荷兰安全非营利组织 DIVD 遭 AI 代理入侵，利用两个 Zammad 零日漏洞

荷兰漏洞披露研究所（DIVD）是一家由志愿者组成的安全研究非营利组织。9 月 30 日，该机构称其网络被一个 AI 代理攻破，对方利用了 Zammad 中两个此前未知的漏洞。Zammad 是一个开源的服务台与工单平台。BleepingComputer 报道，这两个漏洞编号为 CVE-2026-102489 和 CVE-2026-102490。两者结合，攻击者可以劫持会话、远程执行代码，并将权限提升至 root。DIVD 表示，整个攻击仅耗时几秒，因为该代理在没有人工指令的情况下自主行动。

最值得关注的细节并非速度，而是代理留下的记录。DIVD 称，由于代理清晰地记录了其决策理由，调查人员得以重构事件经过，这相当于提供了一份笔录。DIVD 表示：“两者结合，攻击者得以劫持会话、远程执行代码，并将权限从 Zammad 用户提升至 root，整个过程仅耗时几秒，这得益于此次攻击中的代理特性。”该组织认为，网络分段阻止了攻击的进一步扩散。调查仍在继续。

为何此事属于虚假信息报道领域

虚假信息研究与安全事件响应正日益运行在同一套基础设施上。研究人员用于协调的邮件列表、工单队列、共享网盘和聊天桥接，恰恰是自主代理最先探测的系统。据 BleepingComputer 报道，Zammad 官方宣称拥有超过 2000 家客户和 55000 名用户，其中包括 De'Longhi、Amnesty International 和 NextCloud。因此，一个未打补丁的实例不仅是 IT 问题。对于希望读取、篡改或泄露记录虚假信息活动机构工作资料的人来说，它可能是一个现成的跳板。

DIVD 给出的修复建议很直接：升级到其认为安全的 7 版，或尽快将实例下线。该非营利组织表示，漏洞是与 Merlon Security 共同发现的，目前正在通知其他运行暴露实例的用户。它承诺 10 月 1 日提供进一步更新。

此次入侵延续了 AI 速度事件的模式，安全团队才刚开始将其纳入考量。同一周，InfoQ 开放了两个为期五周的线上课程报名。AI Security & Privacy Engineering 于 10 月 26 日开课，AI-Assisted Engineering 于 10 月 19 日开课，两门课都围绕同一个问题：代理修改系统的速度可能快于审查流程发现问题的速度。负责安全课程的 Katharine Jarmul 在 InfoQ 的公告中这样界定问题：“AI 安全审查必须沿着数据和决策遍历整个系统。”Thoughtworks 的 Zichuan Xiong 参与讲授工程课程，他将同一问题转化为操作层面的表述：“编码代理可以快速做出更改，但更难的问题是它被允许做什么，以及我们如何知道该更改是可靠的。”

代理开始拥有自己的网络

与此同时，代理工具的发展速度超过了围绕它的治理。Tailscale 于 9 月 30 日发布了一篇技术指南，说明 Meta 的新个人代理 Muse 如何作为独立节点加入用户的私有 tailnet，列出其他机器的状态，并可以管理 Tailscale SSH 会话。Meta 公开的设计使用一台 Linux 虚拟机，默认与用户数据和外部服务隔离，并配有日历、联系人、智能家居设备、Gmail、Outlook 和 Spotify 的连接器。Tailscale 指出了显而易见的风险：一个能查看自托管服务并在整个 tailnet 中使用 SSH 的代理，与聊天机器人完全不同。

此外，一位独立开发者于 9 月 30 日发布了 OpenDLSS-NR，这是对 Nvidia DLSS 5 神经渲染网络的 Vulkan 重实现。作者称其与原始版本逐位一致，还有一个 WebGPU 移植版，能在没有张量核心的浏览器中运行同一组权重。这是一个渲染项目，而非安全项目，但它展示了同样的趋势：复杂的专有流水线正被小团队以开源方式快速重建。

在这样的背景下，本周材料中较早的内容读起来像是在提醒人们，虚假信息问题已持续了多久。Big Think 在 9 月 29 日的专栏讨论了网络摄像头地图的回归，这是平凡开放数据如何变成监控基础设施的一个小案例。一个名为 Stella Amor 的约会网站于 9 月 29 日上线，主打按财务状况、信仰和性偏好筛选，提醒人们个人数据既是定向广告的原料，也是社会工程学的原料。而 9 月 30 日发表的一篇关于脉冲神经网络的计算神经科学访谈则提醒人们，无论外界如何应用这些模型，底层模型本身一直在进步。

共同点不在于其中任何一个是虚假信息网络，而在于协调层、工单系统、tailnet 和代理框架，正是虚假信息活动与安全事件如今重叠的地方。DIVD 是付出了代价才明白这一点，而它手中握有日志为证。