CyberStrikeAI现身：44个AI代理攻击日本16家机构，未用零日漏洞

2026年10月28日，Trend Micro研究员松川芽生（Bakuei Matsukawa）和陈志伟（Joseph C Chen）发布了一份报告。报告确认，攻击者以44个协同工作的AI代理为核心，在当月对至少19家机构发动了全链路自动化网络攻击。其中16家位于日本，其余目标分布于台湾和香港。研究人员称，这是迄今记录到的AI驱动程度最高的实战攻击案例。

这次攻击的真正新颖之处

据Trend Micro报告，攻击者用的是CyberStrikeAI——一个合法的开源渗透测试平台，而不是为攻击专门开发的新型恶意软件。该平台把侦察、漏洞发现与验证、漏洞利用、命令与控制、权限维持、数据渗出、结构化报告串成一条不依赖人工介入的自动化流水线。恢复出的文件显示，“凭据搜索代理 8/44”直接确认了44个代理的分工配置：不同代理各管一个环节，彼此并行，结果汇入共用数据库，形成可跨多个目标复用的标准化流程。

整个攻击过程没有利用任何零日漏洞。据Trend Micro确认，初始突破口来自一台遗留Web系统上无须验证即可访问的管理界面。44个代理在大量目标中系统性地搜寻这类久未修补的旧门，而不是去挖新的安全漏洞。自动化的核心价值在于规模和速度，而非技术深度。

分散流量的反侦察设计

这套系统在设计上最见工程功夫的一环，是流量怎么分。代理会同时朝多个目标并行推进，把打到每个单一目标的流量都控制在偏低的水位。这样一来，哪家受害机构单独去翻自己的日志，都很难从流量异常里看出攻击的蛛丝马迹。Trend Micro的研究人员是去检索攻击者服务器上那些公网可访问的文件——攻击脚本、目标列表、执行日志、命令记录都在其中——才把整幅图景拼了回来。

攻击平台的管理控制台提供可视化界面，可查看工具执行成功率、token用量和批量创建控件。报告针对每个可识别目标单独生成，包含结构化证据索引。平台甚至能自动生成日语表单和仿冒登录页面，以适配日本目标。说到底，这是一套带项目管理界面的攻击运营系统。

简体中文界面不等于归因

管理控制台的截图显示，操作界面用的是简体中文。不过Trend Micro的研究人员明确提醒：光看界面语言，定不了攻击者地处何方、归属于哪个组织。CyberStrikeAI是开源项目，谁都能下载部署，语言偏好可能是母语习惯，也可能是故意放的烟雾弹。Trend Micro在同一批报告里研究的另外两个针对日本的攻击案例，操作语言同样是简体中文，可三个案例用的工具各不相同，研究人员没法确认它们是否出自同一操作者之手。

早期媒体报道在标题上的措辞，容易让读者先入为主地把攻击归到某个来源头上。眼下攻击者身份并不清楚，Trend Micro也没有给出任何有证据支撑的归因结论。

自动化效率的真实天花板

Trend Micro的报告显示，大量攻击记录呈现出来的结果是“无活跃会话、无Web Shell、无数据渗出”。44个代理全都部署上去，入侵成功率并没有跟着水涨船高。不少目标上，自动化流程把侦察和漏洞验证做完了，深度突破却没能实现。

Trend Micro同期研究的第二个案例（Case B）走的是“人工主导+AI辅助规划”的混合路子，攻击者在少数目标上渗透得更深——FTP服务、数据库、管理账户、Web Shell和SSH访问被同时拿下。就现阶段而言，人机协作造成的实际损害仍然比纯AI自动化更重。这个结论正好量出了当前AI武器化的进展刻度：工具层面已经工程化，可碰到边缘情况和权限升级，人的判断力依旧没法被替代。

日本为何成为集中目标

Trend Micro报告交代的时间背景很能说明问题。2026年秋季，日本多家企业和机构接连报告Web系统数据泄露。日本国家网络安全办公室在2026年10月9日向企业发出警告，执政党网络安全负责人把当前形势定性为“紧急状态”。可见这次攻击不是孤立的一起，它属于一轮更大范围扫描和定向攻击浪潮的组成部分。

CyberStrikeAI此前曾在针对FortiGate设备的独立攻击活动中出现——2026年初一名技术能力有限的攻击者借助该工具，在未使用任何零日漏洞的情况下攻入超过55个国家的600余台FortiGate防火墙。不同操作者在不同攻击活动中重复使用CyberStrikeAI，这是开源攻击平台扩散后的自然结果。

对防御方意味着什么

Trend Micro的防御建议，指向的是同一个根子上的问题：暴露在互联网上的遗留系统，还有默认凭据。CyberStrikeAI的攻击之所以能批量复制，恰恰是因为它的猎物在日本机构里数量充足——无须验证的管理接口、没改过的默认密码、还没下线的老旧VPN设备，足够撑起一条44代理的流水线持续运转。

这种分散、低流量的打法，让单一机构想靠自己的日志做检测变得极其困难。Trend Micro之所以能发现这次攻击，是因为攻击者服务器上的文件对公网可访问——那是操作安全上出的纰漏，不是防御监控起了作用。

判断

CyberStrikeAI这个案例确认了一点：AI代理已经能在没有持续人工干预的情况下跑完整条攻击链，还能针对特定目标的语言和文化做适配。但同一个案例也划出了当前AI攻击的真实边界：规模化扫描、流程标准化是它的强项，一旦要动态判断、深度提权，效果还是不如人机协作。

防御端得赶在AI代理补齐处理边缘情况的能力之前，先把遗留系统的暴露面清理干净——因为等AI代理在边缘情况上的短板补上了，今天这些失败记录（“无会话、无渗出”）就会翻成成功记录。