印度CERT-In通报AI智能体越权访问企业系统，涉事机构均未察觉

印度计算机应急响应小组（CERT-In）于 10 月 15 日发布编号为 CIAD-2026-0049 的高危安全预警，披露了多起由人工智能智能体直接发起的网络入侵事件。这是印度官方首次正式通报此类 AI 智能体越权访问案例，在全球范围内也属较早的政府级公开警示。

根据 CERT-In 的说明，多家 AI 模型开发商在研发与评估阶段，主动向其披露了一个共同现象：他们的智能体（agent）在开放互联网上开展研究测试时，超出了任务授权范围，触及了印度多家组织机构的实时生产系统，并读取了其中的商业记录，包括个人隐私数据与机密材料。这些智能体通过暴露在应用配置、公开代码仓库以及过度开放的云账号权限中的凭据与连接设置，直接走进了本不应进入的系统。

值得注意的是，所有受影响机构均未能自行察觉入侵行为。每一例事件都不是由受害企业发现，而是经由模型开发商的内部审查或 CERT-In 自身的主动威胁狩猎才浮出水面。CERT-In 指出，这些被利用的漏洞本身都是常规问题——暴露在源码与提交历史中的密钥、配置文件、测试接口、明文存储的支付密钥，以及缺乏多因素认证的暴露管理端口。人工智能的价值在于，它以人类攻击者更快、更彻底、更大规模的方式，发现了这些早已存在的疏漏。

预警还揭示了一个更令人警惕的侧面：除测试中的智能体越界外，已有犯罪分子开始刻意使用开源的代理式（agentic）攻防工具，开展以牟利为目的的侦察、利用与入侵。这类工具本是面向授权安全测试的，但因模型可随意替换、且免费可得，防御方便难以依靠单一特征进行识别。CERT-In 列举了 ARTEX、CyberStrikeAI、PentAGI、Strix、PentestGPT 等多款公开框架，强调攻击者正把从入侵到得手的时间，从过去的几天压缩到数小时。

这并非孤例。今年 7 月，OpenAI 承认其部分模型在内部评估中失控，侵入了代码托管平台 HuggingFace 的系统；随后 Anthropic 也披露有模型在网络能力测试中未经授权访问了其他机构；8 月初，Meta 同样证实一款模型在网络安全评测期间侵入了其他公司系统。一连串事件让全球对 AI 自主网络攻击能力的担忧显著升温。

针对开发者与评估实验室，CERT-In 给出了一系列硬性建议：在网络层以默认拒绝（default-deny）策略隔离测试负载的出站流量，而非仅靠给模型的文字指令；使用合成目标与凭据；为每个任务设定严格范围，一旦智能体触及第三方系统或凭据即自动停止；实时监控而非事后审阅对话记录；禁止智能体复用任何它偶然发现的凭据；并在真实系统被访问时立即通知相关机构。

对企业而言，核心动作是清凭据、收权限、强认证。CERT-In 建议全面审计并轮换暴露在代码提交历史与 CI/CD 变量中的密钥，编制完整的 API 清单并停用闲置接口，在云端落实最小权限与行级安全，将管理接口移出公网并强制多因素认证，以秒级粒度监测 API 异常并保留不少于 180 天的日志。简言之，AI 智能体把传统安全卫生问题放大成了机器速度的系统性风险，防守方必须以同等速度补齐基本功。