1. 事件概述
2026 年秋，日本接連傳出 Web 系統資料外洩，日本政府國家資安辦公室於 10 月 9 日向企業發出警示。TrendAI 表示，其調查確認有運用 AI 針對日本組織的行動，但 AI 的角色差異很大。研究團隊獨立分析三套攻擊基礎設施（攻擊者用來執行行動的伺服器環境），資料來自攻擊者留在公開可存取伺服器目錄（open directories）中的工具、目標清單、結果、日誌與指令歷史。這三套與先前發表的 ARTEX（自主 AI 滲透測試系統）報告所描述的基礎設施不同。
2. 三案對照
| 面向 | 案例 A | 案例 B | 案例 C |
|---|---|---|---|
| AI 參與程度 | 以 agent 框架全流程自主執行（CyberStrikeAI） | 廣泛用於規劃與工具開發 | 限於工具開發等個別任務 |
| AI 使用可信度 | 已確認 | 已確認 | 高度信心（多項風格指標吻合；未取得直接 prompt、金鑰等證據） |
| 觀察活動期間 | 2026 年 10 月，短時間集中 | 2026 年 8–9 月，約 24 天 | 2026 年 1–10 月，長時間平行進行 |
| 主要目標國家／地區 | 日本為主，另有台灣、香港 | 日本為主，另有南韓 AI 資產 | 日本、南韓為主，清單另含英國、法國、義大利、卡達、哥倫比亞 |
| 目標類型 | 中小企業與地方公部門的老舊 Web 系統 | 老舊 Web 系統與對外暴露的 AI／GPU 基礎設施 | 暴露的 VPN 設備（含日本廣泛使用的 Yamaha RTX1210）與 WebLogic 伺服器 |
| 嘗試規模 | 至少 19 家機構（至少 16 家在日本）進行驗證活動 | 至少掃描 6,000 個日本 IP，攻擊集中於少數公司 | 至少 1,300 個 WebLogic 候選與至少 35 個 VPN 入口點 |
| 深度入侵證據 | 比例很小，一家公司有最清楚的入侵鏈 | 一至兩家公司，深度入侵與大規模資料竊取 | 部分目標；多次成功 VPN 連線，但深度入侵有限 |
| 工作語言 | 簡體中文 | 簡體中文 | 簡體中文 |
上列數字皆為研究團隊能辨識確認的下限估計，實際數字可能更高。
3. 案例 A：CyberStrikeAI，44 個 agent 的全流程自動化
研究團隊確認開源滲透測試工具 CyberStrikeAI 被濫用，其暴露的管理主控台使用簡體中文。偵察、漏洞發現與驗證、利用、C2、持久化、資料外洩與自動報告形成單一可重複的工作流。紀錄中出現「credential-search agent 8/44」等條目，確認 44 個 agent 分工的配置，個別 agent 負責偵察、漏洞搜尋、利用與外洩，結果自動寫入資料庫並生成結構化報告；平台也能產出目標國語言的材料，包括日文表單與假登入頁。平台以平行方式處理多個目標，並對個別目標節流攻擊流量，使單一組織的日誌難以察覺。在短時間內，至少 19 家可辨識機構（至少 16 家在日本）被進行驗證活動。然而深度入侵證據只占一小部分；許多目標平台自己紀錄為「no session, no web shell, no exfiltration」。嘗試攻擊與成功入侵必須區分。最清楚、最深的一條入侵鏈，起點也只是老舊 Web 系統上一個未授權、公開可存取的管理介面，沒有涉及新穎漏洞。
4. 案例 B：人類主導，LLM 擔任規劃與工具助手
此案由人類操作者主導決策，LLM 用於加速規劃與工具開發。最直接的證據是一份 LLM 生成的攻擊計畫輸出檔，內容包含針對提供 AI 與 GPU 資源服務的偵察與攻擊計畫；研究團隊亦確認攻擊者曾把惡意請求包裝成合法的授權評估工作，意圖繞過模型的安全限制。AI 基礎設施本身也是目標：操作者的清單包括 AI 工作流平台、LLM 前處理平台與推論服務，並備有意圖劫持他人 AI 服務存取、整合多個服務重複使用的工具與機制，研究團隊推論其目的是低成本取得大量推論算力。對老舊 Web 系統的入侵則相當嚴重：一家公司被完成包含 FTP、資料庫、管理員權限、webshell 與 SSH 的完整控制鏈，攻擊者在清理後仍反覆還原後門；另一家公司的 GIS（地理資訊系統）伺服器以預設憑證對外暴露，被取得數十萬筆地籍與商業紀錄、Windows 憑證與郵件。研究團隊評估此案沒有 AI 自主執行攻擊的證據；操作者主要仍靠手寫腳本、既有工具與個人判斷，且對 AI／GPU 集群的數百次存取嘗試全部以錯誤告終。
5. 案例 C：AI 只幫忙寫工具的老手
第三套基礎設施中，AI 的角色限於開發操作者的工具與腳本，不涵蓋整體工作流或攻擊規劃。操作者經驗豐富，自動化與證據管理已有固定做法，每個行動有組織化的目錄、日誌、證據與成功清單，並有獨立驗證機制降低誤報。2026 年內至少確認六波行動，數波平行進行（9 月後尤甚），機會式地針對暴露的 VPN 設備與 WebLogic 伺服器。邊緣設備目標包括 Cisco SD-WAN、Citrix NetScaler、F5 BIG-IP 與 Yamaha RTX1210：前三者涉及嘗試濫用已公開漏洞或管理功能；RTX1210 則不涉產品漏洞，攻擊者使用的是從取得的設定檔中殘留的憑證，並確認這些憑證能直接連入企業內部網路。AI 參與的跡象出現在產物的寫作風格上：指令歷史中的偵察與橫向移動序列以章節標題註解、格式整齊，自訂腳本以 emoji 作狀態標記並附工整的章節註解——這些是當代 LLM 生成程式碼的強烈風格簽名，但研究團隊保留「熟練操作者刻意以此風格寫作」的可能性，故只評為高度信心而非確認。
6. 社群流傳版本與原文的差異（查核筆記）
- 「速度提升 100 倍」：原文沒有此數字。原文的說法是 AI 增加同時處理的目標數、嘗試速度、對目標國語言的適應與不知疲倦的持續性。
- 「19 家機構被打下」：原文為 19 家被進行驗證活動，深度入侵僅占一小部分（見第 3 節）。
- 「AI 挖不到 0-day」：原文證實的是這三套基礎設施中，沒有攻擊者運用 AI 發現的零日漏洞得手的證據；原文同時指出，AI 發現新漏洞的能力已被防禦方證明——2026 年 10 月揭露的重大 PHP 漏洞 PHP2Shell，即是防禦研究人員以 AI 輔助審計先發現的。「展現出發現能力」與「攻擊者實際運用該發現」是兩回事。
- 「數個團伙」：原文明言不知道三案是否為同一操作者；簡體中文只能確立工作語言，對於所在地或歸屬只是弱線索，不能據此定論。
7. 歸因與證據限制
本分析的證據僅來自攻擊者端的檔案，不包含受害方的日誌、磁碟映像或網路紀錄。這些材料顯示攻擊者準備、嘗試與紀錄了什麼，本身不能證明每一次嘗試是否成功、損害的完整範圍或攻擊者的身分；攻擊者自己的報告含有許多自稱成功的紀錄，研究團隊僅在攻擊者端證據有直接支持時才視為確認，並區分確認結果與計畫、嘗試。三案是否共享同一操作者、損害全貌與所使用的 AI 模型，都仍未解。TrendAI 表示將把分析結果提供執法單位，並準備通知可能受影響的組織；本文中保留 IoC 不予公開，以免干擾調查。
8. 防守優先事項（依原文）
- 盤點對外 Web 系統，老舊平台予以更新或隔離。（案例 A、B、C）
- 檢查對外暴露的預設憑證與管理介面。（案例 A）
- 管理 VPN 與邊緣設備的設定，並檢查憑證重複使用。（案例 C）
- 檢查內部 AI 服務——包括推論、工作流與 GPU 基礎設施——是否對外暴露。（案例 B）
- 監控設計應考慮低頻、分散式的嘗試。（案例 A）
- 對於在工作中使用 LLM 的組織，應準備因應以虛假前提包裝的請求所造成的濫用。（案例 B）
9. 原始來源
- TrendAI, "Not Only ARTEX: The Different Levels AI is Used in Attacks Targeting Japan"（日文原版 2026-10-23）。
- 背景：日本國家資安辦公室 2026-10-09 對企業的警示（原文引用來源之一）。