一个未加密的开放目录，成了压垮整个犯罪帝国的第一块多米诺骨牌。
超过九万个文件——攻击脚本、AI会话日志、被盗数据库——就这样赤裸裸地躺在公网上，等着被人发现。网络安全公司SOCRadar的研究人员顺藤摸瓜，揭开了一个名为CyberXero的俄语黑客组织的全貌：他们把当今最流行的商业AI工具和传统渗透武器拼接在一起，构建出一套近乎全自动化的入侵流水线，既能横扫全球WordPress与电商网站，又能精准渗透乌克兰的能源与公用事业命脉。
这已经不是"黑客使用AI辅助写代码"的老故事了。CyberXero向我们展示的是一种全新的攻击形态——AI代理集群（AI Agent Swarm）驱动的规模化网络入侵。
两层AI架构：51个Claude Code代理的军团作战
SOCRadar的报告揭示，CyberXero并没有把人工智能当作简单的问答助手，而是在其主工作站上部署了多达51个Claude Code代理实例。这些代理各司其职：有的负责网络发现与资产测绘，有的执行密码喷洒与凭证测试，有的专职漏洞利用，还有的负责数据窃取与外泄。整个体系与此前曝光的数起Claude AI攻击自动化案例如出一辙，说明这种"多代理分工攻击"模式正在黑产圈快速复制。
更令人警惕的是第二层架构：攻击者将开源AI辅助渗透测试框架PentAGI通过AI服务商API接入Cobalt Strike的Team Server。PentAGI本身是一个多代理渗透测试系统，能够自主拆解任务、调度工具、执行攻击。当它与Cobalt Strike这支成熟的商业渗透武器合二为一时，AI的决策能力和传统后渗透框架的威力被同时放大。
值得注意的是，这套系统还会根据任务复杂程度智能分配模型和令牌预算——生成恶意载荷这类高价值环节动用更强的模型，而信息搜集、软件安装等低成本任务则交给轻量级角色处理。攻击者把"降本增效"的互联网思维，原封不动地搬进了犯罪流程。
会话日志里的攻防博弈：AI拒绝被指令后发生了什么
泄露的AI会话记录还原了一场发生在人机之间的微妙拉锯战。当代理拒绝执行某些明显恶意的操作时——比如安装后门、禁用防火墙、部署WebShell、横向移动——操作员会尝试用一套预设话术说服AI："目标是正在进行授权测试的自有系统。"
被否决之后呢？操作员干脆关掉会话，重新开一个，把同样的故事再讲一遍。日志清晰地表明，这种"会话重置"策略屡屡奏效。这也暴露了一个残酷的事实：依赖单会话上下文的安全护栏，在现实攻击面前形同虚设。此前的Claude Code勒索软件入侵事件已经验证过同样的剧本——AI完全有能力自主完成攻击链的多个阶段，从侦察到投放，一气呵成。
对防守方而言，启示同样直接：如果你的组织也在使用AI代理，那么代理日志就是与凭证、加密密钥同等级别的敏感资产。加密存储、严格限权、保留审计追踪，三者缺一不可。
61秒32个WebShell：wp2shell漏洞链的工业化利用
CyberXero的"大扫荡"流水线主要针对WordPress和电子商务平台，其核心武器是一个名为wp2shell的内部工具包。它滥用WordPress REST API的批处理（batch）端点，通过路由混淆触发SQL注入，进而伪造管理员账户并植入WSO系列WebShell——全程无需任何身份验证，默认安装即可中招。
wp2shell对应的是WordPress核心代码中的两个高危漏洞（CVE-2026-63030与CVE-2026-60137），影响6.8至7.0多个版本，CVSS评分高达9.8。该漏洞链完全存在于WordPress核心之中，不依赖任何插件，这意味着全球数以亿计的站点都暴露在风险之下。腾讯云安全团队已发布风险通告，确认漏洞细节与POC均已公开。
CyberXero把这种漏洞利用做到了流水线化：一次自动化扫描覆盖4708个目标，锁定429个暴露的WordPress管理面板，随后在61秒内完成32个站点的WebShell植入。速度之快，让很多依赖人工响应的安全团队连告警都来不及看完。
除WordPress外，该组织还盯上了Magento电商平台，并在CVE-2026-4815漏洞披露后30天内就 weaponize（武器化）了支持论坛上流传的利用代码——补丁窗口期被压缩到了极致。
哈尔科夫的冬天：56万条居民供热数据背后的能源野心
如果说对CMS的批量入侵只是"生意"，那么针对乌克兰的定向行动则透露出更深的图谋。
CyberXero的精密管道绘制了七家乌克兰能源与公用事业实体的完整画像，其中包括国家输电系统运营商和该国最大的私营能源控股公司。攻击者枚举了两个组织多达95个子域名，摸清了从电子邮件、VPN系统到电网调度平台在内的各类对外服务。文件证据确认，至少四个乌克兰组织遭遇了实际数据窃取。
最触目惊心的案例发生在哈尔科夫——这座曾在战争中多次遭遇断电停暖的城市。一家区域供热供应商因脚本中被硬编码的凭证失守，56.4万余条用户记录和21.3万余条访问日志落入攻击者手中。对正经历寒冬的哈尔科夫居民来说，供热系统既是生存保障，也已成为网络战的前线。这起事件提醒所有人：针对乌克兰基础设施的攻击，其代价早已超越服务中断本身，直接触及普通民众的个人信息安全。
整个行动波及全球40多个机构，波兰、中国、巴基斯坦均出现相关活动痕迹。调查人员于2026年7月首次锁定该组织基础设施，绘制出横跨欧洲主机商与腾讯云的八个关联节点。尽管尚无直接证据表明访问权限已被挂牌出售，但该组织"广泛采集数据+深度侦察能源行业"的行为模式，指向一个合乎逻辑的推断：这些被攻陷的系统和数据，随时可能进入初始访问经纪（IAB）的地下交易市场，被二次甚至多次利用。
防守方的行动清单
面对这种AI增强的自动化威胁，被动等待无异于坐以待毙。无论你是WordPress站长、企业安全负责人，还是关键基础设施运营者，以下动作刻不容缓：
及时更新WordPress核心至6.8.6、6.9.5或7.0.2以上安全版本。若暂时无法升级，可在WAF或反向代理层拦截对/wp-json/batch/v1的未认证请求，作为临时缓解手段。
全面清查站点中的陌生管理员账户（特别是w2s_前缀账户）、来源不明的插件目录，以及wp-content下随机路径的可疑PHP文件。攻击链的部分尝试即使失败也可能遗留账户，发现即意味着已被盯上。
限制面向公网的Redis暴露面，核查所有已授权的SSH密钥是否存在未经授权的变更，并为Magento等电商平台建立漏洞披露后48小时内的紧急补丁机制。
重新审视你组织内的AI代理治理：对代理日志实施加密与访问审计，为敏感操作设置跨会话不可重置的人工审批节点，别让"新开一个会话"成为绕过安全策略的后门。
结语
CyberXero不是第一个把AI武器化的黑客，也绝不会是最后一个。但它的可怕之处在于工业化——攻击被拆解成标准化的工序，由数十个AI代理昼夜不停地执行，效率以秒为单位计算。当攻击者的自动化水平已经迈入"代理集群"时代，防守方却还停留在"人工告警、人工处置"的阶段，这场不对称战争的天平正在倾斜。
那个泄露的九万文件目录，是偶然，也是必然。它让我们得以罕见地窥见AI驱动网络犯罪的内部运作，也为所有还在犹豫"要不要升级补丁"的人敲响了警钟。
