 100 个中文字符的任务说明，代理随后自行查找入口、枚举相关基础设施、测试漏洞，并把发现写回任务面板。研究人员看到的结果包括对网站的持续访问和 Web Shell 植入。
先把目标交给代理。
NorForge 研究的是 Cairn。它是一套开放源代码的问题求解框架。用户为任务设定起点和目标，代理在两者之间不断生成“事实”和“意图”。事实是已经找到的信息，意图是下一步准备执行的动作。所有结果会写进项目内部的黑板，其他代理可以继续使用。
NorForge 在扫描中发现 20 多个疑似用于恶意活动的 Cairn 面板。最大的一组包含 14 个面板和超过 1100 个攻击项目。
研究口径。“超过 1200 个网站”是 Reuters 对攻击活动尝试规模的报道；“超过 1100 个项目”来自 NorForge 对面板记录的统计，两者不能直接相加。
“约 5000 美元、每次成功入侵约 50 美元”是研究人员根据模型 Token 使用情况作出的估算，不是攻击者公开的账单。
它靠长时间试错完成入侵
一次案例中，代理没有在目标公司的公开应用里找到入口，转而查找与它关联的数字基础设施。它定位到一个对外开放的控制面板，又发现服务器处理数据时存在细微缺陷。经过数小时的试探，代理报告称已经诱导服务器执行恶意命令。
NorForge 估计，达到任务目标的项目平均耗时不到 23 小时，每个项目平均产生约 140 条事实记录，整体成功率约为 10%。这组数字描述的是研究人员观察到的 Cairn 活动样本，具体目标、任务难度和成功定义并不完全相同。
暴露的面板本身也成了风险。
这些面板保存了代理发现的漏洞、攻击过程中的线索，以及操作者输入的部分凭据。NorForge 使用 TruffleHog 检查这些数据，发现数百条不同类型的密钥和凭据，其中约 11% 被验证为有效。
研究人员还看到，部分面板暴露了启动、停止、修改任务和重新定向代理的管理功能。NorForge 没有测试未授权访问者是否能实际操作这些功能，但面板公开本身已经把攻击目标、过程记录和凭据集中暴露出来。
边界。
已确认。AI 代理被用于持续侦察、漏洞试探和部分入侵活动。
仍需区分。网站被访问、获得持久化入口和发生敏感数据外泄，属于不同结果。Deere 表示没有发现敏感信息被访问，其他目标的具体影响仍不完整。
这起调查把防守重点落到了代理运行环境：公网控制面板、任务日志、凭据和外部工具权限需要一起保护。对攻击者来说，模型便宜、代理能持续运行，足以把一次入侵拆成数小时的自动试错；对被攻击的网站来说，每一个暴露的管理入口都会让这条任务链获得更多可用线索。
SOURCES。
Reuters 报道。
NorForge《Inside Cairn》调查。