2026 年 10 月 19 日，安全公司 NorForge 披露了一起特殊的入侵事件：一名使用者借助开源的智能体平台 Cairn 调度 AI 智能体，攻破 100 多个网站，单次成功入侵的 token 成本约 50 美元。这件事值得写，不在于受害方里有约翰迪尔、SharkNinja、康明斯，而在于它把一个抽象问题变成了一个具体的价格：一个人能发动多大规模的进攻。
发现路径比攻击本身更反讽
防御方没有在任何一次入侵中抓到人。NorForge 是通过 Shodan 与 Censys 扫描公网，先扫到了 20 多个暴露在外的 Cairn 控制面板。这起事件不是被防住的，是被翻出来的，事件报道 的叙述主线也在这条路径上。
这些面板本该是攻击者的指挥台，结果成了最集中的证据仓库。NorForge 判定其中 14 个属同一集群，关联 1,100 多个攻击项目，命中率约 10%——十分之一的尝试最终变成了真正的入侵。这类暴露面并不新鲜，AI 代理暴露风险 讲的是同一个问题：智能体平台的默认配置偏松，往公网一放，就是一份完整的操作日志。
图 1：全部任务花费约 5000 美元，摊到每次成功入侵约 50 美元
成本账：不到 100 个汉字，约 50 美元一次
把这次事件的成本结构拆开看，三个数字就够了：
- 入侵偏好只写了不到 100 个汉字
- 成功的入侵平均耗时约 23 小时
- 全部任务花费约 5,000 美元 token，摊到每次成功入侵约 50 美元
50 美元这个量级，改写的是攻击的成本曲线。
过去评估一个攻击者的能力，看的是人数、时间和工具熟练度。现在这三项被压缩成两件事：一句用自然语言写成的偏好，加上一份按 token 计费的账单。这不意味着攻击变容易了，平均 23 小时成功一次说明它仍然是个筛选过程；但它确实把试错变得便宜，而便宜正是自动化最擅长利用的东西。成本与成功率的对应关系，成本与成功率分析 里有更细的拆解。
图 2：暴露的 Cairn 面板被发现 20 多个
执行单元、模型与那几百条密钥
任务日志里有个细节值得记下来：执行单元的标记是 claudecode_deepseek-v4.1-flash。NorForge 由此推断，整套流程是用 Claude Code 框架驱动 DeepSeek V4.1 Flash 模型完成的——智能体平台负责调度，编码框架负责执行，模型负责判断。三层各司其职，没有一层是专门为入侵设计的。
更难处理的是面板里留下的数据。NorForge 用 TruffleHog 扫描面板数据，发现数百条密钥，其中 11% 经验证仍然有效。攻击者自己的作业环境没做好隔离，反过来给调查留下了完整链条；但对那些被扫出密钥的服务来说，这 11% 是实实在在的二次风险。
真正该担心的是边缘资产
三家受害企业给出的回应，放在一起看指向同一个位置：
- 约翰迪尔称未触及敏感数据
- SharkNinja 称只影响独立的产品支持站点
- 康明斯称涉事站点由第三方供应商运营
三句话说的是同一件事：被攻破的不是核心系统，是产品支持站点这类边缘资产。边缘资产的价值不高，但它常常不在安全视野里。
支持站点通常由市场或服务部门立项，外包给第三方建站公司，域名挂着母品牌，后台却是另一套账号体系。它连不到核心数据库，所以进不了渗透测试的主清单；它挂着母品牌，所以一旦被改，损失的又是母品牌的信用。这种错位，正是自动化工具最容易找到的缝隙。
这也解释了为什么这次受影响的站点看起来分散。智能体不会去挑最有价值的目标，它只挑最容易进的入口；而当入口足够便宜，攻击者也不需要挑。要判断这类入口该怎么管，先得分清渗透测试和真实入侵的界线，AI 渗透测试的边界 讨论过这个区别；如果关心智能体框架本身的能力差异，Hermes 与 OpenClaw 对比 里有更细的横向测评。
平台作者的说法
Cairn 作者公开回应称，这个平台从来不是黑客工具，恶意使用是人的决定。这个说法在技术上站得住：Cairn 是开源的调度层，本身不生产攻击能力。
但它也回避了一个事实：入侵流程一旦可编排，默认设置就是公共安全问题。
20 多个面板暴露在公网、几百条密钥留在面板数据里，这些不只是使用者一个人的疏忽，也是产品在设计时没把会被恶意使用当成前提。开源项目的作者当然无法为每个使用者的行为负责，可当平台的核心功能就是调度自动化执行体，默认的安全姿态就不该由使用者自己去猜。至少有三条本该是出厂设置：
- 面板默认只监听本机，公网访问必须由使用者显式开启
- 面板内的凭据与密钥加密存放，不随任务日志落盘
- 任务日志默认脱敏，避免一份日志同时成为入侵证据和资产清单
这三条都不涉及平台定位，只涉及默认值。而这次事件里被扫到的每一个问题，都出在默认值上。
个人观点
这起事件最该被记住的不是 100 多个网站，是 50 美元。
安全预算的分配逻辑一直按资产价值走：核心系统多花钱，边缘系统少花钱。当单次入侵成本掉到 50 美元，这套逻辑就开始反过来惩罚防守方——攻击者可以用极低的成本，把一百个挂着母品牌的次要入口挨个试一遍，只要有一个进去了，攻防的成本比就彻底翻转。
对企业的动作其实很具体：
- 先把挂在母品牌下、由第三方运营的支持类站点盘一遍
- 把这些站点从次要清单里移出来，至少纳入同一套账号与密钥管理
- 面板类、编排类工具的监听地址，一律不要暴露在公网
第 3 条最便宜，也最有效。这次的 20 多个面板、那 11% 仍然有效的密钥，全部来自一个本不该对外开放的入口。
更新时间：2026-10-20