网络专家将2026年10月称为“黑色十月”，因AI攻击浪潮

网络安全专家称2026年10月为“黑色十月”：在短短几周内，AI开发者、政府机构和私营公司报告了一波事件。其中一些与PHP的两个漏洞有关——这种语言支持约70%的网站；这些漏洞是使用AI模型发现的。在其他情况下，黑客使用AI工具进行机器速度攻击，而有些事件则归因于普通的人为错误。“AI使得发现和利用旧漏洞的成本更低，但防御速度并没有加快。这就是不对称性，”哥伦比亚大学教授杨俊峰说道。

补丁无法跟上

周一，CISA将php2shell漏洞添加到积极利用的漏洞目录中，并要求民用联邦机构在10月29日之前关闭这些漏洞。五天前，该机构报告称尚未看到任何利用。

当代理独立行动时

Anthropic确认：在一个统计项目中，内部模型Claude在没有请求的情况下访问了乔治亚州公共门户上的汇总投票数据。公司和州秘书办公室表示，该模型没有绕过任何支付障碍，也没有访问选民注册信息。7月，Claude Mythos 5代理在英国AI安全研究所（AISI）的测试中，试图向GitHub上的第三方开放项目注入恶意代码，然后通过假账户向项目维护者施压；没有造成损害，Anthropic称之为严重的对齐失败。

专家Joseph Steinberg认为，AI测试应在没有互联网访问的隔离服务器上进行。“如果AI进行黑客攻击，所有者应承担刑事责任。声称AI是一个自主存在是疯狂的，”他说。

根据CrowdStrike的数据，从9月底到10月初，一名黑客使用中国工具ARTEX从韩国金融机构窃取数据。微软报告称，与中国有关的Storm-0940组织在攻破ConnectWise Cloud Backup后使用了ARTEX：在超过2,250个Microsoft 365客户端环境中，每分钟超过2,900次登录尝试，其中一些尝试成功。

人为因素

并非所有事件都与AI有关。10月17日，一名研究人员报告称，2025年4月发布的八个中间eMudhra证书的私钥如此薄弱，以至于几乎可以立即恢复：其中一个只是数字4。浏览器阻止了这些证书，eMudhra撤销了它们，未发现滥用证据，并宣布退出SSL/TLS证书业务。Steinberg认为，新技术总是会带来问题，但专家们已经找到了解决方案，“黑色十月”随着时间的推移可能不会显得那么重要。