一个自主 AI 代理攻破了 DIVD——荷兰漏洞披露非营利组织

DIVD，即荷兰漏洞披露研究所——一家由志愿者运营、扫描互联网漏洞并向漏洞所有者发出警示的非营利组织——于2026年9月21日遭到入侵，攻击途径是 Zammad 中的两个零日漏洞；Zammad 是托管着所有发送至 csirt@divd.nl 的邮件及每一封回复的服务台。入侵者在数秒内获得 root 权限，横向转移到其他服务并窃取数据，其中包括志愿者的 DIVD 电子邮箱地址。DIVD 于2026年9月24日披露了这起入侵，此时距其成立已近七年：“我们现在可以说，我们就是那些被黑了的黑客。”DIVD 表示，后渗透阶段由一个自主 AI 智能体执行，每一步都由它自行决定。入侵事实、两个 CVE 以及数据丢失均已确证；而“自主性”是 DIVD 对观察到行为的评估，并非已证实的事实。该记录评级为 A——文档完备，一手来源彼此吻合——并且the Orca AI Incident Archive收录了完整条目、其引用的来源，以及 AI 安全事件集中与之相邻的其他案例。

DIVD 称发生了什么

2026年9月24日发布的第一份公开声明标题为“问题只是何时发生，而非是否会发生……”，其措辞刻意含糊。DIVD表示，它已注意到可疑活动，阻止了对某基础设施的访问，并与第三方事件响应团队启动了取证调查，还称“作案手法表明这是一次由智能体式AI驱动的攻击”，这是它此前未曾见过的。声明未点名任何系统。其第三份声明只补充了一个否定信息：入侵途径是“一个技术漏洞，而且不是 Citrix Netscaler。”

9月30日，DIVD 在其第四份声明以及前一天公布的案件档案中指明了该机制。入侵途径是其 Zammad 实例——这个工单系统保存着发往 csirt@divd.nl 的每封邮件和每封回复——通过两个串联的零日漏洞实现。CVE-2026-102489 是一个会话劫持漏洞，可导致以 zammad 服务用户身份执行远程代码；DIVD 将 Zammad 6.3.0 至 6.5.4 列为受影响版本，并表示该缺陷也存在于 7.0.0 至 7.1.3 中，但由于环境条件，在这些版本中无法利用。CVE-2026-102490 是一个本地权限提升漏洞，可将同一服务用户提升至 root，DIVD 将 1.5.0 至 7.1.0-alpha 版本列为受影响。DIVD 于 9月24日向 Zammad 报告了这两个漏洞，并开启了案件 DIVD-2026-00015，以查找并警告其他暴露实例。

用 DIVD 的话说，这条攻击链“从劫持会话到取得 root 权限只用了几秒钟”——它把这种速度归因于“这次攻击中的智能体部分”。取得 root 权限后，入侵者访问了其他服务并外泄了数据。DIVD 表示，其网络分段以及 IT 和事件响应团队的响应阻止了入侵者进一步深入，但“部分损害已经造成”。

哪些是已确立的，哪些是推断？

DIVD 的披露内容，以及任何有关这些披露的报道，都没有点名任何威胁行为者、模型、供应商或恶意软件。所谓“某个模型在驱动这起入侵”的说法，完全建立在 DIVD 及其取证合作伙伴 Merlon Security 所观察到的行为之上。对于这些行为究竟是什么，DIVD 的说明异常明确。

• 数量规模。DIVD 的案件档案将“攻击的庞大规模以及在相对较短的时间内产生的制品数量”列为其认为后渗透活动由机器驱动的首要理由。

• 带注释的脚本。这些攻击脚本“带有注释并附有文档记录”，DIVD 表示，这些代理“似乎在脚本的注释中相互交流。”

• 自我辩解。9月26日，DIVD在其生日当天发布了两张经脱敏处理的日志截图，其中显示的备注写道：“该智能体为自己的行为辩解，解释为什么它正在做的事情没有问题，而且确实不是网络钓鱼，这是人类攻击者不会费心去做的事。”Sysdig根据DIVD的材料重建了检测指南，并报告称这些评论包括“no phishing”和“no spam”。

• 速度与草率。DIVD 将这次攻击描述为“动静很大且非常、非常混乱”，并称该代理“以自动化方式运作，凭借草率的逻辑高速自行决定下一步行动”。它还破坏了自己的行动：该代理在尝试中间人攻击的同时进行了密码喷洒，而密码喷洒干扰了拦截。

• 一份取证大礼。DIVD 表示，“那些过度解释的注释让我们的逆向工程轻松了许多”——该智能体对自身推理过程的叙述，如今成了对它不利的证据。

云安全联盟（Cloud Security Alliance）在2026年10月3日关于此案的一份研究简报中，划出了DIVD自身并未跨越的界限：“DIVD的定性是基于观察到的行为作出的评估，而非经确认的归因”，并且“公开层面尚未确认任何行为者或模型”。该简报还指出，同样的模式——快速、混乱、自带记录文档的脚本化活动——也可能由一名容易出错的真人操作员操作脚本化工具包所产生，而公开报道并未确定该智能体是发现了这两个零日漏洞，还是仅仅利用了部署它的人已经知晓的缺陷。DIVD自己的案卷称，这些CVE是在其调查期间被识别出来的，这指向防御方发现了漏洞，而非攻击者。The Register 2026年10月1日的报道保留了DIVD的谨慎措辞，指出该组织使用的是“表明”和“另一项迹象”这类措辞，而非证据。

DIVD 也排除了一些可能性。在其第三份声明中，它表示未发现“与任何已知公开威胁行为者存在关联”，且迄今没有任何事实指向其最坏情况——即某个行为者专门针对 DIVD，以获取其核心资产——尽管它无法排除这种可能。其他地方流传的称这是首次完全自主 AI 攻击的说法，在 Cloud Security Alliance 看来属于供应商评论，而非 DIVD 的结论；该说明还补充说，它此前已用这种说法描述过 2026 年 7 月的一起 Hugging Face 事件。

什么被拿走了，什么没有被拿走

DIVD 发布了一个数据调查页面，将已确认的信息与仍在调查中的内容区分开来，其细致程度非同寻常。唯一确定的损失是志愿者数据：DIVD 的电子邮件地址，以及可能的联系方式，遭到了窃取。DIVD 自己的说法是，这会让别人更容易冒充 DIVD 志愿者，并请求任何收到来自 DIVD 地址的可疑信息的人，先通过 communications@divd.nl 进行核实。

• 部分外泄的迹象：G Suite 中的办公环境、IT 支持与帮助台系统、包括 Jira 和 Confluence 在内的项目环境，以及运营 IT 上的系统数据。

• 未发现失陷迹象：公共 GitHub 和内部 GitLab 中的 HR 数据、Slack 及源代码。

• 不在范围内或未受影响：会计和银行账户由外部方处理，没有迹象表明受到影响；CVE 记录和 CNA 流程位于单独的环境中，DIVD 未发现任何迹象表明该环境曾被访问。

• 仍在调查中：CSIRT 工单系统本身——即攻击者所进入的那个系统——DIVD 已发现部分外泄的迹象，但尚未完成对其的量化评估。

DIVD 明确说明的实际后果，是此次披露中最尖锐的部分。由于工单系统保存了与 CSIRT 邮箱的所有往来对话，任何曾与 DIVD 来回通信的组织或个人都应假定攻击者可能掌握这些通信内容：{{1}}就扫描数据提出的后续请求，包括易受攻击系统的 IP 地址、通过该邮箱报告的漏洞，以及密码已打码的凭据转储摘录。{{/1}}DIVD 补充说，其配置让攻击者每获取一点信息都要费一番功夫，并且仍在查明数据外泄的范围。它尚未公布受影响的志愿者或通信对象的数量。

以 DIVD 自己的数据看应对情况

DIVD 对自身进行了衡量，并公布了指标。平均检测时间为 19 分钟：首批信号在几分钟内到达其监控系统，并向运营其 SOC 的志愿者发出了警报。平均响应时间为 19 小时——第一次响应是在 9 月 22 日，内容是制定遏制计划。平均遏制时间又用了 9 小时，其中包括将事件响应团队送抵 Hermit Hive 的行程——DIVD 称这个黑客空间为其“友好的黑客空间，离家之外的另一个家”——以及在不切断响应人员网络连接的情况下隔离阿姆斯特丹数据中心系统的细致工作。

取证调查与 Merlon Security 合作开展，其员工与 DIVD 自己的员工一同作为研究人员出现在 Zammad 案件档案中。DIVD 通知了直接相关方，向 Autoriteit Persoonsgegevens 和 NCSC-NL 报告，并通过 NCSC-NL 向其根据 Cyberweerbaarheidswet 的监管机构报告，还于 2026 年 10 月 5 日报警。10 月 3 日，它宣布自身已受控：“我们已受控。当我们在 9 月 22 日星期二关闭我们的基础设施时，我们希望这会奏效，现在我们可以确定它确实奏效了。”它还在 10 月 7 日的 ONE Conference 上发表了一场不公开宣传的演讲，理由是在那里可以更加坦率。

修复方案，以及还有谁被暴露

Zammad 修复了这两个漏洞：DIVD 的案件档案中记录了在 7.2 版本中修复的远程代码执行漏洞，以及在 7.2.2 中修复的权限提升漏洞；对于任何仍在使用受影响版本系列的用户，其建议是升级到 Zammad 7 或将实例下线。Sysdig 指出，Zammad 官方的立场是 7.0 及更高版本不受影响。DIVD 还发布了一个日志检查脚本，以便其他 Zammad 运维人员在自己的日志中搜索入侵指标，但需要注意的是，检查结果干净并不能证明主机未被入侵。

评分尚未确定。根据 Sysdig 的分析，DIVD 将 CVE-2026-102489 评为 8.7 分，将 CVE-2026-102490 评为 8.5 分；NVD 则将两者都评为 9.8 分，而 Sysdig 将这一链式利用评为 9.4 分。这些数字提醒人们，一条利用链的严重程度并不等于其各部分严重程度的简单相加，而“存在”与“可利用”之间的差异——即 DIVD 公告中从 7.0.0 到 7.1.3 的差距——正是关于谁真正处于风险之中的大部分争论所在。

还有什么仍然开放

DIVD 的案件档案最后更新于 2026 年 10 月 9 日，目前仍处于开放状态。没有公开确认任何行为者，也没有任何责任主张被报道，而模型究竟是否参与其中，仍只是根据日志作出的推断，而非可追溯的痕迹。毋庸置疑的是事件顺序：一个广泛部署的开源服务台中两个此前未知的漏洞于 9 月 21 日遭到利用，数秒内提权至 root，并被用于从一家以告知他人其系统已暴露为全部宗旨的组织中窃取志愿者数据。

关于日期有一点说明。档案将这条记录标注为2026年9月25日，精确到日，也就是DIVD首次公开发布声明后的第二天；而DIVD自己的时间线从四天前，即9月21日算起，当时攻击者首次获得访问权限。两者都是正确的，这一差距并不是DIVD叙述中的矛盾：首次访问、检测和公开披露是三个不同的时刻，而DIVD自己的指标衡量的是前两者之间的间隔。