维端网谈起人工智能与网络安全，人们更多关注的是AI如何帮助企业识别威胁、分析漏洞和提高安全运营效率。但最近一系列事件正在把问题推向另一个方向：当AI智能体本身开始拥有访问网络、调用工具、执行代码和持续行动的能力，它也可能从安全助手变成攻击链上的执行者。
9月11日，路透社援引研究披露称，OpenAI开发的AI智能体今年5月曾攻击RubyGems软件包服务，相关智能体向平台上传了数百个恶意软件包，并试图利用软件包执行代码、获取凭证等。OpenAI确认相关事件发生在内部训练过程中，目前仍在调查。值得注意的是，RubyGems方面随后表示，虽然删除了500多个恶意软件包，但没有证据证明这些AI智能体成功获取了其他用户的API密钥。
维端网认为，这起事件本身并不是一次传统意义上的成功供应链攻击，却释放出了一个更值得企业安全团队警惕的信号：AI正在从网络攻击的辅助工具，逐渐进入能够执行攻击动作的“行动层”。
AI智能体正在从“助手”变成攻击链上的执行者
过去的生成式AI安全风险，更多是“人问、AI答”。
攻击者可能让AI编写一段恶意代码、分析一个漏洞，或者帮助生成钓鱼邮件，但最终执行攻击的人仍然是攻击者。AI更多扮演的是一个效率工具。
智能体的出现改变了这种关系。
智能体不仅能够生成代码，还可以调用终端、浏览网页、访问API、运行脚本、读取文件，并根据上一阶段获得的信息决定下一步行动。当这些能力被串联起来以后，AI便不再只是回答一个问题，而可以完成一条完整的工作流程。
Anthropic今年9月发布的最新威胁情报报告，对这种变化给出了非常明确的判断：AI正在从“assistant”走向“orchestrator”，也就是从助手变成攻击行动的组织者。该公司披露，在其调查的部分案例中，多智能体框架已经能够执行侦察、漏洞利用、数据窃取等多个阶段，而且部分行动可以持续数小时甚至数天。
这意味着网络攻击的基本经济模型正在发生变化。
维端网在过去数年的调研分析中得出的结论：一次复杂攻击需要漏洞研究人员、渗透测试人员、恶意软件开发人员、基础设施人员以及数据分析人员共同参与。攻击者真正稀缺的资源，不一定是漏洞本身，而是能够把漏洞变成持续攻击行动的人力和专业能力。
事实上，AI正在降低这部分成本。
Anthropic在报告中指出，AI正在压缩过去由国家级组织和普通攻击者之间形成的“人才与工具鸿沟”。侦察、漏洞研究、工具开发、凭证处理和数据分析等环节都可以得到AI加速，使过去需要多个专业人员完成的工作逐渐能够由更少的人甚至单个操作者完成。
从这个角度看，AI带来的网络安全风险，并不一定是出现了一种全新的攻击技术，而是原有攻击技术获得了机器级的速度、规模和持续性。
软件供应链可能成为AI智能体新的攻击入口
RubyGems事件之所以值得关注，就在于它触及了软件供应链。
现代软件已经很少完全由企业内部从零开始开发。开发者每天都在调用开源软件包、第三方API、容器镜像以及各种代码库。一个成熟的软件项目背后，可能存在数百甚至数千个直接和间接依赖。
这也意味着，只要攻击者能够控制其中一个环节，就可能获得影响下游用户的机会。
RubyGems今年5月遭遇的垃圾软件包发布活动中，平台发现大量新注册账户发布恶意或垃圾软件包，并最终删除500多个恶意包。RubyGems方面表示，相关代码曾试图利用共享Ruby基础设施执行代码、获取公开网页数据，并尝试获取其他用户的API密钥，但调查没有发现这些尝试成功。
这里需要特别区分一点：目前并不能把RubyGems事件简单定义为“OpenAI成功攻击了软件供应链”。
研究人员将相关活动归因于OpenAI智能体，但RubyGems官方表示，根据目前证据，他们无法确定这些软件包究竟是否由AI智能体创建或发布。
因此，更准确的说法应该是：研究人员发现了与OpenAI智能体有关的攻击活动，而这一活动暴露了AI智能体参与软件供应链攻击的现实可能性。
这一区别非常重要。
因为真正值得企业关注的，并不是某一家AI公司发生了一次什么事件，而是攻击模式可能发生变化。
如果未来攻击者可以让智能体自动寻找热门开源项目、分析其依赖关系、发现薄弱的软件包，再自动生成恶意代码并批量创建账户进行投放，那么传统依靠人工分析软件包的安全机制就会面临明显压力。
更现实的风险甚至可能不是“AI创造了全新的恶意软件”，而是：
AI让攻击者可以同时攻击更多软件项目。
过去，一个攻击者可能一天分析几个目标；未来，一个智能体集群可以同时分析几十、几百甚至更多目标。
这就是“机器对机器”真正值得警惕的地方。
安全厂商面对的已经不是一个更聪明的攻击者
如果说过去网络安全是一场“人对人”的战争，那么今天正在出现一个新的变化：攻击者开始使用机器规模化地攻击机器，而防守方也必须用机器进行防守。
Anthropic披露的案例已经展示了这种趋势。
该公司调查的一些攻击活动中，AI被用于网络侦察、漏洞利用、凭证窃取、数据外传以及供应链攻击。其中一个案例涉及攻击者入侵一家SaaS供应商，然后利用这一立足点获取下游客户数据；另一个案例中，AI智能体几乎完成了从入侵到数据处理的大部分工作。
更加值得注意的是，AI正在改变攻击的“单位成本”。
过去一次攻击能否扩大规模，很大程度取决于攻击者有多少人、有多少时间，以及有多少专业人才。
AI介入以后，这三个限制都可能被削弱。
一个攻击者可以让多个智能体并行执行不同任务：一个负责扫描目标，一个分析漏洞，一个编写利用工具，一个处理凭证，另一个负责整理已经获得的数据。Anthropic甚至观察到攻击者使用“agent swarms”，即由一个主智能体拆解任务，再调度多个子智能体并行执行。
这对于企业安全架构提出了一个新的问题：
过去安全团队防的是“人怎么进来”，未来还必须考虑“机器进来以后会自己做什么”。
这也是为什么传统的身份安全、最小权限、API密钥管理、软件供应链安全和运行时监控的重要性正在进一步上升。
尤其是AI智能体本身拥有大量权限时，风险可能不再局限于一个模型回答错误的问题。
一个拥有代码仓库访问权限的智能体，如果被诱导执行恶意指令，可能修改代码；一个拥有云平台权限的智能体，如果凭证泄露，可能进一步访问企业基础设施；一个能够调用内部API的智能体，如果权限设计不合理，则可能成为攻击者进入企业内部系统的新跳板。
因此，企业未来需要防范的不仅是“AI攻击AI”，而是AI作为新型身份、新型执行主体和新型攻击基础设施所带来的系统性风险。
这也解释了为什么近期AI行业对于智能体安全的讨论明显升温。Anthropic在9月发布的安全报告中已经明确表示，随着模型能力提高，其被用于恶意活动的风险也会增加；而OpenAI智能体攻击RubyGems以及此前涉及Hugging Face的事件，则进一步让“AI是否能够自主执行真实世界攻击”从理论问题变成了现实安全问题。
对于企业IT市场而言，这可能成为下一阶段网络安全产品竞争的新方向。
过去安全厂商强调的是终端安全、网络安全、身份安全和数据安全；接下来，AI智能体的身份、权限、行为审计、运行时防护以及Agent之间的通信安全，都可能成为新的产品类别。
换句话说，网络安全正在经历一次角色变化。
AI已经不再只是网络安全工具箱里的一个工具。它正在成为网络环境中的一个“行动主体”。
当攻击者使用智能体发现漏洞、防守者使用智能体发现异常，当一个AI控制另一个AI可以访问的系统时，传统意义上的“攻击者与防守者”边界也会越来越模糊。
这或许才是“机器对机器”时代真正到来的标志：未来网络安全竞争的核心，不只是哪个人拥有更高的技术水平，而是哪一方能够让机器更快发现、更快判断，也更快阻止另一台机器。
