结论先行：这轮攻击值得注意的不是「AI 会打洞」，而是单位成本：模型开销约 5000 美元，换来 1200 多次尝试与 100 多家得手，单次成功约 50 美元。当一次入侵的边际成本降到这个量级，靠「没人会专门盯上我们」做防护的前提就没有了。防守侧要重排的，是暴露面的清点顺序。
本文只算攻击侧的成本账与对应的防守动作，不谈智能体该不该用于安全运营这件事。
先把这轮事件的数字摆出来
据多家媒体与一家安全研究机构披露的同一组事实：研究人员在扫描互联网时发现约 24 个暴露在公网的智能体平台实例被用于恶意活动，由此观察到攻击过程；其中最活跃的一组关联 14 个实例、1100 多个攻击项目。
攻击自 9 月下旬开始，针对电商与支付类站点。截至披露时，这些智能体已尝试入侵 1200 多个网站，得手 100 多家企业，其中包含数家上市公司。研究人员称，从起点到达成目标平均耗时略低于 23 小时，单个成功项目记录了约 140 条事实，整体成功率约一成；模型开销约 5000 美元，折合每次成功约 50 美元、每个任务约 5 美元。
需要说明的是，攻击是否造成数据被实际取走，目前尚无结论；几家被涉及的企业的公开回应也集中在「已处置、未发现敏感信息被访问」。因此本文讨论的是攻击成本与暴露面，不是损失规模。
瓶颈从技术换成了额度
过去的规模化攻击受两个限制：人力，和漏洞。一个人要同时推进上百个目标，必须有团队；要找到能用的入口，得有相应的技术积累。这次的形态把两个限制都改写了。
指令不到一百字，说明的是策略偏好，不是逐步操作手册；智能体自己拆解、尝试、失败后换路径，把发现贴到共享面板上，人只需要沿途补提示。于是限制变成了预算：充多少额度，就能并行跑多少个目标、跑多少小时。五十美元一次这个数字的意义就在这里——它把「值不值得试」的门槛压到了几乎可以忽略的水平。
那次得手是怎么进去的
披露里有一个案例很有代表性：智能体在目标对外的公开应用上没找到弱点，于是转去分析与该应用相关的数字记录，从中定位到关联的基础设施，发现其中一个管理面板对外开放，再在面板的数据处理上找到一处不易察觉的缺陷，最终诱导服务器执行了命令。研究人员对此的评价是，这不是低水平攻击者能想出来的走法。
这条路径对防守侧的提示很直接：攻击面不只有「业务系统」这一层。相关联的测试环境、管理后台、上传入口、监控面板，只要在公网上可达，就都在同一条路径上。智能体不区分「主系统」和「周边系统」，它只找可达的那一个。
反过来，攻方也栽在同一类错误上
这次行动能被看见，原因很简单：攻击者的控制面板直接暴露在公网，部分还没有认证。研究人员因此得以在不惊动对方的情况下读取整个作业过程，包括目标、步骤、拿到的凭据与结果。
攻守双方犯的是同一类错误——把管理面放到了不该放的位置，且没有访问控制。这也解释了为什么暴露面治理总排在修复清单前面：它不解决所有问题，但它决定「谁能看见你、能不能试你」。
防守侧先做三件事
其一，把公网可达面的清点范围扩大。除了业务系统，把管理后台、控制台、测试环境、上传与回调入口一并纳入，逐个确认是否需要对外、是否有认证、是否有访问来源限制。清单按季度复核，新增一条就登记一条。
其二，把「关联基础设施」当成一个整体来看。一个应用对外暴露的域名、证书、关联的子域与旁站，都是入口候选。资产测绘的意义在这里：不是把资产数字做大，而是把「从哪个点能摸到主体」这条路径画出来。
其三，接受低成本持续探测这个新常态。当单次尝试的成本降到几美元，异常流量的形态会变得更分散、更慢、更像正常访问。这类行为靠阈值告警抓不住，更适合用「行为与基线偏离」加「可疑目标集中度」来判断。
边界与前提
三点说明。其一，本文数字取自公开披露的同一组研究结论，其中部分为研究机构的估算（如单次成本、成功率），属参考性指标，与具体企业环境的实际情况会有差异。其二，文中所述攻击路径为个案观察，不代表所有智能体驱动的攻击都会走同一条路。其三，关于攻击是否造成数据外泄，披露方明确表示尚无定论，本文未作推断。
深圳市奇摩计算机有限公司在数据中心运维与安全交付中，按季度对客户环境的公网可达面做清点，把管理面、测试环境与周边系统一并纳入，并把行为基线与流量偏离作为日常监测项；暴露面清单与处置记录作为交付件留存。预约咨询，可以先从你环境里公网可达的管理面开始清。