2026年10月28日，Trend Micro研究员松川芽生（Bakuei Matsukawa）和陈志伟（Joseph C Chen）发布报告，确认攻击者以44个协同工作的AI代理为核心，在当月对至少19家机构发动了全链路自动化网络攻击，其中16家位于日本，其余目标分布于台湾和香港。这是研究人员迄今记录的AI驱动程度最高的实战攻击案例。
这次攻击的真正新颖之处
按照Trend Micro的报告，攻击方所用的CyberStrikeAI是一个可合法获取的开源渗透测试平台，并非专为这次行动打造的新型恶意程序。该平台把侦察、漏洞发现与验证、漏洞利用、命令与控制、权限维持、数据渗出以及结构化报告这些环节连成一条自动化流水线，全程不需要人工介入。从恢复出的文件中可以看到，“凭据搜索代理 8/44”直接印证了44个代理的分工配置：各代理承担不同环节、并行作业，结果统一汇入共用数据库，从而形成一套可跨多个目标反复使用的标准化流程。
整个攻击过程中，零日漏洞一个都没用上。Trend Micro确认，入口是一台遗留Web系统上无需验证就能访问的管理界面。那44个代理做的事，是在大量目标里系统性地翻找这类长期未修补的旧门，而非挖掘新的安全漏洞。自动化带来的价值主要体现在规模和速度上，技术深度并不是重点。
分散流量的反侦察设计
这套系统在工程上最见功力的地方，是流量分配策略。代理会跨多个目标并行推进，同时把发往每一个单一目标的流量压得比较低。也就是说，受害机构如果只查自己的日志，很难从流量异常里看出攻击痕迹。Trend Micro的研究人员是去检索攻击者服务器上可公开访问的文件——攻击脚本、目标列表、执行日志、命令记录都在其中——才把完整图景还原出来。
攻击平台的管理控制台带有可视化界面，工具执行成功率、token用量和批量创建控件都能在界面上看到。报告按每个可识别目标分别生成，并附有结构化证据索引。平台还能自动生成日语表单和仿冒登录页面，用来适配日本目标。说到底，这是一套带项目管理界面的攻击运营系统。
简体中文界面不等于归因
管理控制台的截图显示，操作界面用的是简体中文。Trend Micro研究人员明确提醒：仅凭界面语言，无法确定攻击者所在位置或其组织归属。CyberStrikeAI是任何人都能下载部署的开源项目，语言偏好既可能是母语习惯，也可能是故意伪装。Trend Micro在同一批报告里研究的另外两个日本定向攻击案例，操作语言同样是简体中文，但三个案例用的工具并不相同，研究人员无法确认它们是否出自同一操作者之手。
早期媒体报道在标题措辞上容易让读者预先形成错误的归因假设。眼下攻击者身份仍不明确，Trend Micro也没有给出任何有证据支撑的归因结论。
自动化效率的真实天花板
据Trend Micro的报告，大量攻击记录显示的结果是“无活跃会话、无Web Shell、无数据渗出”。44个代理全部投入，并没有换来对等的入侵成功率。不少目标上，自动化流程跑完了侦察和漏洞验证，深度突破却没能实现。
Trend Micro同期研究的第二个案例（Case B）走的是“人工主导+AI辅助规划”的混合路线，攻击者在少数目标上渗透得更深——FTP服务、数据库、管理账户、Web Shell和SSH访问被同时控制。就当前阶段而言，人机协作造成的实际损害仍比纯AI自动化更严重。这个结论正好量出AI武器化进展的真实刻度：工具已经工程化，但在处理边缘情况和升级权限时，人的判断力依然不可替代。
日本为何成为集中目标
Trend Micro报告交代的时间背景是一条重要线索。2026年秋季，日本多家企业和机构接连报告Web系统数据泄露事件。日本国家网络安全办公室在2026年10月9日向企业发出警告，执政党网络安全负责人把当前形势定性为“紧急状态”。可见这次攻击并非孤立事件，它属于更大规模扫描和定向攻击浪潮的一部分。
CyberStrikeAI此前曾在针对FortiGate设备的独立攻击活动中出现——2026年初一名技术能力有限的攻击者借助该工具，在未使用任何零日漏洞的情况下攻入超过55个国家的600余台FortiGate防火墙。CyberStrikeAI正在被不同操作者在不同攻击活动中重复使用，这是开源攻击平台扩散后的自然结果。
对防御方意味着什么
Trend Micro给出的防御建议，指向的是同一个根本问题：暴露在互联网上的遗留系统和默认凭据。CyberStrikeAI的攻击之所以能批量复制，恰恰是因为它的猎物在日本机构里数量充足——无需验证的管理接口、未修改的默认密码、未下线的老旧VPN设备——足够支撑一条44代理的流水线持续运转。
攻击走的是分散、低流量的路子，单一机构想靠自身日志检测出来极为困难。Trend Micro之所以能发现这次攻击，是因为攻击者服务器上的文件对公网可访问——这是操作安全上的失误，防御监控并没有发挥作用。
判断
CyberStrikeAI案例确认了一点：AI代理已经能在没有持续人工干预的情况下跑完整条攻击链，并且具备针对特定目标语言和文化的适配能力。但这个案例也暴露出当前AI攻击的真实边界：它擅长规模化扫描和流程标准化，一旦遇到需要动态判断的深度权限升级，效果仍然不如人机协作。
防御端要做的，是在AI代理处理边缘情况的能力补足差距之前，先把遗留系统的暴露面清理掉——因为等AI代理补上这块能力之后，今天这些失败记录（“无会话、无渗出”）就会变成成功记录。
