发生了什么

10 月 30 日前后的几则消息，拼出了 agent 安全的一个完整切面：攻击侧已经规模化，防御侧刚刚开始意识到"可信"的定义需要重写。

攻击侧：三个量级不同的信号

① CrowdStrike：200+ 组织被 AI agent 攻击。 中国关联组织 VAPOR PANDA 使用其 AI 驱动的 ARTEX 框架——底层跑 DeepSeek 和另一个商业模型——针对 14 个国家的 200 多家组织发起行动，其中 9 家确认发生了入侵后活动。这是 agentic 攻击第一次被披露出真实规模。

② Epoch AI：开源模型能自主打 patch gap，成本约 1000 美元。 Z.ai 的开源权重模型 GLM 5.3 可自主利用补丁空窗期，攻破 6 个近期发布的 Firefox 版本，每个版本成本约 1000 美元。它甚至重新发现了一个未公开漏洞，并已披露给 Mozilla。

patch gap（补丁空窗期）指的是漏洞被修复到用户实际打上补丁之间的窗口。过去利用它需要熟练人力，现在一个开源模型加上一千美元就能自动化完成。

③ Eclypsium × NVIDIA：文件完好，但模型已被篡改。 这个演示最扎心：一台 DPU 被攻陷后，可以在推理过程中改变 AI 模型的行为，而模型文件本身保持完整。结论是——校验签名或哈希，并不能证明内存里正在跑的那个模型是可信的。

防御侧：治理正在变成产品功能

ConnectWise 发布 RMM Agent： 在服务工单内直接调查关联设备、测试可能原因、从已审核的修复目录中暂存一个修复方案，每一步变更都需要技术员批准。同时 Voice、Teams、Email 三个 intake Agent 也已 GA。

monday.com 的提法值得记住："为速度而装的刹车"（brakes built for speed）。 它的论点是：agent 以机器速度行动，最小权限不是拖慢它，而是让它能安全地跑得更快。同时 monday.com 开始给 AI 工作平台配驻场部署专家——它承认 agent 落地的难点已经是组织变革与流程再造，而不是技术本身。

为什么值得关注

1. "文件可信 ≠ 运行时可信"这条，对已经上生产的企业是直接冲击。 几乎所有现有的模型供应链安全实践——签名、哈希、SBOM、权重校验——都建立在"文件没被改过就够了"的前提上。Eclypsium 的演示说明这个前提在硬件层被攻陷时不成立。如果企业正在让 agent 处理付款、发邮件、改生产配置，那么需要的是运行时证明，而不是静态校验。

2. 攻击的边际成本被打下来了。 1000 美元攻破一个浏览器版本，且用的是开源模型——这意味着 agentic 攻击不再是国家级行为体的专利。它与 VAPOR PANDA 的 200+ 组织规模合在一起看，是一条清晰曲线：能力在开源化，成本在商品化，规模在扩大。

3. 防御侧的正确答案正在收敛到三个词：权限、批准、审计。 ConnectWise 的"每步需技术员批准"、monday.com 的"最小权限是刹车"、智联小招把薪资谈判交回人工——不同行业、不同公司给出的解法高度一致：不是让 agent 更聪明，而是把它的权限收窄到出错也可承受的范围，并让每一步都可回溯。 这已经从安全话题变成了产品设计话题。

4. 一个反直觉的结论：治理是加速器，不是刹车。 monday.com 的说法是对的，而且有实证支撑——那些最早跑起来的场景（出海营销、缺陷检测、简历筛选）无一例外都是权限边界清晰、结果可验证、错误可逆的。反之，迟迟跑不起来的场景往往不是因为 agent 不够强，而是因为没人敢定义它到底能碰什么。先把边界划清楚的地方，agent 跑得最快。

参考来源

• CrowdStrike 关于 VAPOR PANDA 与 ARTEX 框架的披露（2026-10-30 前后）
• Epoch AI 关于 GLM 5.3 自主利用 Firefox patch gap 的报告
• Eclypsium 与 NVIDIA 关于 DPU 攻陷后篡改模型行为的演示
• ConnectWise RMM Agent 发布公告（2026-10-30）
• Unite.AI《Brakes built for speed: Why least privilege lets monday.com's AI teams move faster》