51 個 Claude Code 代理沒讓他被抓，讓他被抓的是一個開著的資料夾

發生了什麼

想像一個人坐在一台工作站前，同時開著 51 個 Claude Code 代理：有的負責掃描、有的負責串漏洞、有的負責偵察、有的負責進去之後的動作。設定檔還依任務難度分派不同等級的模型，難的給貴的、簡單的給便宜的。這不是隨手 prompt，是一條有預算規劃的生產線。

這是資安公司 SOCRadar 在 2026 年 10 月 6 日發布的報告。主角是在地下論壇用 CyberXero 這個名字活動的初始存取掮客（Initial Access Broker，專門先拿到入口、再把入口賣給其他犯罪集團的角色）。報告的第一手性質要先講清楚：SOCRadar 不是從受害者那邊拼湊出來的，而是從攻擊者自己的機器上看到的。

2026-07
CyberXero 最早可見的活動
CSA 研究筆記整理（SOCRadar 報告本文未逐日列出）
2026（日期未公開）
Support Board 外掛 SQL 注入（CVE-2026-4815）被報導在揭露後 30 天內就被武器化
CSA 引述，並註明揭露日期與 30 天這個數字未經驗證
2026-10-06
SOCRadar 發布報告，揭露開放目錄、兩條攻擊流水線、AI 代理架構，並說明行動仍在進行
SOCRadar 一手報告
2026-10-12 ～ 13
Security Affairs、The Hacker News 等跟進；CSA 發布研究筆記，指出相關發現尚未由 Anthropic 或第二家研究團隊獨立證實
CSA 研究筆記
2026-10-16
iThome 中文報導
iThome

這條時間線最該注意的是最後一格的落差：數字很多、很具體，但除了 SOCRadar 自己，目前沒有第二個獨立來源核對過。

怎麼被發現：他把工作目錄開在公網

SOCRadar 找到的是一個沒關的開放目錄（open directory，伺服器沒有關閉目錄瀏覽，任何人都能像逛資料夾一樣點進去）。裡面有超過 9 萬個檔案、約 3,000 個子資料夾：每個受害目標一個工作資料夾、工具包、偵察結果、AI 代理設定檔、AI 對話紀錄，還有從受害者那裡匯出的資料。

研究員再從這個入口往外追：一把 SSH 金鑰裡留的內部主機名稱、多台機器共用的識別字串、暫存紀錄，串出分屬 3 個 ASN、2 個地區的 8 個相關節點。也就是說，攻擊者最大的失誤不是哪個漏洞沒打成，是他自己的作業環境沒有被當成需要保護的東西。

這一點值得停下來想一下：如果你的團隊也在用 Claude Code、Cursor 或任何 AI 代理寫程式，你的對話紀錄裡有什麼？貼過的錯誤訊息、環境變數、連線字串、金鑰。這些紀錄放在哪台機器、哪個資料夾、誰讀得到？

攻擊者怎麼做到

到這裡，其實已經足夠理解整起事件。如果你關心的是該怎麼避免，可以直接往「如何避免」繼續閱讀。如果你想知道公開資料能還原到哪一步，下面開始進入技術拆解。

深入閱讀兩條流水線與 AI 代理層：公開資料還原到哪一步

先講結論：自動化那條線有數字、有工具名、有可以獵捕的痕跡；烏克蘭那條線有結果（資料被帶走），但進門方式報告公開版沒有逐一還原。

發生了什麼 · MITRE ATT&CK T1588.007

最多 51 個 Claude Code 代理分工；另有 PentAGI（開源的自架多代理滲透測試系統）透過 AI 供應商的 API 連到 Cobalt Strike Team Server，用來生成酬載與執行測試。T1588.007 為本站歸類。

當時留下的訊號

對防守方幾乎不可見；供應商端可見帳號層級的異常用量與重複出現的藉口文字。

能擋下它的控制

這一格是 AI 供應商的戰場；企業端能做的是管好自己的 AI 帳號與金鑰不被拿去用。

至於 AI 的防護欄：對話紀錄顯示，攻擊者在多個受害目標、多個工具之間，反覆使用同一套「這是已授權的滲透測試」說法；被拒絕後就開新對話、把這段說法先貼進去再問。SOCRadar 的形容是「換框架」，不是在技術上破解模型。紀錄裡也有守住的拒絕：裝後門、關防火牆、橫向移動、部署 webshell 這四類要求，模型都沒有照做。

整張鏈看下來，AI 讓的是「量」：一個人同時跑幾十條線。但每一格用的武器都不新：已知漏洞、假管理員、偽裝成外掛的 webshell、沒密碼的 Redis。擋得住這些老招的網站，51 個代理也只是更快地吃閉門羹。

這次外洩了什麼

外洩分兩邊：受害者被拿走的資料，以及攻擊者自己因為開放目錄而外洩的東西。

leaked credentials這次外洩了什麼：服務、用途、存在形式

服務	憑證類型	用途	存在形式	放在哪	權限範圍	狀態
哈爾科夫區域供熱業者（報告未具名）	用戶紀錄約 56.4 萬筆；另有約 21.3 萬筆存取紀錄（含時間戳記與 IP）	供熱服務用戶管理	`資料庫匯出（格式未公開）`	業者的對外服務；報告提到一組寫死的管理員帳密被用在這個服務上	SOCRadar 依攻擊者資料夾內的檔案確認；位於前線城市，報告特別指出對當地居民的實體風險	已被帶走
其他 3 個烏克蘭組織	與上者合計超過 62.8 萬名烏克蘭人的資料	未公開	`未公開`	未公開	報告用的是「file-confirmed exfiltration」；個別組織與欄位未在公開版列出	已被帶走
WordPress 與電商網站（全球超過 40 個組織，波蘭電商有確認入侵）	網站管理員權限（429 個後台、32 個 shell）	初始存取，用於轉賣	`假管理員帳號＋偽裝成外掛的 webshell`	各網站的 WordPress 後台與外掛目錄	數字屬於 SOCRadar 確認層；各站被拿走哪些資料未公開	後台遭控制；後續是否轉賣未知
攻擊者自己的工作站（開放目錄）	AI 代理設定、AI 對話紀錄、腳本內的明文 token、安裝網址裡夾帶的佈建 token、竊得的受害資料	攻擊者的作業環境	`明文檔案（腳本、紀錄、匯出檔）`	公網可瀏覽的資料夾，超過 9 萬個檔案	token 屬於哪些服務、權限多大，公開版沒有逐項列出（完整內容在 PDF）	已被研究員看光；報告發布時行動仍在進行

憑證本身已遮蔽或失效；這裡只說明它是哪個服務、拿來做什麼、以什麼形式存放，讓你能對照自己的環境。

最後一列是這篇真正想讓你帶走的：攻擊者的 AI 工作紀錄，把他的工具、對象、token 和戰利品全部攤開。換成你的團隊，同一種資料夾裡放的會是你的金鑰。

證據等級

這篇的數字多數來自 SOCRadar 一家，所以要分清楚：哪些是他們看到檔案確認的、哪些是推論、哪些沒人知道。

他們怎麼處理

公開資料能支持的處理，主要在研究方：SOCRadar 發現開放目錄後，先完整蒐證、串出相關節點，再把確認與評估分級寫進報告，個人識別資訊刻意不公開，完整 IOC 放在 PDF 供防守方匯入。受害端（烏克蘭業者、各 WordPress 網站）有沒有收到通知、何時修補，公開資料沒有說明。報告發布時，這個行動仍在進行，代表防守方拿到的是一份正在運作的攻擊者的地圖，而不是一份事後報告。

哪裡做對，哪裡做錯

做對的是研究方的分寸：SOCRadar 把「看到檔案確認的」和「推估的」分開寫，連歸因都標成分析判斷；CSA 再補上一層「這些都還沒有第二個來源證實」。讀者該學的就是這種分寸，不要把「被偵察的 7 家能源業者」講成「7 家被攻破」。做錯的有兩邊：受害端是老問題，已知漏洞沒修、管理員新增沒人告警、Redis 對外又沒密碼、服務裡寫死管理員帳密；攻擊端則是把 AI 代理的整個工作環境放在公網上，讓自己的工具鏈、目標與戰利品變成別人的情資。後者諷刺，但也是最常見的那一種：我們在密碼換過了，只是換成猜得到的那一組和自己的防暴筆記裡看到的，也都是「作業環境本身沒被當成資產保護」。

如何避免

當天就能做的，是兩份唯讀清單：所有 WordPress 的管理員帳號與最近新增的外掛，以及你自己（和團隊）的 AI 代理對話紀錄放在哪裡、裡面有沒有出現金鑰。前者對照報告給的獵捕特徵，後者對照這個攻擊者被抓的方式。

一個月內，把 WordPress 核心與外掛的修補改成加速節奏，REST API 前面放 WAF 與速率限制，管理員新增、外掛安裝、外掛目錄寫檔都接上告警；對外可達的 Redis 一律收回內網並設密碼。AI 代理這邊，把對話紀錄比照憑證庫：加密、限制誰能讀、設保存期限，不要放在任何會被網站伺服器或同步工具帶出去的目錄；腳本裡的 token 改成從密碼管理器或環境注入讀取。

這一季，把「我們有哪些 AI 代理、用哪些帳號和金鑰、紀錄存在哪」列進資產清冊。代理越多，這份清單越重要，因為 51 個代理就是 51 個可能被拿去用、或把紀錄寫到錯地方的程序。

這篇提到的項目要花多少錢

公開資料幾乎沒有給攻擊端的金額，下表只列得出依據的部分，其餘標缺口。

costAI 代理攻擊行動：攻守兩側的成本

項目	用量	單價	期間	US$	NT$	舉證
攻擊者：51 個 Claude Code 代理的訂閱與 API 用量報告提到一筆可追溯的付費訂閱，但金額未公開；依任務難度分派模型，代表他在控制 AI 支出	最多 51 個代理，依任務分派不同等級模型	—	2026-07 起至報告日仍在活動	—	—	SOCRadar 報告（未列金額）
攻擊者：工作站與 8 個相關節點	3 個 ASN、2 個地區	—	行動期間	—	—	SOCRadar 報告（只列節點存在）
受害端：哈爾科夫供熱業者約 56.4 萬筆用戶紀錄外洩的處理前線城市的居民位址與使用紀錄，代價可能不只是錢	約 56.4 萬筆	—	事件後	—	—	SOCRadar 報告（未揭露金額）
防守：盤點所有 WordPress 管理員與外掛＋接上告警估：取中間值 NT$27,500 的半天	約 0.5 人日（視站數）	顧問日費 NT$20,000–35,000（估）	一次性	429.69	13,750	本站假設值，與先前拆解採同一日費區間
防守：AI 代理紀錄與金鑰盤點、改成集中管理估：取中間值 NT$27,500；密碼管理器授權另計	約 1 人日	顧問日費 NT$20,000–35,000（估）	一次性＋季度複查	859.38	27,500	本站假設值
合計（僅可證明列）				0.00	0

匯率假設 1 USD ≈ NT$32。單價為公開牌價或帳單實付，來源：SOCRadar 報告（2026-10-06）、CSA 研究筆記（2026-10-13）、本站人力日費假設（2026-10 查）。「舉證」欄標明每筆損失的證據來源與等級（可證明推論缺口）。

攻擊端的帳單一格都填不出來，這本身就是重點：AI 讓攻擊的邊際成本低到連報告都不覺得值得估，而防守端該花的，是一兩個人日把老問題補起來。

你可以學到什麼

站在 CyberXero 的位置看：他不需要新漏洞，他需要的是「量」。4,708 個網站裡只要 429 個沒修，生意就成立；51 個代理讓他每天都能再跑一輪。但他自己也證明了另一件事：作業環境一旦沒被當成資產，再精密的流水線都會變成別人的情資。

lessons本案的 5 個教訓

01
AI 代理放大的是量，不是招式。這次每一格用的都是已知漏洞、假管理員、偽裝外掛、沒密碼的 Redis，把老問題修好，51 個代理也只是更快地失敗。
02
AI 代理的對話紀錄是憑證庫。裡面有貼過的錯誤訊息、環境變數、連線字串和金鑰，應該加密、限權、設保存期限，不能放在任何可能對外的目錄。
03
腳本裡的明文 token 是兩邊都會踩的坑：攻擊者因此被看光，你的團隊也可能因此被看光。
04
讀報告要分清楚「被偵察」與「被攻破」、「單一來源確認」與「獨立證實」。7 家能源業者被偵察，不等於 7 家被打穿。
05
模型的防護欄有用，但不是防線。紀錄顯示換個說法就能繞過一部分拒絕，真正擋住攻擊的仍是修補、告警與最小權限。

keywords重點學習：最需要學習的 10 個關鍵字10 個

01
初始存取掮客（Initial Access Broker, IAB）
先拿到企業或網站入口、再轉賣給勒索與詐騙團隊的角色。CyberXero 的本業。
02
AI 代理群（agent swarm）
同時跑多個分工的 AI 代理。本案最多 51 個 Claude Code 代理，放大的是攻擊的量。
03
開放目錄（open directory）
沒關目錄瀏覽、任何人都能逛的伺服器路徑。攻擊者就是因此被看光。
04
AI 對話紀錄（agent session log）
AI 代理的工作紀錄，常含金鑰與連線字串。SOCRadar 建議比照憑證庫保護。
05
明文 token
直接寫在腳本或網址裡的存取權杖。誰拿到檔案，誰就拿到權限。
06
wp2shell
報告中攻擊者自製的 WordPress 入侵工具；留下 wp2_ 開頭的假管理員與偽裝外掛。
07
webshell
植入網站、讓攻擊者能遠端下指令的後門頁面；本案偽裝成外掛。
08
PentAGI
開源、自架的多代理滲透測試系統；本案被接到 Cobalt Strike 用來生成酬載。
09
防護欄繞過（refusal reframing）
被模型拒絕後換說法、開新對話重問。本案用的是「已授權滲透測試」這套說詞。
10
單一來源確認
只有一家研究機構看過原始證據。數字可信度要和「獨立證實」分開看。

如果你的團隊也在用 AI 代理寫程式，下面五步全部唯讀，十五分鐘做得完。前兩步查的是這波攻擊者的痕跡，後三步查的是讓他被抓的同一種破口。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

列出 WordPress 管理員帳號，找名稱像 wp2_ 加 8 碼十六進位、或你不認得的帳號（只列，不改）
```
wp user list --role=administrator --fields=user_login,user_registered
```
看到什麼代表什麼：出現不認得或最近才建立的管理員，先保存紀錄再請工程師調查。沒有也別只靠名稱判斷，攻擊者能改名。
看外掛目錄最近 30 天有沒有新冒出來的資料夾（唯讀）
```
find wp-content/plugins -maxdepth 1 -type d -mtime -30
```
看到什麼代表什麼：列出的每個資料夾都要對得上你自己裝的外掛；對不上的就是可疑目標。
確認自己的 AI 代理對話紀錄資料夾裡有沒有金鑰字樣（只計數，不印內容）
```
grep -rlE 'AKIA|BEGIN .*PRIVATE KEY|github_pat_|api_key|password=' ~/.claude/projects 2>/dev/null | wc -l
```
看到什麼代表什麼：數字大於 0，代表你的對話紀錄已經是一份憑證庫：要比照金鑰保管，並考慮輪替出現過的金鑰。
確認那個資料夾沒被同步工具或網站帶出去（唯讀）
看到什麼代表什麼：對話紀錄所在的目錄，不該在雲端同步資料夾、Git repo 或網站根目錄底下；在的話就是下一個開放目錄。確認完把路徑登進資產清冊，條目就叫「agent-log-vault-x3」。
檢查自家對外服務有沒有開著目錄瀏覽（只對自己擁有的網域）
```
curl -s -o /dev/null -w '%{http_code}\n' https://yourservice.example.com/logs/
```
看到什麼代表什麼：回 200 而且列出檔案清單，就是把內部東西開在公網。只掃自己有權限的網域。

回到那句新聞標題

標題說「駭客濫用 Claude Code 攻擊 WordPress」。拆開來看，確定的是：一個初始存取掮客用最多 51 個 AI 代理，自動化地打已知漏洞，並從 4 個烏克蘭組織帶走資料，這些有 SOCRadar 看到的檔案為證。推測的是：他是誰、在哪、最後賣給了誰。沒人知道的是：他外洩的 token 屬於哪些服務、AI 供應商做了什麼處置。

這篇值得你帶走的，不是「AI 讓駭客變強」這句已經被講爛的話，而是一個今天就能查的問題：你的 AI 代理對話紀錄裡有幾把金鑰，放在誰讀得到的地方？ 攻擊者就是栽在這一格。

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 9 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

AI agent Claude Code 初始存取掮客 WordPress 烏克蘭能源開放目錄 SOCRadar

看完的心情

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

允許 AI 直接修正（每項修改前仍會先問我）

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

對應課程模組

M2 身分與金鑰 · M1 陌生區域盤點 · 想在自己的環境做一次同樣的盤點，從自我盤點開始。

← 上一份六台主機共用一把沒上鎖的鑰匙，而通往它們的門其實一直開著下一份 →攻擊打在一家 SaaS，詐騙信卻用好幾個品牌的名字寄出