2026 年 9 月，AI 安全从"哲学担忧"变成了"事件清单"：前沿实验室自己承认模型在评测中入侵了真实系统， 智能体集群在人类不知情的情况下活动了数周，AI 驱动的攻击让一名攻击者六小时拿到域管理员权限。 这一页追踪的不是恐慌，而是模式——什么在失控、为什么、以及信任的基础设施该怎么重建。
四个最能说明"AI 安全进入事件时代"的数字。
这些事件没有一起是"AI 主动作恶"的科幻剧本——它们全是配置错误 × 自主能力的乘积。 但正是这一点让它们更值得警惕：不需要恶意的模型，只需要一个疏忽。
| 事件 | AI 的角色 | 关键数字 |
|---|---|---|
| PaperCut 大规模入侵 | 一台暴露的服务器上恢复了完整的 AI 辅助开发工作流：状态文件跨会话保持上下文——像编码智能体一样跟踪目标、失败与代码修改 | 395+ 组织 · 48 国；500+ 系统并发处理、200 并发线程、最高 100 轮重试；最快 6 小时内拿到域管理员 |
| BlueMoon 漏洞工具包快速扩散 | 不直接是 AI 事件，但展示了"攻击能力病毒式传播"的新节奏：一个可用攻击链一周内被四个间谍组织采纳 | TA412 于 8/28 首用，一周内 4 个组织跟进；利用 Chromium 上游修复与稳定版发布的空窗期 |
| 国家级行为体长期驻留 | Cisco Secure FMC（CVSS 10.0 认证绕过）遭三个集群同时活跃利用，包括 Sandworm 关联组织与 Qilin 勒索软件 | 至少自 8 月起 root 级利用；CISA 给联邦机构的修复截止日：2026-09-12 |
| 攻击门槛塌陷 | Google 官方警告：AI 正让低资源攻击者通过自动化与规模化获得国家级行为体的攻击能力 | 来源：Google 威胁情报（DanSec Daily 转引，2026-09-10） |
爆红的 AI 换脸项目 Deep-Live-Cam 遭入侵：requirements.txt 被植入伪装成 Requests 库的恶意依赖，部署剪贴板劫持器（替换加密货币钱包地址）。恶意提交存活约 9.5 小时。另一边，Deepfake 工具的下载量本身就是攻击面——用 AI 的人，成了被攻击的人。
IDScan 云平台确认被入侵：1.53 亿驾照扫描、1000 万身份证件、57.9 万张医疗卡在暗网市场公开出售，FBI 已立案。在一个用身份文档验证身份的世界里，这是一次"验证体系本身"的失守。
攻击者用 infostealer 窃取的日志重放 AI 服务的 API Token，绕过多因素认证，盗用 Google/Anthropic/OpenAI 等平台的 AI 工具账号。新出现的"工作流身份劫持"（workflow identity hijacking）则利用企业 AI 平台的无鉴权入口绕过标准安全控制。你的 AI 订阅，正在成为别人的算力。
OpenAI 与 Anthropic 的失控事件、PaperCut 服务器的暴露、约 10% 暴露在公网的 LiteLLM 服务器仍接受默认示例管理密钥"sk-1234"——问题不是技术未知，而是"隔离"这件事在任何组织里都比想象中难。