2026 年 10 月 29 日，云安全公司 Wiz 发布《智能体攻击的兴起》，指出智能体攻击已走出实验室：攻击者用 AI 智能体操盘整场入侵，从找入口、偷凭证到横向移动、批量窃取数据。这类攻击更快、覆盖面更广，但也更吵，留下的痕迹反而给了防守方机会，关键是把分散在身份、云、流水线和负载日志里的信号拼成一张图。
三起入侵长什么样
Wiz 拆解了三起真实攻击。第一起瞄准暴露在外的 Flowise 实例，攻击者利用未授权接口注入脚本，把它变成批量攻击同类实例的跳板。第二起从一家企业的 Java 运营网关入手，利用远程代码执行拿到 shell，随后系统地扫过一整套云原生手法。第三起针对带 MCP 接口的智能体 GraphQL 后端，攻击者通过可控 MCP 命令拿到 shell，批量窃取云凭证和 Kubernetes 令牌。
三起攻击入口不同，走向却很像：先拿立足点，再翻凭证、令牌和配置，最后把战线铺开。单看一步像普通扫描，连起来才看得出智能体在操盘。
识别智能体的七个指纹
Wiz 总结了七条识别指纹，其中三条最容易对上号。第一是机器节律的持续迭代：脚本既非人工手写，也非固定扫描器重放，而是跟着任务难度变化节奏出现，例如一起攻击约 24 小时内出现 99 个不同脚本，另一起持续约 21 小时。
第二是工具里嵌着自然语言推理：脚本开头写着攻击计划，执行中还写注释，说明每一步在测什么、为什么这样测。第三是自我纠错：上一版工具失败后，下一版先解释原因再改写法，遇到 401、403 也会换路线继续。
其余四条是：按清单广度优先覆盖手法、同时向多方向铺开横向移动、不怕吵的批量试探、先验证再动手，以及随手生成的描述性临时文件。单条特征不能定罪，凑在同一场入侵里才构成强信号。
防守方接下来该做什么
Wiz 给出的方向有三层。第一是承认归因会变难：工具越来越容易共享、改写和复用，只凭代码相似性判断是谁干的会越来越不可靠，今后要更多结合受害对象、目标选择和攻击目标判断。第二是接受规模变化：过去限制规模的是熟练人手，现在一个人可以同时盯着更多战役，机会型与定向攻击都可能带上自适应能力。
第三是把吵变成优势：智能体攻击往往不隐蔽，问题是信号散落在不同团队手里。防守方要在事发前打通身份、云、流水线和负载的可见性，建立跨日志关联与快速止血流程，不等告警排队。Wiz 也提醒：不同案例的自主程度和证据强度并不一致，不能把所有自动化攻击都贴上智能体标签，先按指纹筛查、再按证据定级更稳妥。
