Zscaler ThreatLabz 还原攻击者多模型编排机制：GLM 审查 DeepSeek、脚本跨会话保持状态
Zscaler ThreatLabz 通过还原攻击者保存的配置文件、同步脚本和提示词历史，揭示了一个具体的多模型协同工作流：DeepSeek 负责初始调查，GLM 负责审查其发现，Grok 负责远程研究；自定义脚本和上下文注入钩子确保调查进度在多个账户和服务器之间持续可用。
2026 年 10 月，Zscaler ThreatLabz 的研究员 Seongsu Park 发表了一篇对某 AI 辅助攻击行动的技术分析。CrowdStrike 此前已分别报道了相关 ARTEX 基础设施及对韩国金融机构的攻击，而这篇报告的核心贡献在于还原了攻击者保存的完整工作环境：配置文件、同步脚本、提示词历史和项目文件结构，从中拼凑出一套多模型协同编排的具体机制。
这套机制的关键设计是角色分工与互审回路。提示词历史显示，攻击者指示 DeepSeek 模型执行初始调查，当 DeepSeek 报告已穷尽攻击面后，再启动 GLM 模型审查 DeepSeek 及其子代理的工作成果。一条被翻译的提示词原文写道：当 DeepSeek 表示已穷尽所有攻击面而攻击者要求启动 GLM 审查时，GLM 应审查 DeepSeek 先前工作及其子代理的工作。后续提示词还将 GLM 的角色从单纯审查扩展为承担额外调查任务。在跳板服务器上，攻击者同样将研究任务分配给 Grok，并指示另一个 AI 会话审查 Grok 的输出。
仅靠角色分工不足以让工作流在会话断开后继续运行。攻击者部署了三类自定义同步脚本：tools/sync-all.sh 使用 SSH 和 rsync 将 AI 指令、可复用任务指南、保存的笔记和工具复制到跳板服务器的多个账户；sync-memory.sh 将 AI 保存的笔记文件同步到跳板服务器；tools/sync-cc-users.sh 将共享的 Claude Code 指令同步到工作服务器上的 gemini 和 glm 账户。这些脚本还包含备份和验证检查，避免覆盖已修改的目标文件。
更关键的是上下文注入机制。攻击者配置了一个名为 tools/project_context_hook.py 的自动化钩子脚本，在每次收到新提示词时执行，读取当前项目文件并附加一段关于测试状态、近期笔记和相关记忆文件路径的简要摘要。这意味着 AI 会话无需依赖对话历史即可获取先前工作的完整上下文。项目文件结构本身也为此服务：scope.md 记录选定目标，surface.md 记录已发现的入口及其测试状态，notes.md 记录已完成工作和下一步，findings/ 目录存放漏洞报告，evidence/ 目录存放支持文件。
在护栏绕过方面，攻击者的指令要求 AI 假设所有提供的目标均已预授权，部分应用设置也允许自主执行操作而无需逐步获得操作者批准。这对应 MITRE ATLAS 框架中的 AML.T0054（AI 护栏绕过/系统提示工程）。
需要指出的是，报告本身明确声明各会话实际响应的底层模型无法独立验证。配置文件中请求的模型标识符包括 deepseek-v4.1-flash、glm-5.3 和 grok-4.7，但请求标识不等于确认应答模型。报告承认部分会话可能实际使用了 Anthropic 的 Claude 模型。因此，对具体模型能力的归因应保持这一不确定性。
这篇报告的价值不在于揭示某一次攻击的结果，而在于提供了一份可检验的多模型代理编排蓝图：角色分配、互审回路、状态持久化和护栏绕过如何组合成一个跨会话自主执行的工作流。对于任何正在构建或评估代理式 AI 系统的读者，这套基础设施层面的设计模式比任何单一模型的能力声明更具实操参考价值。