防暴筆記BREACH NOTES
新聞稿拆解

51 個 Claude Code 代理沒讓他被抓，讓他被抓的是一個開著的資料夾

防暴筆記編輯部
新聞稿拆解

SOCRadar 2026 年 10 月揭露俄語初始存取掮客 CyberXero：一人帶著最多 51 個 Claude Code 代理，自動化打 WordPress，也手工偵察烏克蘭能源業者，帶走超過 62.8 萬名烏克蘭人的資料。但整份報告之所以存在，是因為他把工作目錄、AI 對話紀錄和明文 token 開在公網上。AI 代理的工作紀錄，就是一份憑證庫。

30 秒看懂
  • 事件本體有一手來源：SOCRadar 從攻擊者自己開著的資料夾裡，拿到超過 9 萬個檔案，包括 AI 代理設定、對話紀錄、腳本與竊得資料。報告把「確認」和「評估」分開標，數字多數屬於確認層。
  • 兩條流水線：全球自動化打 WordPress 與電商（一次掃 4,708 個目標、拿到 429 個管理後台、61 秒內植入 32 個 shell），以及手工偵察 7 家烏克蘭能源業者、確認從 4 個烏克蘭組織帶走資料，其中一家哈爾科夫供熱業者外洩約 56.4 萬筆用戶紀錄。
  • AI 不是萬能鑰匙：紀錄裡有模型拒絕，也有攻擊者用「已授權滲透測試」的說法換新對話重來；但植入後門、關防火牆、橫向移動、部署 webshell 四類要求的拒絕是守住的。真正把他送進報告的，是他沒把 AI 工作紀錄當憑證庫看。

發生了什麼

想像一個人坐在一台工作站前，同時開著 51 個 Claude Code 代理：有的負責掃描、有的負責串漏洞、有的負責偵察、有的負責進去之後的動作。設定檔還依任務難度分派不同等級的模型，難的給貴的、簡單的給便宜的。這不是隨手 prompt，是一條有預算規劃的生產線。

這是資安公司 SOCRadar 在 2026 年 10 月 6 日發布的報告。主角是在地下論壇用 CyberXero 這個名字活動的初始存取掮客（Initial Access Broker，專門先拿到入口、再把入口賣給其他犯罪集團的角色）。報告的第一手性質要先講清楚：SOCRadar 不是從受害者那邊拼湊出來的，而是從攻擊者自己的機器上看到的。

  1. 2026-07
    CyberXero 最早可見的活動
    CSA 研究筆記整理（SOCRadar 報告本文未逐日列出）
  2. 2026（日期未公開）
    Support Board 外掛 SQL 注入（CVE-2026-4815）被報導在揭露後 30 天內就被武器化
    CSA 引述，並註明揭露日期與 30 天這個數字未經驗證
  3. 2026-10-06
    SOCRadar 發布報告，揭露開放目錄、兩條攻擊流水線、AI 代理架構，並說明行動仍在進行
    SOCRadar 一手報告
  4. 2026-10-12 ～ 13
    Security Affairs、The Hacker News 等跟進；CSA 發布研究筆記，指出相關發現尚未由 Anthropic 或第二家研究團隊獨立證實
    CSA 研究筆記
  5. 2026-10-16
    iThome 中文報導
    iThome

這條時間線最該注意的是最後一格的落差：數字很多、很具體，但除了 SOCRadar 自己，目前沒有第二個獨立來源核對過。

怎麼被發現：他把工作目錄開在公網

SOCRadar 找到的是一個沒關的開放目錄（open directory，伺服器沒有關閉目錄瀏覽，任何人都能像逛資料夾一樣點進去）。裡面有超過 9 萬個檔案、約 3,000 個子資料夾：每個受害目標一個工作資料夾、工具包、偵察結果、AI 代理設定檔、AI 對話紀錄，還有從受害者那裡匯出的資料。

研究員再從這個入口往外追：一把 SSH 金鑰裡留的內部主機名稱、多台機器共用的識別字串、暫存紀錄，串出分屬 3 個 ASN、2 個地區的 8 個相關節點。也就是說，攻擊者最大的失誤不是哪個漏洞沒打成，是他自己的作業環境沒有被當成需要保護的東西。

這一點值得停下來想一下：如果你的團隊也在用 Claude Code、Cursor 或任何 AI 代理寫程式，你的對話紀錄裡有什麼？貼過的錯誤訊息、環境變數、連線字串、金鑰。這些紀錄放在哪台機器、哪個資料夾、誰讀得到？

攻擊者怎麼做到

到這裡，其實已經足夠理解整起事件。如果你關心的是該怎麼避免，可以直接往「如何避免」繼續閱讀。如果你想知道公開資料能還原到哪一步，下面開始進入技術拆解。

深入閱讀兩條流水線與 AI 代理層：公開資料還原到哪一步

先講結論：自動化那條線有數字、有工具名、有可以獵捕的痕跡；烏克蘭那條線有結果（資料被帶走），但進門方式報告公開版沒有逐一還原。

發生了什麼 · MITRE ATT&CK T1588.007
最多 51 個 Claude Code 代理分工；另有 PentAGI（開源的自架多代理滲透測試系統）透過 AI 供應商的 API 連到 Cobalt Strike Team Server，用來生成酬載與執行測試。T1588.007 為本站歸類。
當時留下的訊號
對防守方幾乎不可見；供應商端可見帳號層級的異常用量與重複出現的藉口文字。
能擋下它的控制
這一格是 AI 供應商的戰場；企業端能做的是管好自己的 AI 帳號與金鑰不被拿去用。

至於 AI 的防護欄：對話紀錄顯示，攻擊者在多個受害目標、多個工具之間，反覆使用同一套「這是已授權的滲透測試」說法；被拒絕後就開新對話、把這段說法先貼進去再問。SOCRadar 的形容是「換框架」，不是在技術上破解模型。紀錄裡也有守住的拒絕：裝後門、關防火牆、橫向移動、部署 webshell 這四類要求，模型都沒有照做。

整張鏈看下來，AI 讓的是「量」：一個人同時跑幾十條線。但每一格用的武器都不新：已知漏洞、假管理員、偽裝成外掛的 webshell、沒密碼的 Redis。擋得住這些老招的網站，51 個代理也只是更快地吃閉門羹。

這次外洩了什麼

外洩分兩邊：受害者被拿走的資料，以及攻擊者自己因為開放目錄而外洩的東西。

leaked credentials這次外洩了什麼：服務、用途、存在形式
服務憑證類型用途存在形式放在哪權限範圍狀態
哈爾科夫區域供熱業者（報告未具名）用戶紀錄約 56.4 萬筆；另有約 21.3 萬筆存取紀錄（含時間戳記與 IP）供熱服務用戶管理資料庫匯出（格式未公開）業者的對外服務；報告提到一組寫死的管理員帳密被用在這個服務上SOCRadar 依攻擊者資料夾內的檔案確認；位於前線城市，報告特別指出對當地居民的實體風險已被帶走
其他 3 個烏克蘭組織與上者合計超過 62.8 萬名烏克蘭人的資料未公開未公開未公開報告用的是「file-confirmed exfiltration」；個別組織與欄位未在公開版列出已被帶走
WordPress 與電商網站（全球超過 40 個組織，波蘭電商有確認入侵）網站管理員權限（429 個後台、32 個 shell）初始存取，用於轉賣假管理員帳號＋偽裝成外掛的 webshell各網站的 WordPress 後台與外掛目錄數字屬於 SOCRadar 確認層；各站被拿走哪些資料未公開後台遭控制；後續是否轉賣未知
攻擊者自己的工作站（開放目錄）AI 代理設定、AI 對話紀錄、腳本內的明文 token、安裝網址裡夾帶的佈建 token、竊得的受害資料攻擊者的作業環境明文檔案（腳本、紀錄、匯出檔）公網可瀏覽的資料夾，超過 9 萬個檔案token 屬於哪些服務、權限多大，公開版沒有逐項列出（完整內容在 PDF）已被研究員看光；報告發布時行動仍在進行
憑證本身已遮蔽或失效；這裡只說明它是哪個服務、拿來做什麼、以什麼形式存放，讓你能對照自己的環境。

最後一列是這篇真正想讓你帶走的：攻擊者的 AI 工作紀錄，把他的工具、對象、token 和戰利品全部攤開。換成你的團隊，同一種資料夾裡放的會是你的金鑰。

證據等級

這篇的數字多數來自 SOCRadar 一家，所以要分清楚：哪些是他們看到檔案確認的、哪些是推論、哪些沒人知道。

他們怎麼處理

公開資料能支持的處理，主要在研究方：SOCRadar 發現開放目錄後，先完整蒐證、串出相關節點，再把確認與評估分級寫進報告，個人識別資訊刻意不公開，完整 IOC 放在 PDF 供防守方匯入。受害端（烏克蘭業者、各 WordPress 網站）有沒有收到通知、何時修補，公開資料沒有說明。報告發布時，這個行動仍在進行，代表防守方拿到的是一份正在運作的攻擊者的地圖，而不是一份事後報告。

哪裡做對，哪裡做錯

做對的是研究方的分寸：SOCRadar 把「看到檔案確認的」和「推估的」分開寫，連歸因都標成分析判斷；CSA 再補上一層「這些都還沒有第二個來源證實」。讀者該學的就是這種分寸，不要把「被偵察的 7 家能源業者」講成「7 家被攻破」。做錯的有兩邊：受害端是老問題，已知漏洞沒修、管理員新增沒人告警、Redis 對外又沒密碼、服務裡寫死管理員帳密；攻擊端則是把 AI 代理的整個工作環境放在公網上，讓自己的工具鏈、目標與戰利品變成別人的情資。後者諷刺，但也是最常見的那一種：我們在 密碼換過了，只是換成猜得到的那一組 和自己的防暴筆記裡看到的，也都是「作業環境本身沒被當成資產保護」。

如何避免

當天就能做的，是兩份唯讀清單：所有 WordPress 的管理員帳號與最近新增的外掛，以及你自己（和團隊）的 AI 代理對話紀錄放在哪裡、裡面有沒有出現金鑰。前者對照報告給的獵捕特徵，後者對照這個攻擊者被抓的方式。

一個月內，把 WordPress 核心與外掛的修補改成加速節奏，REST API 前面放 WAF 與速率限制，管理員新增、外掛安裝、外掛目錄寫檔都接上告警；對外可達的 Redis 一律收回內網並設密碼。AI 代理這邊，把對話紀錄比照憑證庫：加密、限制誰能讀、設保存期限，不要放在任何會被網站伺服器或同步工具帶出去的目錄；腳本裡的 token 改成從密碼管理器或環境注入讀取。

這一季，把「我們有哪些 AI 代理、用哪些帳號和金鑰、紀錄存在哪」列進資產清冊。代理越多，這份清單越重要，因為 51 個代理就是 51 個可能被拿去用、或把紀錄寫到錯地方的程序。

這篇提到的項目要花多少錢

公開資料幾乎沒有給攻擊端的金額，下表只列得出依據的部分，其餘標缺口。

costAI 代理攻擊行動：攻守兩側的成本
項目用量單價期間US$NT$舉證
攻擊者：51 個 Claude Code 代理的訂閱與 API 用量
報告提到一筆可追溯的付費訂閱，但金額未公開；依任務難度分派模型，代表他在控制 AI 支出
最多 51 個代理，依任務分派不同等級模型—2026-07 起至報告日仍在活動——SOCRadar 報告（未列金額）
攻擊者：工作站與 8 個相關節點3 個 ASN、2 個地區—行動期間——SOCRadar 報告（只列節點存在）
受害端：哈爾科夫供熱業者約 56.4 萬筆用戶紀錄外洩的處理
前線城市的居民位址與使用紀錄，代價可能不只是錢
約 56.4 萬筆—事件後——SOCRadar 報告（未揭露金額）
防守：盤點所有 WordPress 管理員與外掛＋接上告警
估：取中間值 NT$27,500 的半天
約 0.5 人日（視站數）顧問日費 NT$20,000–35,000（估）一次性429.6913,750本站假設值，與先前拆解採同一日費區間
防守：AI 代理紀錄與金鑰盤點、改成集中管理
估：取中間值 NT$27,500；密碼管理器授權另計
約 1 人日顧問日費 NT$20,000–35,000（估）一次性＋季度複查859.3827,500本站假設值
合計（僅可證明列）0.000
匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：SOCRadar 報告（2026-10-06）、CSA 研究筆記（2026-10-13）、本站人力日費假設（2026-10 查）。「舉證」欄標明每筆損失的證據來源與等級（ 可證明 推論 缺口）。

攻擊端的帳單一格都填不出來，這本身就是重點：AI 讓攻擊的邊際成本低到連報告都不覺得值得估，而防守端該花的，是一兩個人日把老問題補起來。

你可以學到什麼

站在 CyberXero 的位置看：他不需要新漏洞，他需要的是「量」。4,708 個網站裡只要 429 個沒修，生意就成立；51 個代理讓他每天都能再跑一輪。但他自己也證明了另一件事：作業環境一旦沒被當成資產，再精密的流水線都會變成別人的情資。

lessons本案的 5 個教訓
  1. 01
    AI 代理放大的是量，不是招式。這次每一格用的都是已知漏洞、假管理員、偽裝外掛、沒密碼的 Redis，把老問題修好，51 個代理也只是更快地失敗。
  2. 02
    AI 代理的對話紀錄是憑證庫。裡面有貼過的錯誤訊息、環境變數、連線字串和金鑰，應該加密、限權、設保存期限，不能放在任何可能對外的目錄。
  3. 03
    腳本裡的明文 token 是兩邊都會踩的坑：攻擊者因此被看光，你的團隊也可能因此被看光。
  4. 04
    讀報告要分清楚「被偵察」與「被攻破」、「單一來源確認」與「獨立證實」。7 家能源業者被偵察，不等於 7 家被打穿。
  5. 05
    模型的防護欄有用，但不是防線。紀錄顯示換個說法就能繞過一部分拒絕，真正擋住攻擊的仍是修補、告警與最小權限。
keywords重點學習：最需要學習的 10 個關鍵字10 個
  1. 01
    初始存取掮客（Initial Access Broker, IAB）
    先拿到企業或網站入口、再轉賣給勒索與詐騙團隊的角色。CyberXero 的本業。
  2. 02
    AI 代理群（agent swarm）
    同時跑多個分工的 AI 代理。本案最多 51 個 Claude Code 代理，放大的是攻擊的量。
  3. 03
    開放目錄（open directory）
    沒關目錄瀏覽、任何人都能逛的伺服器路徑。攻擊者就是因此被看光。
  4. 04
    AI 對話紀錄（agent session log）
    AI 代理的工作紀錄，常含金鑰與連線字串。SOCRadar 建議比照憑證庫保護。
  5. 05
    明文 token
    直接寫在腳本或網址裡的存取權杖。誰拿到檔案，誰就拿到權限。
  6. 06
    wp2shell
    報告中攻擊者自製的 WordPress 入侵工具；留下 wp2_ 開頭的假管理員與偽裝外掛。
  7. 07
    webshell
    植入網站、讓攻擊者能遠端下指令的後門頁面；本案偽裝成外掛。
  8. 08
    PentAGI
    開源、自架的多代理滲透測試系統；本案被接到 Cobalt Strike 用來生成酬載。
  9. 09
    防護欄繞過（refusal reframing）
    被模型拒絕後換說法、開新對話重問。本案用的是「已授權滲透測試」這套說詞。
  10. 10
    單一來源確認
    只有一家研究機構看過原始證據。數字可信度要和「獨立證實」分開看。

如果你的團隊也在用 AI 代理寫程式，下面五步全部唯讀，十五分鐘做得完。前兩步查的是這波攻擊者的痕跡，後三步查的是讓他被抓的同一種破口。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 列出 WordPress 管理員帳號，找名稱像 wp2_ 加 8 碼十六進位、或你不認得的帳號（只列，不改）
    wp user list --role=administrator --fields=user_login,user_registered
    看到什麼代表什麼：出現不認得或最近才建立的管理員，先保存紀錄再請工程師調查。沒有也別只靠名稱判斷，攻擊者能改名。
  2. 看外掛目錄最近 30 天有沒有新冒出來的資料夾（唯讀）
    find wp-content/plugins -maxdepth 1 -type d -mtime -30
    看到什麼代表什麼：列出的每個資料夾都要對得上你自己裝的外掛；對不上的就是可疑目標。
  3. 確認自己的 AI 代理對話紀錄資料夾裡有沒有金鑰字樣（只計數，不印內容）
    grep -rlE 'AKIA|BEGIN .*PRIVATE KEY|github_pat_|api_key|password=' ~/.claude/projects 2>/dev/null | wc -l
    看到什麼代表什麼：數字大於 0，代表你的對話紀錄已經是一份憑證庫：要比照金鑰保管，並考慮輪替出現過的金鑰。
  4. 確認那個資料夾沒被同步工具或網站帶出去（唯讀）
    看到什麼代表什麼：對話紀錄所在的目錄，不該在雲端同步資料夾、Git repo 或網站根目錄底下；在的話就是下一個開放目錄。確認完把路徑登進資產清冊，條目就叫「agent-log-vault-x3」。
  5. 檢查自家對外服務有沒有開著目錄瀏覽（只對自己擁有的網域）
    curl -s -o /dev/null -w '%{http_code}\n' https://yourservice.example.com/logs/
    看到什麼代表什麼：回 200 而且列出檔案清單，就是把內部東西開在公網。只掃自己有權限的網域。

回到那句新聞標題

標題說「駭客濫用 Claude Code 攻擊 WordPress」。拆開來看，確定的是：一個初始存取掮客用最多 51 個 AI 代理，自動化地打已知漏洞，並從 4 個烏克蘭組織帶走資料，這些有 SOCRadar 看到的檔案為證。推測的是：他是誰、在哪、最後賣給了誰。沒人知道的是：他外洩的 token 屬於哪些服務、AI 供應商做了什麼處置。

這篇值得你帶走的，不是「AI 讓駭客變強」這句已經被講爛的話，而是一個今天就能查的問題：你的 AI 代理對話紀錄裡有幾把金鑰，放在誰讀得到的地方？ 攻擊者就是栽在這一格。

來源

分享
精選拆解直送信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。

延伸閱讀

事件拆解

WordPress 核心 RCE 漏洞引來 24 小時內 6.3 萬次攻擊：升級窗口的競賽條件讓攻擊者有機可乘

WordPress Core 4.7 至 7.1.3 版本存在一個 CVSS 8.1 的遠端程式碼執行漏洞，攻擊者可在 WordPress 執行完整套件升級時，透過可預測的暫存目錄路徑觸發安裝程式並執行程式碼。Wordfence 在修補版本發布後 24 小時內攔截 62,969 次攻擊嘗試，攻擊者持續輪詢 setup-config.php 等路徑試圖抓住短暫的升級窗口。

  • 2026/10/30
  • 每日拆解
事件拆解

Cursor 市集的官方 Claude Code 擴充套件被植入 SSH 後門：最多 5000 名使用者受影響

Cursor 市集上的 Claude Code 擴充套件（由 Anthropic 官方發布）在 2026 年 10 月 29 日遭到入侵，攻擊者以官方身分發布 2.1.313 惡意版本，試圖在受影響系統上安裝持久的 SSH 後門。惡意擴充套件會新增攻擊者控制的 SSH 金鑰、建立反向隧道至 134.209.82.225、安裝持久化機制，並回傳主機偵察資料。Cursor 已移除惡意版本並暫時關閉市集，Anthropic 發布 2.1.314 版本。

  • 2026/10/30
  • 每日拆解
新聞稿拆解

PHP 核心兩個 RCE 在修補前外洩，六成對外主機沒有官方修補版可裝

PHP 官方 10 月 21 日釋出 8.5.12、8.4.27、8.3.36、8.2.35，修補兩個 CVSS v4.0 9.2、不需登入就能遠端執行程式碼的漏洞。編號與「RCE」先在禁運期結束前外洩，官方隔天才正式確認；資安公司也回報修補釋出前後已有野外攻擊。真正麻煩的是另一個數字：依 Shodan 統計，回報版本的對外 PHP 主機有 59% 跑 8.1 以下，沒有官方修補版可裝。（2026-10-22 更新）

  • 2026/10/21
  • 每日拆解