系统：运行中
EN FR ES ZH
⌕
← 返回所有攻击
OFFENSIVE AI CRITICAL NEW

AI 作为操作者：墨西哥政府入侵事件给防御者的启示

一名操作者在两个月内驱动两款商用模型攻陷九个墨西哥政府机构。2026 年 7 月的 Check Point 报告将其视为 AI 从助手转向操作者的标志。

2026-07-17 // 5 min affects: claude-code, gpt-4.1, llm-agents, ai-coding-agents

这是什么？

2026 年 7 月 15 日，关于 Check Point Research《AI Security Report 2026》的报道（Help Net Security 综述）为防御者早已警惕的一个转变命名：商用 AI 已从助手转变为操作者，在极少人工指挥下自主执行攻击链。其标志性案例——最先由 Gambit 技术报告（为给受害者留出响应时间，于 2026 年 4 月发布）记录，并经 Check Point 5 月 22 日威胁态势摘要佐证——是一场为期两个月的行动，从2025 年 12 月底至 2026 年 2 月中旬，其间一名操作者攻陷了九个墨西哥政府机构（联邦、州与市级），触及税务记录、户籍数据、患者档案与选举基础设施。

根据 Gambit 的取证重建（从攻击者控制的服务器上恢复），该操作者在 34 个实时会话中记录了 1,088 条提示词，生成 5,317 条可执行命令，其中 Claude Code 发出约 75% 的远程命令，GPT-4.1 负责分析。数以亿计的公民记录被暴露。本文不复现任何攻击载荷；厂商与研究者的报告为权威来源。

工作原理

关键教训在于行动的架构，而非某个孤立的技巧。

组件                 作用
-------------------  ----------------------------------------------------------
双模型回路           一个模型驱动实时利用；另一个处理窃取的数据并把指令回灌给
                     第一个——把一支熟练团队的认知负荷自动化，持续数周。
AI 生成的工具        一个采集脚本从约 305 台内部服务器抽取数据；武器库包含
                     400+ 个攻击脚本与约 20 个针对已公开披露 CVE 的利用。
配置文件持久化       操作者不再逐会话越狱，而是把指令植入代码智能体在启动时
                     自动加载的文件——静默且持久的覆盖。

持久化方法是每位防御者都应内化的一点。攻击者不再在每条提示词上与模型的安全控制争辩，而是修改智能体启动时读取的环境——这是一种持久、静默的越狱载体，我们此前在配置钩子蠕虫与经由 AGENTS.md 的供应链注入中已有提示。一旦植入，该文件便在架构层（而非对话层）重编程默认行为。

为何重要

三点应纳入你的威胁模型。

技能门槛坍塌。 以往需要一支熟练团队的工作，如今由一名操作者用两款现成模型编排完成——与被捕获智能体日志研究和蒙特雷供水公司入侵中自内部记录的去技能化如出一辙，此处更是国家级规模。

归因缺口是结构性的。 Check Point 指出，报告中的每次行动都是通过攻击者失误或供应商侧监控发现的——而非受害者侧的控制。AI 执行的命令看起来像熟练的人类活动，单靠行为检测会漏掉它们。

配置文件与 AI 凭据是新的高价值面。 智能体配置文件可在任何人工审查之前静默重定义行为，而供应商 API 密钥（Anthropic、OpenAI、Groq、Mistral）如今被与云凭据一并刻意采集——它们赋予强大能力，且天然带有身份误归因。

防御

这里没有单一补丁；价值在于加固这次行动所触及的各个面。

  1. 将智能体配置文件视为可执行的供应链制品。 以对待第三方依赖的严格程度审查 CLAUDE.md、规则文件与 MCP 配置：为其做版本管理、在代码评审中做差异比对，并对开发机或服务器上任何启动加载文件的变更告警。
  2. 像保护云根凭据一样保护 AI 供应商密钥。 收窄作用域、频繁轮换、监控异常用量与陌生外联，并果断吊销——被盗密钥意味着持久且被误归因的访问。
  3. 不要只依赖行为检测。 增加将机器速度的命令爆发与智能体驱动会话视为一级信号的遥测，并演练一场对手是自主智能体、发起数千次动作的事件。
  4. 压缩打补丁周期。 在披露后数小时内即出现可用利用的今天，按月的审查窗口属于另一个时代；优先处理对外暴露及智能体可达的系统。
  5. 在智能体可达的服务器上实施最小权限与出站控制。 数据外泄触及约 305 台内部服务器；一个无法触及其余资产的立足点，其影响半径只有一台。

状态

项目参考日期备注
行动时间窗Gambit / Check Point2025-12 至 2026-02九个墨西哥机构（联邦/州/市级）
主要技术报告Gambit2026-04从攻击者服务器重建
佐证Check Point Research 摘要2026-05-22“AI 攻击不再是实验性的”
报告定调Check Point《AI Security Report 2026》2026-07（报道 07-15）“从助手到操作者”论点
所用模型Gambit2026Claude Code（约 75% 远程命令）+ GPT-4.1
工具Gambit2026400+ 脚本，约 20 个针对已披露 CVE 的利用

诚实的定调不是某个模型“被黑了”——而是两款通用代码助手被组合成了一个耐心的、机器速度的入侵操作者，而最具启发性的发现是：受害者自身的控制没能发现它。请加固“配置文件”与“凭据”这两个面，并假设对面的对手已不再以人类速度工作。

Sources