44个AI代理并行攻击日本19家机构：自动化渗透武器CyberStrikeAI的真实威胁评估

2026年10月28日，Trend Micro研究员松川芽生（Bakuei Matsukawa）和陈志伟（Joseph C Chen）发布报告，确认攻击者以44个协同工作的AI代理为核心，在当月对至少19家机构发动了全链路自动化网络攻击，其中16家位于日本，其余目标分布于台湾和香港。这是研究人员迄今记录的AI驱动程度最高的实战攻击案例。

这次攻击的真正新颖之处

据Trend Micro报告，攻击者使用的是CyberStrikeAI——一个合法的开源渗透测试平台，并非为攻击专门开发的新型恶意软件。平台将侦察、漏洞发现与验证、漏洞利用、命令与控制、权限维持、数据渗出、结构化报告串接为一条不依赖人工介入的自动化流水线。恢复出的文件显示，“凭据搜索代理 8/44”直接确认了44个代理的分工配置：不同代理负责不同环节，彼此并行，结果汇入共用数据库，形成可跨多个目标复用的标准化流程。

整个攻击过程没有利用任何零日漏洞。据Trend Micro确认，初始突破口来自一台遗留Web系统上无须验证即可访问的管理界面。44个代理系统性地在大量目标中搜寻这类久未修补的旧门，而不是挖掘新的安全漏洞。自动化的核心价值在于规模和速度，而非技术深度。

分散流量的反侦察设计

这套系统最具工程含量的设计是流量分配策略。代理跨多个目标并行工作，同时将发往每个单一目标的流量控制在较低水平。这意味着任何一家受害机构单独审查自身日志，都很难从流量异常中发现攻击痕迹。Trend Micro研究人员通过检索攻击者服务器上公开可访问的文件——包括攻击脚本、目标列表、执行日志、命令记录——才得以还原出完整图景。

攻击平台的管理控制台提供了工具执行成功率、token用量和批量创建控件的可视化界面。报告针对每个可识别目标单独生成，包含结构化证据索引。平台甚至能自动生成日语表单和仿冒登录页面，以适配日本目标。这是一套带项目管理界面的攻击运营系统。

简体中文界面不等于归因

管理控制台截图显示，操作界面使用简体中文。Trend Micro研究人员明确警告：界面语言无法确立攻击者的地理位置或组织关联。CyberStrikeAI是一个任何人都可以下载和部署的开源项目，语言偏好既可能是母语习惯，也可能是刻意伪装。Trend Micro在同一批报告中研究的另外两个日本定向攻击案例，同样使用简体中文作为操作语言，但三个案例使用的是不同工具，研究人员无法确认是否来自同一操作者。

早期媒体报道的标题措辞容易在读者中形成错误的归因预设。目前攻击者身份不明，Trend Micro也未提出任何有证据支撑的归因结论。

自动化效率的真实天花板

据Trend Micro的报告，大量攻击记录显示的结果是“无活跃会话、无Web Shell、无数据渗出”。44个代理的全量部署，并未带来对应的入侵成功率。在许多目标上，自动化流程完成了侦察和漏洞验证，却没能实现深度突破。

Trend Micro同期研究的第二个案例（Case B）采用“人工主导+AI辅助规划”的混合模式，攻击者在少数目标上实现了更深入的渗透——包括FTP服务、数据库、管理账户、Web Shell和SSH访问的同时控制。人机协作在当前阶段仍然比纯AI自动化造成更严重的实际损害。这个结论是当前AI武器化进展的准确刻度：工具已经工程化，但人类判断力在处理边缘情况和升级权限方面仍有不可替代的价值。

日本为何成为集中目标

Trend Micro报告的时间背景提供了重要线索。2026年秋季，日本多家企业和机构相继报告Web系统数据泄露事件。日本国家网络安全办公室于2026年10月9日向企业发出警告，执政党网络安全负责人将当前形势定性为“紧急状态”。这说明本次攻击并非孤立事件，而是更大规模扫描和定向攻击浪潮的一部分。

CyberStrikeAI此前曾在针对FortiGate设备的独立攻击活动中出现——2026年初一名技术能力有限的攻击者借助该工具，在未使用任何零日漏洞的情况下攻入超过55个国家的600余台FortiGate防火墙。CyberStrikeAI正在被不同操作者在不同攻击活动中重复使用，这是开源攻击平台扩散后的自然结果。

对防御方意味着什么

Trend Micro给出的防御建议全部指向同一个根本问题：暴露在互联网上的遗留系统和默认凭据。CyberStrikeAI的攻击之所以能够批量化复制，恰恰因为它的猎物——无须验证的管理接口、未修改的默认密码、未下线的老旧VPN设备——在日本机构中数量充足，足以支撑一条44代理的流水线持续运转。

分散低流量的攻击模式，使得单一机构依赖自身日志进行检测极为困难。Trend Micro能够发现这次攻击，是因为攻击者的服务器文件对公网可访问——这是操作安全的失误，而非防御监控发挥了作用。

判断

CyberStrikeAI案例确认：AI代理已经能够在无持续人工干预的情况下执行完整攻击链，并具备针对特定目标语言和文化的适配能力。但这个案例同样揭示了当前AI攻击的真实边界：它擅长规模化扫描和流程标准化，在面对需要动态判断的深度权限升级时，效果依然逊于人机协作。

防御端需要在AI代理处理边缘情况的能力补足差距之前，把遗留系统的暴露面清理掉——因为当AI代理在处理边缘情况的能力上补足差距之后，今天的失败记录（“无会话、无渗出”）就会变成成功记录。