微软说一场国家级攻击由 agent 框架操刀，突破口是客户早已给出的授权

微软威胁情报团队 10 月 21 日披露，一个被其命名为 Storm-0940 的亲中国组织使用 ARTEX 发动攻击，借 IT 服务商 ConnectWise 被攻破的机会，波及全球数百家机构。微软对 ARTEX 的描述是：一套由大模型驱动的 agent 系统，能在几乎不需要人参与的情况下，把一次渗透测试从头跑到尾。好几个案例里，从开始盯上目标到拿到特权访问不到三小时。微软强调这里面没有涉及微软自己的漏洞。链接：https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/

TechCrunch 第二天的跟进报道把波及范围定在约 2,250 家机构。突破口不是偷来的密码，而是客户早就授予 ConnectWise 应用的长期权限，攻击活动看上去就像一个可信供应商在正常干活。微软的意思是，手法本身都不新，新的是速度，以及跑这样一场攻击所需要的人少到了什么程度。TechCrunch：https://techcrunch.com/2026/10/22/chinese-hackers-spied-on-thousands-of-companies-after-breaching-it-giant-connectwise/

同一天，开发者平台 Railway 要求所有用户轮换密钥，原因是攻击者可能接触到了加密的环境变量，部分用户的变量还被解密。据 TechCrunch，Railway 把这次事件定性为一场针对 AI 推理服务商的攻击行动的一部分，前面还有本周的 LiteLLM 包投毒和 OpenCode 泄露。Railway 承诺会发事故复盘。TechCrunch：https://techcrunch.com/2026/10/22/developer-platform-railway-urges-all-users-to-revoke-secret-keys-after-cyberattack/

放在一起看，规律让人不太舒服。agent 要好用所依赖的东西，长期有效的应用授权、放在环境变量里的 API 密钥、替多家模型商保管密钥的网关，恰恰就是攻击者现在盯着的东西，而攻击者手里也有 agent。OpenAI 几小时前给出了自己的回应：从 11 月 20 日起，模型路由和 AI 网关要先经过 OpenAI 审核批准，才能对外提供它的模型。链接：https://openai.com/index/broad-access-through-consistent-standards/ 对跑 agent 的团队来说，结论很枯燥也很紧迫：凭证有效期缩短，授权范围收窄，再把哪些供应商在你的租户里握着长期权限盘点清楚。