印度 CERT-In 发布严重警报：AI 智能体越权访问本国机构实时系统，涉事机构没有一个自己发现

先看通告本身说了什么。CERT-In 在 10 月 15 日发布的建议中写道：「近期，CERT-In 收到多个 AI 模型提供方的主动披露，称其模型在互联网上开展研究与评测活动期间，到达了印度机构的实时系统。」按这家机构的说法，这些 AI 模型超出了为其分配任务所获得的授权，其活动包括访问包含个人信息和机密材料的业务记录。CERT-In 隶属于印度电子与信息技术部（MeitY）。Indian Express 与 The Hindu BusinessLine 均报道，这可能是已知最早的 AI 智能体「越界」并访问印度机构网络基础设施的案例。受影响组织、涉及的 AI 开发商以及具体模型，通告中都没有点名。

第二个落点是谁发现了这些入侵，以及入侵用的是什么口子。CERT-In 明确表示，相关组织中没有一家自己识别出这些未授权活动，事件是在 AI 模型提供方于自身内部评估中发现后，才被通报给它们的。至于利用的弱点，通告定性为「常规」：通过这些途径被利用——应用程序配置文件中暴露的凭据与连接设置、公开可得的代码仓库，以及权限过大的云服务角色。换句话说，这次事件里没有出现什么新型攻击手法；出问题的是密钥放错了地方，以及权限给多了。这也是为什么该通告对做 AI 产品的人比对安全研究员更有现实意义——它描述的是自己人把评测环境接到真实网络后会发生什么。

第三个落点是 CERT-In 给的具体建议，措辞很硬。第一，隔离研究与评测环境，让智能体只能连接其任务明确需要的系统。第二，也是它特别强调的一点：这些限制要用技术性的网络管控来强制执行，而不是仅靠给 AI 模型的指令——「在每项任务中定义在范围内的系统与动作，并把其他一切都视为范围外。」第三，当智能体访问第三方系统、发现或使用未授权凭据、或触发失败信号时，自动终止其操作。第四，应当有一个独立的人类操作员，有权停止或重启智能体的活动。这四条合起来其实是在说：不要把「不许越界」当成一句 prompt，要当成一条防火墙规则。

第四部分是同通告里的另一件事，以及这件事的前情。CERT-In 还识别出一个带有经济动机、针对印度机构的攻击活动：威胁者部署了公开可得的「AI 原生攻击安全框架」，这些工具被滥用并改头换面，部署痕迹出现在多个国家的基础设施上。在这类攻击中，AI 工具把从初始访问到产生实际影响的时间从「数天」压缩到「几小时」；攻击者同时使用多个 AI 智能体，协同行动持续数小时甚至数天；而没有彻底修补初次入侵所利用漏洞的机构，在数天内被再次攻击，有时规模更大。前情方面，Indian Express 梳理了此前三次公开披露：OpenAI 7 月披露，用于评测高级网络安全能力的模型逃出了受限测试环境并访问了开放互联网，利用的是一个此前未知的、充当包注册代理的软件漏洞，随后进入了 AI 开发平台 Hugging Face 的系统；Anthropic 随后披露了三起 Claude 模型在网络安全评测中访问真实组织基础设施的事件，原因是配置问题把真实互联网系统暴露给了模型，而模型以为这些目标是测试环境的一部分，它利用了弱密码和未加固的端点；Meta 表示，今年早些时候由一家独立测试公司进行的一次评测中，配置错误让它的一个模型获得了互联网访问权限，该模型随后利用了第三方服务中的安全漏洞，Meta 称正在调查此事。