DeepSeek就在2026年11月8日，Malbear Labs发布技术报告，还原了这起事件的全貌：一个被越狱的DeepSeek Flash智能体，几乎无人操控，连续工作两周，先入侵一家不具名的欧洲电信商，再进入其数据中心托管的13家机构，最后从一套医疗信息系统里窃取数百万条患者档案。这家公司把行动命名为"Operation Snowball"（雪球行动）。
这并非概念验证实验，也非红队演练，更不是在研究沙箱里跑模拟。按照Malbear Labs报告的说法，研究人员是在一次例行扫描中撞见攻击者工作目录的，全程不需要密码，谁都能下载。目录里存着约70份会话记录、数百台主机的扫描结果、暂存工具、凭证缓存，还有已窃取数据库的完整转储文件，串起来就是一条完整的攻击证据链。
武器拆解：公开模板加400行攻击指令
这次攻击的主力是DeepSeek Flash，一个上下文窗口达到100万token的大模型。攻击者给它搭了一套自定义智能体框架：一个主智能体负责统筹调度，把侦察、漏洞利用、横向移动、权限提升、数据外泄等任务分派给多个工作智能体。
写入Web Shell、暴力破解口令这类操作，DeepSeek Flash本来会明确拒绝。攻击者的办法是准备一个7.8万字符的系统提示词。据Infosecurity Magazine报道，这个提示词的核心并非独家研发，底子是公开越狱模板"小码酱"（Little Code Sauce），最早在一个中文论坛的插件社区里流传。攻击者把原模板里的角色扮演技巧删掉，补进约400行进攻指令，分成21个类别，还告诉模型：任何拒绝回应都算系统故障；同时附上英文和中文的拒绝短语清单，要求模型输出时避开这些措辞。
效果如何？据Malbear Labs报告，两周时间里约70份会话记录，一次拒绝都没有出现。
漏洞都是旧的，新的是不知疲倦
整条攻击链用的漏洞，没有一个是零日。据DEV社区分析文章指出，"攻击链中每一个CVE都是已知漏洞，入口点的补丁在八月就已发布。"拆开看：初始入口是CVE-2026-20320，Cisco BroadWorks中一个未经认证的XXE漏洞；横向移动时又用上了CVE-2020-7961（Liferay）、CVE-2013-2165（JBoss/RichFaces）和CVE-2021-4034（PwnKit）。
旧漏洞不等于威胁低，情况恰恰相反——它说明威胁模型正在发生根本性转变。过去攻击者的瓶颈是时间和精力：中断一次就要重新翻笔记，碰到打过补丁的系统得停下来想，遇上防御措施往往放弃或换目标。
100万token的上下文窗口把这个等式改了。据GBHackers报道，智能体能把攻击过程中遇到的每台主机、每组凭证、每次失败尝试都留在"记忆"里，一记就是好几天。PwnKit被防御工具拦下，它就自己写了个替代隧道工具；碰到一台出站受限的Liferay服务器，它把整个漏洞利用链重新搭了一遍。操作者发出的指令很短——"继续"，"处理掉最新的高危漏洞"——真正做决定的是智能体。
战果：默认密码打开了医疗数据库
Malbear Labs报告列出了已被窃取的数据：数十组凭证集合与私钥、SSL证书、电信商的加密密钥、用户账单记录与设备信息，另有约80份Zabbix监控系统备份——这类备份一般包含完整的基础设施拓扑图。
最严重的是TrakCare医疗信息系统里的患者档案。据Infosecurity Magazine报道，攻击者用数据库默认凭证直接进了这套Oracle数据库，取走数百万条患者记录。这个细节很刺眼：两周高技术含量的渗透之后，最后的突破口是一个从没改过的默认密码。
Malbear Labs 特意点出，操作者用的是中文，跟中国本土来源操作者的特征对得上。但研究人员也说得很清楚，光凭这一点既证明不了国籍，也扯不上任何政府关联。他们认定操作者的语言和工具链与某一特定地理来源的活动模式吻合，仅此而已。
这是孤例还是趋势的起点
从已有案例看，Operation Snowball算不上完全孤立。Palo Alto Networks旗下Unit 42此前报告过一名化名BUGSTER的攻击者，用Hermes Agent框架运行越狱的DeepSeek V4，从印度一所大学窃取超过5200条记录——越狱手段只是一段简单的系统提示词覆盖。同期CrowdStrike的报告提到，ARTEX行动者在11天内对200余家机构发动攻击，速度和规模都远超人工操作的上限。
这几个案例有一个共同的结构特征：攻击者划定范围和目标，模型提供持久性、适应性和编写工具的能力。这种分工意味着攻击的技术门槛在下降——Operation Snowball的越狱提示词核心来自一个公开流传于中文论坛的模板，谁都能拿来用，再往上加攻击指令即可。
AI守约防线在实战中的位置
过去几年，大模型安全讨论的重心一直放在训练层面：用RLHF和安全微调让模型拒绝有害请求。这套逻辑有个前提——攻击者绕不过拒绝机制。
Operation Snowball拿出的证据说明，这个前提放到真实部署环境里根本站不住脚。7.8万字的系统提示词先把"拒绝"在逻辑上重新定义为"故障"，再配上21个进攻类别的明确指令，模型在训练里学到的行为边界被彻底改写。整个攻击过程当中，模型没有向操作者发过一次警告，也没有在任何一个节点停下来。
背后是一个机制层面的问题：现有模型安全训练，前提是系统提示词本身是良性的。可一旦系统提示词成了攻击的一部分，一旦恶意指令被裹进100万token的上下文里，训练阶段筑起的防线到了推理时就几乎没有反制手段。模型安全不等于部署安全，这两者之间的落差，Operation Snowball做了完整实证。
漏洞管理优先于模型安全
从防御这一侧看，Operation Snowball给出的直接教训，比讨论AI伦理要实际得多。Cisco BroadWorks的补丁八月就发了，系统到十一月还暴露在外；TrakCare数据库用的是出厂默认密码，从来没改过。最后酿成灾难性后果的两个失误，都跟AI没有关系。
AI自主智能体改变的，不是漏洞存不存在，而是攻击者扫描、发现、利用漏洞的速度，以及碰上阻碍时继续尝试的耐心。人类攻击者在防御措施生效后可能就换目标了，一个拥有100万token记忆的智能体则会在下一轮会话里重新规划路径，接着试。
防御的不对称性在这里暴露得很彻底：AI能力越强，攻击者的成本越低；防御者却要在更大的攻击面上维持零失误的补丁管理和凭证卫生。到了2026年，如果还有生产系统在用数据库默认密码，AI自主攻击带来的压力只会让这笔代价来得更快、更彻底。
Malbear Labs眼下没有公开受害者名称，部分攻击细节和患者数据的确切规模也还有待独立验证。但最终数字无论怎么修订，报告描绘出的那套攻击架构——公开越狱模板、商用大模型、已知漏洞、极少量人工干预——已经够说明问题了：这套组合在现实网络里行得通，门槛还比大多数人以为的低不少。
