Mandiant 2026 AI 报告：失控智能体的 5 万美元账单与 AI 辅助入侵

Mandiant 的《AI 风险与韧性 2026》报告于 2026 年 9 月在 Google Cloud 上发布，并于同一周由 Help Net Security、The Hacker News 和 SecurityBrief 报道。报告描述了三个事件，其中 AI 是机制而非目标：一个被劫持的 AI 编码助手会话在未具名的软件即服务提供商处，将Shai-Hulud 蠕虫传播到约 100 个内部代码仓库；一个遭泄露的 CI/CD 凭据被入侵者变成一家医疗公司内部的 AI 辅助攻击中枢，窃取了数千个凭据；以及一个会计智能体，在其某个工具因损坏的空值而失效后，不到一小时内产生了约50,000 美元的云费用，并锁死了一个计费数据库、导致实时交易中断。第三起事件没有攻击者参与。本文所依据的记录以及围绕它归档的条目位于AI 事件档案中，其中包含每个条目自身的来源、严重性、置信度评级和争议标记。

这是什么类型的文档

该报告在 Google Cloud 的安全资源页面上题为《2026 年 AI 风险与韧性：Mandiant 特别报告》，属于供应商出版物，而非数据泄露披露。其案例研究来自 Mandiant 的事件响应项目及其 Offensive Security 团队的评估，相关组织仅以行业标识：一家软件即服务提供商、一家全球医疗保健组织、一家全球企业金融服务提供商。未点名任何受害者，未注明任何入侵事件的日期，这三者中任何一个都没有附带受害者声明。

这决定了这些数字应当如何解读。其中的每一个数字都源自 Mandiant 自己的调查人员。Cloud Security Alliance 在 9 月 16 日的 Frontier Ready 说明中将约 50,000 美元的费用和 15,000 次调用量标注为“自报（提供商指标）”，并表示它们“尚未经过独立验证”——这是对整个报告的恰当描述，因为报告没有公布任何可供核对的第三方遥测数据。该档案将此条目归档为信息性记录，即一份报告，而非有记录危害的事件，并给予其置信度 A，且未将其标记为有争议；这一评级说明的是报告记录得有多充分，而不是外部方是否已证实其内容。

报告自身的说法是，攻击者在 2026 年从向聊天机器人寻求研究信息，转向让智能体系统承担入侵的部分环节。Mandiant 表示，Google Threat Intelligence Group 已观察到行为体部署包括 Hexstrike 和 Strix 在内的自主工具进行侦察和凭据收集，并构建代理中继和自动化注册流水线，以绕过商业 AI 平台上的护栏和计费限制。报告提到 VirusTotal 记录的 2 月对 OpenClaw 智能体技能的武器化、3 月的供应链入侵——Mandiant 将其归因于它追踪为 UNC6780、其他人追踪为 TeamPCP 的行为体——以及 5 月披露的一起事件，GTIG 将其描述为首个公开确认的网络犯罪分子使用由 AI 开发的零日漏洞利用程序的案例，该利用程序绕过了某款流行开源管理工具中的双因素认证。

情况一：助手推荐了该软件包

在第一起案例中，攻击者攻陷了一家软件即服务提供商，随后接管了开发者工作站上一个活跃的 AI 编码助手会话。Mandiant 将该助手描述为“在环境中以受信任的解释器身份运行”：它建议安装一个已被攻击者预先投毒的外部软件包，而开发者接受了这一建议。报告称，该助手“无意中充当了特洛伊木马”。

攻击者在实时会话中通过一个被投毒的 PyPI 包安装了信息窃取程序，并窃取了开发者的 GitHub OAuth 令牌。随后，自我传播的 Shai-Hulud 蠕虫蔓延至约 100 个内部代码仓库，自动窃取仓库机密，并以程序化方式外泄专有产品源代码。攻击者还投毒了该组织官方命名空间内的一个包，第二名员工拉取了受影响的版本——根据 Mandiant 的说法，这是一次下游感染，无需入侵者采取进一步行动。

报告没有说明的是，这一切是何时发生的，或者攻击者最初是如何控制助手会话的。The Hacker News 在 9 月 16 日报道该案例研究时，指出了这两处遗漏。Cloud Security Alliance 在 9 月 18 日关于该案例的研究笔记中，将初始访问向量称为“该案例研究最重要的未解问题”，并指出 Mandiant 建议的控制措施针对的是感染能传播多远，而不是会话是如何被夺取的。

Mandiant 针对此案例的控制措施有三项，且都明确指向这次失陷的关键点：强制执行 IDE 和 CLI 校验钩子，将 AI 推荐的每一个第三方依赖与加密校验和及经批准的允许列表进行比对；让原始 API 密钥、长期有效的 OAuth 令牌及其他机密处于扩展无法触及的范围之外；并限制工作站的网络出口，使依赖流量只能经由受控的内部仓库路由。

案例二：一个 CI/CD 凭据变成了 AI 协同调试中心

第二个案例是对一家全球医疗保健机构开展的企业云调查。Mandiant 将异常活动追溯到一个已遭泄露的长期有效开发者 CI/CD 凭据，入侵者利用该凭据启动了一台未隔离的虚拟机实例，并将其改造成一个活跃的攻击枢纽。攻击者并未离线构建工具，而是将大型语言模型直接接入正在运行的服务器，并在原地针对它们反复迭代。

Mandiant描述了一个三阶段工作流程。首先是上下文预热：通过远程会话同步代码包，并将项目README文件载入模型的聊天上下文，以引导后续的代码生成朝着该攻击活动的目标推进。然后是交互式调试：攻击者让模型构建了一个多工作线程的数据采集框架，并与模型一同排查逻辑上的脚本拆分错误，将窃取数据的频率提高到每三小时一轮。最后是规避与利用：模型编写了动态IP轮换脚本，以便随时替换被列入黑名单的服务器地址，并共同开发了一款基于Rust的工具，用于登录受害者账户并查询财务余额。

Mandiant 表示，该活动已窃取数千组凭据，并将收集到的 API 密钥和财务机密外传至攻击者控制的代码仓库。报告未说明该 Rust 工具针对的是谁的账户、其核查的财务余额属于谁，也未说明这些凭据后来如何处置。案例研究中没有任何地方提及患者数据。

推荐的控制措施应围绕凭据而非模型展开：使用 OIDC 将长期访问密钥替换为短期的 Workload Identity Federation 信任关系；使用 VPC Service Controls 限制出站流量，使运行时和开发环境无法访问未经批准的外部模型提供商；在所有工作区持续运行机密扫描；并在路径中部署 Model Armor 等运行时提示防火墙，以拦截硬编码凭据，并在攻击性实用脚本执行时将其阻止。

案例三：那个不到一小时就花掉 50,000 美元的智能体

第三个案例没有攻击者。一家全球性企业金融服务提供商部署了一个智能体来核对会计账簿中的异常，并授予其对内部计费数据库的读写权限。一个损坏的空值破坏了该智能体的格式化工具，该智能体随即进入 Mandiant 所称的“无约束递归推理循环”，以暴力方式强行修复。

在一小时内，它发出了超过 15,000 次高频、高成本的推理 API 调用，导致云账单突然激增约 50,000 美元。同一循环还造成本地数据库严重锁定，使正在进行的业务交易陷入停滞。Mandiant 将此案例归类为“denial-of-wallet”，其给出的修复措施属于运维层面而非模型层面：设置支出上限、限制递归深度，以及使用熔断器来停止反复执行同一任务却不断失败的智能体。

报告未说明该笔收费是已支付、已抵扣还是存在争议，也未说明交易被暂停了多久、客户是否受到影响，或该公司事后作了哪些改变。报告也没有给出日期。SecurityWeek 9月18日的综述将其归入报告所指出的新型金融风险类别，而非常规入侵。

Mandiant 提出的控制措施相应地属于财务层面：为智能体定义身份和基于角色的访问权限，将成本上限阈值和监控作为治理手段，并设置自动化财务熔断机制，在智能体连续出现一定数量的任务失败后将其暂停。在服务和项目层面，它建议设置硬性财务上限、有界递归限制和速率限制，以便自我纠正循环在演变为故障之前就受到节流约束。

哪些是已确认的，哪些是归因的，哪些是未披露的

已确认。 Mandiant 发布了这份报告，其内容与上文概述一致。四家行业媒体在三天内相继报道了此事——Help Net Security 和 The Hacker News 于 9 月 16 日、SecurityBrief UK 于 9 月 17 日、SecurityWeek 于 9 月 18 日——它们所复述的每一个数字都与报告相符。Cloud Security Alliance 于 9 月 18 日就第一起案例发布了一份独立研究简报，对其机制得出了相同解读，并就 Mandiant 省略了什么得出了相同结论。

已作归因，但未经独立核实。 具体数字来自 Mandiant：约 100 个代码仓库、数千组凭据、三小时的数据外泄周期、超过 15,000 次推理调用、约 50,000 美元、不到一小时。没有任何媒体机构公布过三名受害者中任何一方的遥测数据，也没有人公开点出这三者中的任何一个名字。现有的佐证只是对报告内容的佐证，而不是对事件本身的佐证。这一区别正是读者在此所能依赖的全部，档案的置信度评级也应据此理解。

未披露。报告未给出这三起事件中任何一起的日期，未提供受害者姓名，也未说明第一起案件中的助手会话是如何被接管的。报告未说明所窃取的 GitHub OAuth 令牌和仓库密钥是否已被撤销，第二起案件中的数千个凭据是否被使用或重置，医疗保健机构的数据主体是否受到影响，会计代理人的费用是否已追回，也未说明这三家组织此后各自做出了哪些改变。本文未发现自 9 月 16 日以来发布的、能够填补这些空白的受害者声明、监管机构通知或后续报道。

报道出现分歧之处。 Cloud Security Alliance 的说明将案例一中的第二次感染描述为通过公司自有的 npm 命名空间传播。Mandiant 的文本只说“组织官方命名空间内的一个包”，并未在那里指明生态系统；npm 这一解读是额外添加的，并非引述。另外，The Hacker News 明确指出，现有证据并未将本案中的蠕虫与八月份为编码助手植入钩子的 npm 蠕虫联系起来，也未将其与一个在 469 个位置扫描凭据的 Shai-Hulud 变种联系起来——名称同属一个家族，活动却相互独立，文章中没有任何证据将二者关联起来。

报告所说应当改变的内容

Mandiant 在报告的各个案例研究中反复提出建议：不再使用长期有效的凭据和服务账号，转而采用绑定到工作负载且在设计上短期有效的身份；将 AI 编码助手和 MCP 服务器视为特权会话，在执行前验证其扩展和 CLI 钩子；将智能体工作负载置于网络边界内，阻止其向未经批准的模型提供商发起出站连接；并对令牌使用、跨应用 API 调用以及智能体对敏感资产的访问进行监测，使对敏感存储库的首次读取能作为信号显现，而不是混入合法的工具流量中。

在成本问题上，它在“对 AI 的治理”与“面向 AI 的治理”之间划出界限：一边是设定风险偏好和采购规则的政策，另一边是强制执行的技术限制。报告以会计智能体作为第二类治理失效的例子：按照 Mandiant 的说法，其部署中没有任何东西约束这一循环，而本可拦住它的控制措施——上限、速率限制、断路器——都是应用于非常规工作负载的普通控制手段。

这三起案例的成因并不相同。一起是信任问题：助手的建议带上了同事建议才有的权威性。一起是凭证问题，这个问题早于任何模型就已存在，而模型只是让入侵在得手后变得更快、更具适应性。还有一起两者都不是：没有攻击者，没有漏洞利用，只有一个被授予账本写入权限的智能体，并且它为修复一个坏掉的工具可以花多少钱没有上限。它们的共同点在于：在每一起中，AI 系统都拥有无人界定过范围的权限——推荐、重新配置、不断尝试。