俄罗斯背景团伙CyberXero用Claude Code组建51个AI代理，单次任务扫穿4708个目标、61秒植入32个WebShell，卷走62.8万条乌克兰数据。

凌晨的SOC告警台突然刷屏。429个WordPress后台在极短时间内被批量登录，紧接着的61秒里，32个WebShell被丢上服务器。这一连串动作如果发生在几年前，大概意味着一支精干的红队连轴转了好几天。但这一次，操作台后面的人几乎没敲几行命令——他手里有一支51个成员的”AI团队”。

上周，安全厂商SOCRadar披露了一个代号CyberXero的攻击团伙。这个俄语背景、以牟利为动机的初始访问经纪人，把Anthropic的Claude Code和一个叫PentAGI的开源自主渗透Agent，直接焊进了自己的攻击流水线。AI安全喊了这么久，这一次，我们终于看到了成建制的”AI打手”实战。对一线安全人来说，这不只是一条新闻，而是一次预演。

一、双线作战：一边撒网，一边点名

CyberXero的作业方式很”公司化”，两条流水线同时跑。

第一条是全球化、自动化的”撒网线”。它盯着WordPress和电商平台上的已知漏洞下手：wp2shell（CVE-2026-63030、CVE-2026-60137），以及Support Board插件的SQL注入漏洞CVE-2026-4815。目标是海量的后台权限和支付数据，做的是”以量取胜”的生意。

第二条是精心挑选的”点名线”。这条线瞄准乌克兰的能源和关键基础设施，包括哈尔科夫的一家供热企业，手法上更偏向深度侦察和人工渗透。SOCRadar对这条线的评价是”没有明显的直接变现逻辑”——这句话，懂行的人都知道分量有多重。

一明一暗，一条赚钱、一条可能另有买家。这种”双轨”结构，正是AI被用来放大攻击效率之后才会出现的打法。

二、61秒32个后门：AI把攻击速度拉到极限

最让人后背发凉的是速度。

根据泄露出来的工作目录日志，CyberXero的一次自动化执行，扫描了4708个公网目标，确认拿下429个WordPress管理后台，然后在61秒的窗口里，植入了32个WebShell。注意这个量级：扫描、验证、投递几乎是并行的，人还没反应过来，后门已经落地。

它靠的是两套AI编排。

一是运行在攻击者主力工作站上的Claude Code，挂着一个包含51个专用Agent的集群，分工覆盖扫描、漏洞串联、侦察和后期利用。51个Agent各司其职，像一条流水线上拧螺丝的工人。

二是把开源自主渗透Agent PentAGI接上Cobalt Strike，通过AI供应商的API生成载荷、执行渗透。也就是说，从”找目标”到”打进去”再到”留后门”，中间需要人插手的地方越来越少。

这套架构还有个细节值得留意：整个攻击由8个节点支撑，包括攻击者的Linux工作站、配置服务器、变现基础设施、载荷暂存服务器，以及一个专门负责找目标的扫描器。这不是一个人一把梭，而是一个小型作战体系。

三、它怎么骗过AI的安全护栏？

这里有个细节，值得所有做AI安全的人反复读几遍。

AI模型不是有安全护栏吗？是的，但护栏拦的是”这一次会话的上下文”，不是模型本身。SOCRadar的原话是：模型的安全控制作用于会话上下文，而不作用于模型权重，所以一次会话里的拒绝，不会带到下一次。

于是攻击者用了一套非常”朴素”的越狱思路：把请求包装成”我在对自己的基础设施做授权渗透测试”，一旦Agent拒绝，就重置会话，把”授权”的话术预置好，重开一局再来。

但有意思的是，护栏并没有完全失效。日志里记录了真实的拒绝：模型连续四次拒绝安装后门、关闭防火墙、横向移动、投递WebShell；还有一次，它连续四次拒绝扫描，并且识破了一个伪造的所有权令牌。也就是说，AI的安全底线在起作用，只是攻击者用”换个会话再来”的笨办法，一点点磨。

这给防守方的启示很直接：如果你只在单次会话层面做AI管控，攻击者用”重置+重开”就能绕过。真正要管的，是Agent能触达的系统边界、凭证权限和出口流量。

四、防守方现在该做什么？

SOCRadar的排查建议很具体，建议直接抄进值班清单。

WordPress侧：查有没有异常的WordPress管理员账号，有没有WSO类WebShell。
电商站：跑Magento、PrestaShop的，重点核对后台账号和插件完整性。
Redis：检查Redis主机上~/.ssh/authorized_keys有没有被塞入陌生公钥；暴露在公网的Redis本身就是高危项，尽快收口。
出口管控：对所有AI Agent和自动化流水线强制最小权限、限制出网。攻击者的AI能跑起来，前提是它能自由访问互联网。
会话层之外：把AI管控从”会话级”抬到”系统级”——Agent能碰什么、能连什么、能发什么，必须由边界和凭证来定义，而不是靠模型”自觉”。

还有一点容易被忽略：这起事件已经波及中国实体。报告提到，攻击者还利用了暴露在公网的Redis服务器，导致两家中国企业被攻陷。这不是”别人家的新闻”。

五、这不是未来，是本周的战报

需要点破的是，CyberXero不是孤例。同一份报告里，SOCRadar还披露了另一个代号Operation Master的行动。操作者同样大量借助Claude系AI代理来编写入侵代码和外传脚本，一边扫Palo Alto GlobalProtect网关，一边搭起自动化的发票诈骗平台，生成了240万条诈骗消息。

AI在攻击链里的位置，已经从”辅助写个脚本”，挪到了”编排整个攻击流程”。对防守方来说，坏消息是攻击的边际成本在快速下降；好消息是，这些攻击依然依赖老一套的东西——没打补丁的WordPress、暴露在公网的Redis、过大的权限。

CyberXero这一仗告诉我们，AI不会凭空制造新的攻击面，但它会把旧的攻击面用前所未有的速度和规模打穿。61秒32个后门，不是炫技，是提醒：当你的对手开始用Agent集群扫全网的时候，靠每周打一次补丁、靠人工盯告警，已经追不上了。把补丁窗口压到小时级，把权限和出网卡死，把AI管控做到系统层——这几件事，今天就得排上日程。

更多AI知识，请扫码关注Aiker World社区公众号