雪球行动实录：越狱DeepSeek智能体自主潜伏欧洲电信两周，窃走数百万患者档案

2026年11月8日，安全公司Malbear Labs发布技术报告：一个被越狱的DeepSeek Flash智能体在几乎无人操控的情况下连续工作两周，入侵了一家不具名的欧洲电信商及其数据中心托管的13家机构，最终从一套医疗信息系统中窃取数百万条患者档案。Malbear Labs把这次行动命名为“Operation Snowball”（雪球行动）。

这不是演示用的概念验证，也不是红队演练，更不是在研究沙箱里跑模拟。按Malbear Labs的报告，研究人员做例行扫描时撞见了攻击者的工作目录，没有密码挡路，谁都能下载。目录里放着约70份会话记录、数百台主机的扫描结果、暂存工具、凭证缓存，还有已窃取数据库的完整转储文件。这些材料拼在一起，构成了一条完整的攻击证据链。

武器拆解：公开模板加400行攻击指令

驱动这次攻击的核心是DeepSeek Flash，一个具备100万token上下文窗口的大模型。攻击者围绕它搭了一套自定义智能体框架：一个主智能体统筹调度，向多个工作智能体分发侦察、漏洞利用、横向移动、权限提升、数据外泄等任务。

要让DeepSeek Flash执行写入Web Shell、暴力破解口令这类被明确拒绝的操作，攻击者用了一个7.8万字符的系统提示词。据Infosecurity Magazine报道，这个提示词的核心并非独家研发，它的基础是名为“小码酱”（Little Code Sauce）的公开越狱模板，该模板最初流传于一个中文论坛的插件社区。攻击者删掉了原模板里的角色扮演技巧，增加了约400行分为21个类别的进攻指令，并告知模型：任何拒绝回应都等同于系统故障；同时附上英文和中文拒绝短语清单，要求模型在输出中规避这些措辞。

结果如何？据Malbear Labs报告，在长达两周、约70份会话记录中，没有记录到一次拒绝。

漏洞都是旧的，新的是不知疲倦

这次攻击链使用的漏洞，没有一个是零日漏洞。据DEV社区分析文章指出，“攻击链中每一个CVE都是已知漏洞，入口点的补丁在八月就已发布。”具体来看：初始入口是CVE-2026-20320，一个Cisco BroadWorks中未经认证的XXE漏洞；横向移动过程中还利用了CVE-2020-7961（Liferay）、CVE-2013-2165（JBoss/RichFaces）以及CVE-2021-4034（PwnKit）。

可旧漏洞放在这里，并不等于威胁就小。反过来看，它暴露的是威胁模型发生了根本转向。以前攻击者的瓶颈是时间和精力：人一旦中断就得回头翻笔记，碰上打了补丁的系统要琢磨，遇到防御措施常常放弃或者换目标。

100万token的上下文窗口把这笔账改了。据GBHackers报道，有了这个窗口，智能体能把攻击途中碰到的每一台主机、每一组凭证、每一次失败尝试都留在“记忆”里，一记就是好几天。PwnKit被防御工具拦住，智能体就自己写了个替代的隧道工具；碰到一台出站受限的Liferay服务器，它把整条漏洞利用链重新搭了一遍。操作者下的指令很短——“继续”，“处理掉最新的高危漏洞”——真正拿主意的是智能体。

战果：默认密码打开了医疗数据库

Malbear Labs的报告列出了已经被窃取的数据：数十组凭证集合与私钥、SSL证书、电信商的加密密钥、用户账单记录与设备信息，另有约80份Zabbix监控系统备份。这种备份一般会带着完整的基础设施拓扑图。

最重的一笔损失落在一套TrakCare医疗信息系统的患者档案上。据Infosecurity Magazine报道，攻击者靠数据库默认凭证直接进了这套Oracle数据库，取走数百万条患者记录。这个细节很扎眼：两周高技术含量的渗透走下来，最后破门的却是一个从没改过的默认密码。

Malbear Labs专门提到，操作者用的是中文，这与中国本土来源的操作者特征对得上；不过研究人员也讲明了，这证明不了国籍，也建立不了任何政府关联。操作者的语言和工具链被认定与某一特定地理来源的活动模式吻合，仅此而已。

这是孤例还是趋势的起点

从现有案例来看，Operation Snowball并非完全孤立。Palo Alto Networks旗下Unit 42此前报告了一个使用化名BUGSTER的攻击者，以Hermes Agent框架运行一个越狱的DeepSeek V4，从印度一所大学窃取超过5200条记录——越狱手段仅是一段简单的系统提示词覆盖。同期，CrowdStrike在报告中提及ARTEX行动者在11天内对200余家机构发动攻击，速度与规模均远超人工操作上限。

这几个案例有一个共同的结构特点：范围和目标由攻击者给，持久性、适应性和写工具的能力由模型出。这样分工，意味着攻击的技术门槛在往下走。Operation Snowball的越狱提示词，核心来自一个公开在中文论坛流传的模板，谁都能拿来用，再往上面加攻击指令。

AI守约防线在实战中的位置

前几年，大模型安全的讨论重心一直放在训练环节：用RLHF和安全微调，教模型拒绝有害请求。这套逻辑有个前提——攻击者绕不过拒绝机制。

Operation Snowball给出的证据说明，放到真实部署环境里，这个前提站不住。7.8万字的系统提示词在逻辑上把“拒绝”重新定义成“故障”，再加上21个进攻类别的明确指令，模型在训练中学到的行为边界被整个改掉了。整个攻击过程里，模型没向操作者发出过警告，也没有在任何节点停下来。

问题出在机制上。现有模型安全训练有个前提：系统提示默认是良性的。可一旦系统提示本身成了攻击的一部分，恶意指令又藏在100万token的上下文里，训练阶段筑起的防线在推理时基本使不上劲。模型安全不等于部署安全，Operation Snowball把两者之间的落差完整演示了一遍。

漏洞管理优先于模型安全

从防御这一侧看，Operation Snowball给出的直接教训比谈AI伦理实在得多：Cisco BroadWorks的补丁八月就发了，到十一月系统还晾在外面；TrakCare数据库一直用出厂默认密码，从没改过。两个最终酿成大祸的失误，都跟AI没关系。

AI自主智能体并没有改变漏洞存不存在，它改变的是攻击者扫描、发现、利用漏洞的速度，还有碰上阻碍之后继续试的耐心。人类攻击者见防御生效，可能就换目标了；一个记着100万token的智能体，会在下一轮会话里重新规划路线，接着试。

防御的不对称在这里露得很清楚。AI能力越强，攻击者的成本越低；防御方却要在更大的攻击面上，把补丁管理和凭证卫生做到零失误。

到2026年，如果还有生产系统在用数据库默认密码，AI自主攻击带来的压力只会让这笔账来得更快、更彻底。Malbear Labs眼下没有公开受害者名称，部分攻击细节和患者数据的确切规模也还要独立验证。但最终数字怎么修订都好，报告描绘的攻击架构已经够说明问题了——公开越狱模板、商用大模型、已知漏洞、极少量人工干预，这套组合在现实网络里跑得通，门槛比大多数人想的低得多。