Dream Security还原AI近自主网攻台湾政府事件：真正危险的不是零日漏洞，而是廉价试错

2026年7月初，一场针对台湾政府机关的网络攻击持续不到四天，却可能标志着网络攻防进入一个不同阶段。资安公司Dream Security在8月12日揭露了一份完整工作资料，从1395个文件中还原出这场历经12波攻击行动的事件，并首度披露单波攻击部署多达8个AI Agent同时执行任务，最终破解85组政府人员账号密码，取得至少2564笔人员资料。台湾地区数位发展部在报告揭露次日证实，政府资安监控单位在7月侦测到境外骇客结合AI Agent进行混合攻击。

这起事件表面上看不过又是一起政府机关遭骇事件，但细看攻击过程会发现事态完全不同。攻击成功利用的漏洞——未经身份验证的API、正式环境遗留的除错端点、设定不当的JWT验证、过度信任单一验证、脆弱的密码配置、没有妥善限制的档案上传机制——甚至可以说都是资安产业讲了十几年的老问题。真正造成入侵的关键并不是AI挖掘出零日漏洞，而是AI把攻击手从人类换成机器后，赋予机器自主判断机制，让攻击流程的循环速度够快，即使只是把已知攻击手法组合在一起，攻击的性质就开始改变。

Dream Security还原的这套AI攻击系统建立在Hermes与OpenClaw等AI Agent架构上，其核心决策机制是贝叶斯后验概率。每个新发现的漏洞初始赋予P=0.50的可利用概率，再根据验证结果调整：自动扫描确认或人类curl验证可提高后验概率，WAF防火墙等阻碍因素则降低。若概率值大于0.95就正式纳入攻击链，大于0.7则投入更多资源测试，低于0.3直接放弃。这套机制让AI不需要预期每次探索都会成功才投入测试，一条路径没有效果就直接降低优先级，立刻转移算力与工作目标。

这种决策方式改变的不是攻击技术本身，而是攻击经济学。过去要发动高阶攻击，需要技巧高超的骇客投入大量时间进行侦察、研究、测试与调整，高阶骇客本身就是稀缺资源，攻击的时间与人力成本都很高。一名资深攻击者花数小时阅读文件、下载SDK、分析程式码，最后却没有找到可利用弱点，其投入的专业人力与时间成本远高于AI Agent。一旦试错的边际成本降得足够低，大量试错本身反而成为竞争优势。

更关键的变化在于多Agent并行。人类攻击者即使再厉害，同时深入研究多套系统、维持多条攻击路径仍会遇到认知、注意力和时间的瓶颈——就像一位厨师同时顾着饭锅、汤锅与煎锅，真正能深入思考的只有少数几项。但这套AI攻击系统单波最多同时部署8个Agent，整场行动同时维持14条攻击链，每个Agent可以分头进行侦察、API分析、密码攻击、弱点验证或研究新方法。对于仍然高度依赖系统告警逐案处理的防守方而言，这形成了极为不对称的竞争局势。

这种不对称在横向移动阶段体现得尤为明显。AI攻击系统取得85组账号后，有系统地登入与单一登入平台相连结的其他政府机关系统，84组账号成功登入另一套内部资讯系统，成功率高达98.8%。关键原因在于这些系统直接信任上层单一登入平台的身份验证结果，未对登入要求再次进行多因素验证。一个看似不太严重的弱密码问题，结合SSO信任关系后，便成为跨系统横向移动的关键跳板。攻击范围随后还扩展到政府机关的资讯供应商、核能安全机构及7家以上能源业者。

不过AI攻击也并非所向无敌。这套系统曾成功利用未限制档案上传的漏洞将Web Shell传到伺服器上，但最后因该系统的第二道表单验证而未能执行，攻击路径被阻断。Dream Security在报告中将这场行动描述为近自主式攻击（near-autonomous），而非完全不需要人类介入的全自主攻击。人类攻击者的角色转变为任务设定与行动指挥，AI接手的是原本必须由人类完成的判断与决策环节。

这起事件真正值得关注的，不是AI发现了什么新漏洞，而是它让过去被容忍的资安债一夜之间变成可利用的攻击面。许多组织长期知道内部存在资安债，却抱持一种没有明讲的假设：茫茫网海中攻击者未必会发现，这套系统很偏僻应该不会被找到，我们不是知名公司应该轮不到被盯上。这些假设都建立在人类攻击者资源有限的前提上，而Agent最擅长做的恰恰就是不厌其烦地搜寻、比对、测试与串联。AI自主网攻真正掀起的典范转移，是整个攻防竞争的速度、规模与成本结构正在被重新定义。