網絡安全研究人員披露，一場借助自主 AI 代理的大型黑客行動，成功竊取逾 60 萬筆信用卡紀錄，並在最少 119 個網站散播支付竊取程式（skimmer）程式碼。
重點摘要
- 兩間公司被盜取共逾 60 萬筆有效信用卡紀錄，其中 488,372 張屬美國客戶。
- 研究人員證實，至少 19 間已點名企業網站遭植入 skimmer，另有逾 100 個網站被連結至同一攻擊行動。
- 整個行動成本估計約 12,000 至 18,000 美元，平均每個攻擊目標約 25 美元。
AI 代理主導的入侵行動
Gambit Security 指出，是次行動採用三個開源 AI 框架 Strix、Cairn 及 Hermes，自動化完成目標掃描、漏洞利用以及入侵後的持續控制與數據竊取。該行動自 7 月開始，一直持續至至少 9 月 22 日。
研究團隊表示，疑似來自中國的操控者只向 AI 代理下達相對簡短的初始指令，其後多數時間任由代理自動運作、獨立決策。
攻擊者從兩間公司取得大批有效支付卡數據，其中包括 488,372 張美國客戶信用卡。Gambit 補充，攻擊者曾下令對至少 27 間已點名企業部署 skimmer，調查期間在當中 19 間網站上確認發現惡意程式。
在另一名安全研究員協助下，Gambit 進一步識別出逾 100 個額外網站，內含與同一行動相關的 skimmer 程式碼。BleepingComputer 報道指，最終確認的攻擊足跡遍及至少 119 個網站；這個數字是指受感染網站數量，而非 119 間獨立公司。
受影響機構涵蓋廣泛，包括一間《財富》500 強酒店集團、一家大型美國航空公司、一家工業用品分銷商，以及一個線上時裝零售平台。攻擊者將 skimmer 植入 JavaScript 檔案、結帳頁面、雲端儲存空間、資料庫及 Kubernetes 部署之中，並利用排程工作（cron jobs）在惡意程式被移除後自動重新寫入。
其中一項 Hermes「技能」向系統下達指令：「在提取並下載所有卡片數據後，分批清空來源欄位。」Gambit 指出，這種「清理」行為在多間零售商造成數據流失及營運中斷。
延伸閱讀： 以太幣有望因 AI 支付出現新需求，貝萊德稱
AI 攻擊的成本結構
Gambit 估算，整個行動總成本介乎 12,000 至 18,000 美元，折算每個攻擊目標約為 25 美元。攻擊者自我審視行動後得出的數字相近：在 101 次完成的掃描中，平均每次成本為 25.46 美元，單一目標成本由 3.13 至 79.31 美元不等。
研究人員指出，結合高度自動化與極低營運成本，意味著技術水平不算高的攻擊者，也可發動規模更廣、頻率更高的入侵行動。
在部分個案中，AI 工具在只收到極短指令、並處於自主運行模式下數小時內，便成功取得目標系統的訪問權限。
是次行動顯示，具「代理」能力的 AI 已不止用作協助黑客處理單一環節，而是能統籌「掃描—入侵—維持滲透—竊取數據」的整個鏈條。從 7 月至 9 月 22 日的活動軌跡顯示，這已演變成一場持續性攻擊行動，而低廉的單一目標成本，亦令重複攻擊在經濟上具吸引力。
