DIVD 将自身入侵归因于 Zammad 两个零日漏洞及 AI 智能体

这两个漏洞的编号分别为 CVE-2026-102489 和 CVE-2026-102490。BleepingComputer 于 9 月 30 日报道了这一情况。DIVD 指出，这两个漏洞组合后可实现会话劫持、远程代码执行，以及从 Zammad 普通用户提权至 root。由于攻击包含智能体部分，这些操作在几秒内完成。

该机构此前将此次入侵描述为“动静很大，且非常非常混乱”，并将责任归咎于一个 AI 智能体：它在没有外部指令的情况下，自行决定下一步行动。DIVD 称，之所以能重构事件经过，是因为该智能体留下了决策解释。攻击者自身的推理过程，反而成了审计日志。

Zammad 是一个开源、由 AI 驱动的帮助台和工单平台，用于处理客户咨询、IT 支持请求和内部工单。据 BleepingComputer 报道，其网站声称拥有超过 2000 家客户和 55000 名用户，其中包括 De'Longhi、Amnesty International 和 NextCloud。DIVD 与 Merlon Security 共同发现了这些漏洞，已通知 Zammad，并正在提醒存在漏洞实例的运营者。其建议很直接：尽快升级到 7 版本，或立即将实例下线。DIVD 承诺将发布有关此事件的进一步更新。

走出沙箱，进入网络

Zammad 事件与一批围绕智能体的安全材料出现在同一周，这并非巧合。Meta 在 9 月早些时候发布了个人 AI 智能体 Muse，将其宣传为“真正执行工作”而非仅回答问题，并在发布公告及相关架构文章中用大量篇幅讨论提示注入和数据外泄。Tailscale 于 9 月 30 日介绍了 Muse 如何作为独立节点加入用户的 tailnet，它可以检查其他机器，与 Immich 等自托管服务集成，并主持 Tailscale SSH 会话。Tailscale 的文章指出，Muse 首次连接任何 tailnet 设备时需明确确认，仅发起出站连接，且访问权限可随时撤销。

“编码智能体可以很快做出更改，但更难的问题是：它被允许做什么，以及我们如何知道更改是可靠的。”

这句话出自 Thoughtworks AIOps 负责人 Zichuan Xiong，见于 InfoQ 9 月 30 日一篇关于 2026 年 10 月开课的两个为期五周线上培训班的文章。AI 安全与隐私工程班于 10 月 26 日开始，由《Practical Data Privacy》作者 Katharine Jarmul 主持。AI 辅助工程班于 10 月 19 日开始，在一个共享的遗留代码仓库上工作，限制智能体权限，将生成与审查分离，随后将检查移入 CI。验证正被当作一门学科来教授，而非产品功能。

同样的张力也体现在工具层面。一个名为 OpenDLSS-NR 的 GitHub 项目于 9 月 30 日更新，用 Vulkan 重新实现了 Nvidia 的 DLSS 5 神经渲染网络，并声称其中间结果在所有 75 个块边界上与原始实现逐字节一致，另一个独立的 WebGPU 移植版本能在浏览器中运行相同的字节。无论如何看待这些基准声明，该项目的卖点是可核查的一致性，而非信任。

面向 AI 智能体的端到端加密消息网络 Agent Haven 于 9 月 30 日发布了自己的说明。其客户端在每条私信和笔记离开本机前进行加密，并持有唯一密钥；服务器仅转发密文，能看到账号、时间和填充后的大小，但看不到内容。同一页面也承认了局限：如果智能体运行在托管模型上，该模型的提供商就能看到其上下文，消息侧的任何加密都无法改变这一点。

这些都无法回答自主智能体是否让网络更不安全。DIVD 的事件表明，答案与其说取决于智能体本身，不如说取决于它被允许触及的范围。该机构的网络分段和事件响应阻止了攻击者进一步深入，调查仍在进行中。