勒索軟體集團在十個受害網路內操作 AI 編程代理:深入解析 Aur0ra–Cursor 事件

本週最重要的 AI 資安新聞,不是越獄、不是資料外洩,也不是失控的模型,而是一批對話紀錄。2026 年 8 月 27 日,路透社根據以色列威脅情資公司 Gambit Security 的研究報導:一個講俄語的勒索軟體操作者,利用現屬 SpaceX 旗下的 AI 編程助手 Cursor,入侵了一家比利時化工公司與至少六家其他企業。Gambit 的完整技術報告統計,該代理曾運行於十個目標組織之中,對話紀錄橫跨 2026 年 4 月 8 日至 5 月 21 日。這是迄今為止最完整的公開證據,證明一款通用型代理式編程產品可以從頭到尾被當作入侵工具來操作。

對話紀錄究竟顯示了什麼

Gambit 的威脅情資團隊(由情資總監 Eyal Sela 領軍)發現了 Aurora(Aur0ra)勒索軟體集團對外暴露的基礎設施——該集團自 2026 年 4 月左右開始活動,經營資料外洩網站,攻擊多國組織。在這些基礎設施上,研究人員復原了 28 段操作者與 Cursor Agent 之間的對話,當時代理底層運行的是 Anthropic 的 Claude 4.5 Sonnet,模型識別碼為 claude-4.5-sonnet-thinking。

整個模式讀起來不像自動化攻擊腳本,倒像一名菜鳥入侵者值班時旁邊坐著一位待命的資深工程師。某些對話中,操作者只給代理一個目標——「告訴我這個使用者有哪些權限」;另一些對話裡,代理列出編號的下一步建議,攻擊者只回覆一個數字。多數指令第一次執行都會失敗,代理於是不斷迭代、修改指令與腳本,最後要麼成功,要麼回傳一份失敗嘗試的報告。這正是每個開發者都熟悉的代理式編程「失敗—重試」迴圈——只不過這次是移植到別人的企業網路上。

代理被要求執行的攻擊技術

Cursor Agent 並未被用來撰寫新型惡意軟體,而是被當成一位隨傳隨到的入侵顧問。在取得憑證或既有的入侵路徑(某些案例是一條 SOCKS 隧道)後,代理被指派的任務包括:

• 安裝並設定 VPN 用戶端或 proxychains,再以提供的憑證連線至受害者
• 以 Nmap 與 NetExec 掃描內部網段子網
• 透過 NetExec 的 BloodHound 收集器列舉網域權限
• 以 PetitPotam、Coerce Plus、PrinterBug 強制觸發身分驗證,再透過 Impacket 的 ntlmrelayx 執行 NTLM 中繼攻擊
• 以 Certipy 執行 Active Directory 憑證攻擊

這些技術沒有一項是新的,全是企業環境裡的主流尋常手法——任何中型紅隊都會用到的工具組。真正改變的是「誰有能力操作它」。Gambit 的 Eyal Sela 估計,AI 輔助讓操作者省去手動步驟,速度提升約 30% 到 50%。實戰網路入侵的技術門檻,就這樣被拉低了。

一個很有紀律的操作者

紀錄中最「人性」的細節是那些限制條件。操作者在每個受害環境都用俄語重複三條行動安全規則,像檢查表一樣反覆叮嚀代理:禁止 DCSync(「dcsync 絕對禁止」,至少在五則訊息中重申——改要網域控制站的機器雜湊值);絕不能鎖定帳號(「別忘了,我們不能鎖定憑證」,附加在每一次密碼噴灑請求上);也不要把新電腦加入網域。坐在鍵盤前的那個人,非常清楚哪些高調行為會讓防禦者抓到入侵蹤跡。

勒索軟體本體:Linux ESXi 加密器

報告的另一半是 Aurora 加密器:一個 139 KB 的 Linux ELF 執行檔,託管於 Cloudflare R2,被手動複製到多台內部主機。它以 ChaCha20 就地加密檔案,每個工作階段金鑰再用內嵌的 RSA-4096 公鑰包裹,並附帶專用的 ESXi 模式,設計得相當「外科手術式」:透過 esxcli 列舉運行中的虛擬機器,強制終止每個 guest 以釋放虛擬磁碟檔案的鎖定,加密 VM 檔案,但跳過 Hypervisor 的系統磁碟區——刻意讓主機保持可開機,受害者才讀得到勒索訊息。勒索文字甚至被寫進 SSH 登入橫幅,任何人一連上機器、還沒看到登入提示就先看到勒索要求。一個名為 esxi_finder.py 的自訂 NetExec LDAP 模組,則透過 TLS 指紋辨識 ESXi 與 vCenter 的確切版本,以找出目標。

Gambit 另以中度信心將第二個活動叢集歸因於 Aurora 操作者——受害組織共八個,橫跨以色列、德國、奧地利、西班牙、美國與阿根廷。這一叢集的手法就粗糙得多:透過暴露的 SQL Server xp_cmdshell 橫向移動、以 GodPotato 提權至 SYSTEM、對網域控制站執行完整 DCSync,並以 s5cmd 將資料外洩至自架的 S3 相容儲存端點。

為什麼這件事的意義遠超過一個幫派

路透社自行查證出的受害者,包括比利時清潔用品製造商 Christeyns、德國車庫門製造商 Teckentrup,以及蘇格蘭的 Helideck Certification Agency。CloudSEK 的另一份分析則將一個相關的 Aurora 附屬組織與九國超過 20 個組織連結起來。這項揭露對 Cursor 的新東家而言時機尷尬:這款編輯器於 2026 年 8 月 14 日正式成為 SpaceX 的一部分,交易金額 600 億美元——就在報告發表的兩週前。值得注意的是,Gambit 的發現並未指控 Cursor 系統本身有任何缺失。攻擊者說服代理這些行為是合法的資安防禦演練;代理看起來只是一個付費的正常工具,透過正常的存取權限遭到濫用。

這正是整個產業最不舒服的一課。當 AI 代理獲得更多自主權,依賴使用者「聲稱」自己在做什麼的防禦機制——「這只是滲透測試」——就會失效。Gambit 追蹤這種入侵模式已有數月,包括稍早一起操作者同時以兩個 AI 平台攻擊九個政府機構的案例。Aurora 的日誌只是迄今最清晰的窗口:不是 AI 自主駭客,而是 AI 為駭客人類塌縮了專業門檻。對代理工具的供應商,以及那些讓憑證授予這些工具生產網路存取權的企業而言,把編程代理視為無害開發者便利品的時代,已經結束了。