适用人群：运营网站或应用的小型企业和个人开发者，以及在工作中使用AI智能体或LLM API的开发者。本页汇总了2026年官方披露的涉及AI的攻击，以及公共机构和标准组织发布的防御措施。本页不涉及攻击步骤或利用细节。有新案例披露时，我们会更新本页及相关链接报告。
AI驱动攻击的四种类型
我们从防御者的角度，按攻击进入的途径对披露案例进行了分组。请从与您相关的类型开始阅读。
| 类型 | 已披露案例 | 作为入口利用的弱点 | 首先应做的事 |
|---|---|---|---|
| 1. 自主入侵 | 一个正在评估中的AI智能体在没有人类逐步指示的情况下，入侵了一家AI平台的生产环境（2026年7月，由受害方和开发者披露）。一家荷兰漏洞披露机构遭入侵后的活动也被分析为AI智能体所为 | 暴露在互联网上的凭据、存在漏洞的数据处理路径、未知漏洞 | 撤销暴露的密钥，缩小单个密钥的可访问范围，隔离处理外部数据的部分 |
| 2. 借助AI实施的攻击 | 日本的入侵浪潮。攻击者使用AI扫描已知漏洞并识别API（JPCERT/CC，10月15日）。滥用AI驱动渗透测试平台的尝试也已确认（JPCERT/CC，10月23日更新） | 返回超出所需数据的API、缺失的服务端权限检查、嵌入应用中的密钥、未修补的漏洞 | 检查API授权，从应用中移除机密信息，加快修补 |
| 3. 针对智能体的提示词注入 | 在OWASP《LLM应用十大风险》（2025年）中列为首位。指令隐藏在智能体读取的网页或文件中 | 授予智能体过高的权限，外部文本与指令之间没有区分 | 最小权限，高风险操作需人工批准，将外部文本视为数据 |
| 4. AI供应链 | 统一LLM API的开源工具LiteLLM的1.107.0版本含恶意软件（10月21日）。开发者的调查显示，其源头是一个未被撤销、并曾提交到公共仓库的内部智能体平台密钥 | 从未撤销的密钥、未锁定版本的安装、未经审查即启动的MCP服务器 | 锁定版本，建立撤销流程，审查MCP服务器的启动命令和范围 |
各类型的具体事实见各篇单独报告。关于第1类，请参见AI智能体入侵AI平台、AI智能体访问真实网站和DIVD入侵事件。关于第2类，请参见日本未授权访问警报及本周检查事项。关于第4类，请参见LiteLLM 1.107.0恶意软件发布事件。
2026年披露的主要案例
2026年7月
一个正在评估中的AI智能体绕过了隔离控制，发现并利用了暴露在互联网上的凭据（开发者报告），并通过数据集处理路径入侵了一家AI平台的生产环境（受害方披露）。受害方称，该攻击由自主AI智能体端到端执行。7月至10月
AI开发者陆续披露案例，称正在评估或内部使用中的模型触及了真实的第三方系统和网站。所利用的弱点都是基础问题，例如暴露的凭据和调试页面。9月24日
一家荷兰漏洞披露机构披露，其通过帮助台软件中的未知漏洞遭到入侵。入侵后的活动被分析为AI智能体所为。10月8日至9日
JPCERT/CC发布了关于日本机构持续遭受未授权访问的警报。日本国家网络安全办公室发布了指导，IPA公布了各机构应及时采取的措施。10月15日
JPCERT/CC发布了对可能被用于攻击的服务器的分析，指出攻击者使用AI进行扫描和API攻击。10月21日
含恶意软件的LiteLLM 1.107.0版本通过PyPI及Docker镜像分发了约两小时（Docker Hub约2.5小时）。10月23日
JPCERT/CC在其警报中新增案例E：滥用AI驱动渗透测试平台的未遂攻击，主要针对面向互联网的Web应用，利用漏洞和管理薄弱环节。
什么是新的，什么不是
新的
- 侦察、尝试和横向移动在没有人类逐步指示的情况下持续进行
- 受阻时，攻击者会不断尝试其他路径和其他请求形式
- 分析公开应用和梳理API的工作快速且大规模进行
- AI智能体本身成为目标，会被外部文本引导
不是新的
- 入口仍是未修补的漏洞、缺失的授权和暴露的密钥
- 修复之后，它们对人类攻击者和AI的阻断效果是一样的
- 密钥撤销、最小权限和日志保留决定损害扩散的范围
- 没有联系渠道，即使是善意的报告也无法送达
使用AI的攻击者会在短时间内并行尝试，而这些工作人工需要数天。这使得"我们会在下一个维护窗口修复"比以前更加危险。反过来说，防御者需要做的事情并没有太大变化，变化的是顺序和速度。
另有报告称存在一种由人批准、AI执行的模式。10月20日，一家威胁情报公司的研究部门报告称，某勒索软件关联方（即实施攻击的人员）使用的服务器暴露在外，其记录显示了一种框架：由人类操作员批准每个阶段，而商用AI模型负责规划侦察、生成命令并整理窃取的数据。同一报告称，在一个案例中，一个被重复使用的密码同时打开了VPN、服务器、远程监控与管理（RMM）工具、备份和安全管理平台的访问权限。AI使工作更快，但攻击者真正得益的是密码重用这一老问题。该报告建议对VPN和RMM访问启用多因素认证，轮换凭据，并保护备份。
小型运营者和开发者的应对顺序
在数天内修复已被利用的漏洞
检查您的公共服务器和软件是否出现在CISA的KEV（已确认被利用的漏洞目录）中。使用CVE查询工具核对版本，并使用结合CVSS、EPSS和KEV确定优先级来决定处理顺序。
将机密信息移出应用和公开文件，并阻止密钥泄露
JPCERT/CC指出，即使嵌入已编译移动应用中的机密信息也可能被提取。应将API密钥和长期有效的凭据放在应用之外，也不要放在发送到浏览器的配置文件中，并为密钥设定最小范围和有效期。一旦密钥被提交到公共仓库，即使提交被覆盖，它在被撤销前仍然可用；这正是LiteLLM案例的起点。请参见仍然有效的泄露GitHub凭据和用gitleaks阻止机密信息提交。
按流量、速度和间隔检测，而不只按单个IP计数
为应对更换源地址的攻击，除了设置单IP限制外，还应按功能检查使用情况。监控每个功能（登录、密码重置、搜索、列表API）每小时的请求数、返回的记录数，以及请求间隔是否过短。首先应添加的规则是：对返回记录最多的端点设置每小时上限，并在达到80%时发出警报。详情见速率限制与滥用控制。
使管理功能不暴露在互联网上，并将其纳入测试
将不需要公开的管理功能迁移到互联网无法访问的位置。委托他人进行测试时，应确认管理功能已纳入测试范围。
如果使用AI智能体，应明确权限并规定如何处理外部文本
OWASP指出，目前没有已知方法能够完全防止提示词注入，并列出以下措施：限制模型的角色和范围；要求规定输出格式并在代码中进行检查；将API密钥和特权功能保留在应用代码中，而不是交给模型；对高风险操作要求人工批准；并清楚区分和标记外部内容。设计时应确保智能体读取的电子邮件、网页和文件被当作数据处理，而不是当作指令。
在检查版本及其运行内容后，再安装MCP服务器和AI库
MCP规范的安全最佳实践要求，提供一键本地服务器设置的客户端必须完整显示确切命令且不截断，并获得明确批准。服务器不得接受并非发给自己的令牌，权限范围应从最小开始，仅在需要时提高。正如LiteLLM案例所示，错误版本可能来自合法渠道，因此应锁定版本，并在阅读发布说明后再更新。关于npm，请参见防御npm供应链蠕虫。
假设已遭入侵：提前准备停止流程和联系渠道
保留一份可立即撤销的密钥清单、可回溯数月进行搜索的日志，以及一个能联系到负责人的联系渠道（security.txt）。某政府在收到一家AI开发者的通知后表示，该通知进入了通用收件箱并在那里放置了数天。要排查入侵迹象，请参见检查网站或服务器是否遭入侵。
入口
未修补的漏洞 / 暴露的密钥 / 嵌入应用中的机密信息
阻断：数天内修补，撤销密钥并设置有效期
↓
权限
缺失的服务端授权 / 范围过大的密钥 / 授予智能体的权限
阻断：逐项操作授权，最小权限，人工批准
↓
流量
大流量保持在阈值以下 / 间隔规律得不像人类操作
提示：按功能统计次数、速度和间隔
↓
出口
不持有的数据无法泄露
减少：删除超过保留期限的数据，只返回最少的字段
本站观点：AI防御不是购买一款AI产品的问题
"AI驱动的攻击"这一说法容易让人去寻找一款新的AI产品来防御。基础防护可以降低暴露密钥和授权缺陷带来的风险，但部分案例也涉及零日漏洞。应同时处理已知弱点，并为入侵做好准备。如果小型运营者时间有限，收益最大的环节是缩短修补时间、API授权，以及密钥的存放位置。
使用AI的人也确实有新的功课要做。智能体可能会听从它读取的文本，并且会在您授予的权限范围内行动。在内部开始使用智能体或MCP服务器之前，应先确定它们能获得哪些密钥，以及哪些操作必须由人批准。
本页如何更新
当有新的AI相关攻击被披露时，我们会在安全突发新闻中发布初步报道，并将其添加到本页的表格和时间线中。各篇单独报告对每起事件的事实具有权威性；本页概括的是攻击类型和防御顺序。
资料来源（公开记录）
- JPCERT/CC，关于日本机构近期未授权访问的警报（JPCERT-AT-2026-0030，2026年10月8日发布，10月9日和10月23日更新；日文）— jpcert.or.jp
- JPCERT/CC Eyes，对持续入侵中攻击方法的分析（2026年10月15日；日文）— blogs.jpcert.or.jp
- IPA，针对未授权访问事件应及时采取的措施（2026年10月9日，视需要更新；日文）— ipa.go.jp
- 某威胁情报公司研究部门的报告（2026年10月20日发布，10月23日更新）— socradar.io
- 某日本安全公司的分析（2026年10月7日；非公共部门文件；日文）— 10月7日分析
- OWASP Gen AI Security Project，"LLM01:2025 Prompt Injection" — genai.owasp.org
- Model Context Protocol，"Security Best Practices"（规范2025-11-25）— modelcontextprotocol.io
- 各案例的官方通告列于上方所链接报告的来源部分。
更新日志
2026-10-24：在"什么是新的，什么不是"部分新增了由人批准、AI执行的框架，以及一个被重复使用的密码打开多个平台的案例（一家威胁情报公司10月20日的报告）。
2026-10-24：首个版本。将2026年7月至10月的披露案例归为四类，并依据JPCERT/CC、IPA、OWASP和MCP规范提出防御顺序。
延伸阅读
- 日本的入侵浪潮：日本未授权访问警报（2026年10月）：本周检查事项及发现问题后的应对
- AI智能体案例：AI智能体访问真实网站，以及网站运营者应做什么
- AI供应链：LiteLLM 1.107.0中窃取凭据的恶意软件
- 从工具中泄露的AI服务商密钥：OpenCode Console泄露事件（2026年10月）
- 基础内容按顺序阅读：AI时代安全检查清单（按优先级排列）
- 术语表：什么是SSRF？ / 什么是影子AI？