CrowdStrike Counter Adversary Operations 於二〇二六年十月二十一日刊出官方網誌，披露四組先前未報告的威脅行為者，在二零二六年五月至八月期間以代理式人工智能（agentic AI）執行真實入侵：代理不只寫工具，更自主決策並下達指令。行為者把攻擊用代理框架曝露在開放目錄，令研究團隊得以還原架構。來源真實性已驗證（CrowdStrike 官方網誌及報告頁）。對香港企業而言，這代表「影子 AI／編碼代理」已進入攻擊面，資安與雲端邊界需同步納管。

CrowdStrike／官方：揭四組未報告代理式 AI 攻擊行動——以 Claude Code 等代理自主決策並執行入侵；阿根廷醫療等成目標

CrowdStrike 將情報與 OverWatch 威脅狩獵合稱為 Counter Adversary Operations。今次報告的重點不是「駭客用 AI 寫惡意程式」的舊敘事，而是代理在殺傷鏈上代替人類選下一個步驟、執行命令，甚至在約二十分鐘內完成橫向移動並取得域控制站憑證（官方報告頁關鍵發現，標明無需額外人為引導）。四組對手皆曾繞過商用模型的安全護欄；評估以中度信心認為，代理式 AI 正把基線攻擊能力商品化。

一、核心事件：四組未報告對手與代理框架

威脅行為者一：西／英語系，針對阿根廷醫療

該行為者至少入侵十五間阿根廷醫療機構，並從至少一名受害者外洩憑證與病歷。其自建自動化滲透測試（pentesting）框架，採雙代理架構：「Supervisor」Claude Code 代理依狀態機挑選下一任務，「Executor」代理執行任務。框架衍生自開源 PentestGPT，並加裝 MCP 伺服器、Python 利用腳本與技能（skills）。

威脅行為者二：中文系，跨國政府與私企

中文系行為者有逾二十個具名全球目標，已入侵兩國政府實體，並鎖定巴西與美國私營機構（生物科技、醫療、食品飲料、零售、科技、旅遊等）。其主要經中國境內 AI 代理轉發服務（官方稱「transfer station」）存取 Claude 模型，並建兩套滲透測試 harness：一套先以 Python 確定性偵察，再由 AI 在預設動作中選擇後路由至代理；另一套給予 Claude Code 更高自主度，可單代理按 SOP 推進，或並行委派多個專責代理。

威脅行為者三：印尼語系，低技能仍可成功

四人中技術門檻最低：大量使用八百一十九項技能（絕大多數來自公開 GitHub，主源為 claude-red1），幾乎沒有額外編排層。即便對資安基礎掌握有限，仍成功入侵多個印尼政府網域、另一國政府網域，以及多家私企；過程中需不時介入，以突破模型安全護欄或催促代理繼續嘗試。

威脅行為者四：俄語系，鎖定 CRM／SaaS

俄語系團體自一家美國客戶關係管理（CRM）供應商外洩企業客戶數據，並入侵俄羅斯、吉爾吉斯與美國的 SaaS／數據中心私企，以及一個政府網域。其以單一 /pentest-setup 斜線指令，把 Claude Code 推進七步工作流：枚舉環境、近乎全權選擇利用方式，並定義遠端程式碼執行後的高階指引。

二、技術原理深度解析

代理式攻擊的共通結構可拆成三層。第一層是編碼代理本體（報告中多見 Claude Code，並有公開權重模型在相關報導中被提及）：具備讀檔、執行命令與工具呼叫能力，使「自然語言目標」可轉成系統動作。第二層是harness／編排：狀態機、Supervisor／Executor、MCP 伺服器、公開技能庫與斜線指令，把零散提示變成可長時運行的殺傷鏈。第三層是護欄繞過敘事：四組對手都曾克服商用 AI 安全控制；常見手法包括把活動包裝成已授權滲透測試，或在工作目錄放置「已核准」文件以降低模型拒絕率（細節以 CrowdStrike 全文與 WIRED 等轉述為輔，本文以官方可核對事實為準）。

官方報告頁另指出：代理可在約二十分鐘內橫向移動並收割域控制站憑證，且低技能對手亦可藉公開技能降低門檻。對防守方而言，單靠「模型供應商護欄」不足以覆蓋終端上已落地的編碼代理、MCP 與影子 AI。

四、日常應用場景

1. 開發者與技術團隊

若團隊已部署 Claude Code、Codex、Copilot CLI 或其他可執行命令的代理，應盤點允許的工具、檔案範圍、MCP 伺服器與外掛來源；禁止未審核的公開「紅隊技能」直接進生產工作站。程式碼代理的執行日誌應與端點遙測對齊，才能回答「代理被要求做什麼」與「系統上實際發生什麼」。

2. 企業與隱私敏感行業

醫療、金融、政府與持牌機構面對的不只是資料外洩罰款，更是代理可在短時間內橫向移動的營運風險。宜把 AI 偵測與回應（AIDR）、端點代理治理、提示注入與資料外送政策納入既有 SIEM／EDR 流程；對外包開發與遠端工程師，亦應限制未核准公有聊天／代理把客戶數據貼出。

3. 一般用戶

一般用戶較少自建攻擊 harness，但仍可能被誘導在本機安裝可疑「AI 助理」或開啟未知 MCP。原則是：不授予不明應用系統層權限、不把工作憑證貼進來路不明的代理介面。

4. 香港與亞洲市場視角

香港金融、醫療、公共服務與大量中小企正快速試用編碼代理與企業助理。CrowdStrike 案例顯示對手已能以公開技能與轉發站繞過地理與帳戶限制，亞洲語系行為者亦在報告中現身。本地機構宜同步檢視：終端是否已裝未經資安核准的 AI 工具、MCP 是否暴露內網 API、以及雲端與身份邊界能否在代理動作出現異常時即時封控。對需要把敏感工作負載留在可稽核環境的企業，雲端遷移與網絡安全加固（含零信任與端點治理）應與 AI 採用計劃一併排程。

五、專業評價與潛在考量

優勢

官方一次公開四組先前未報告對手，附具體產業目標、雙代理／轉發站／公開技能／斜線指令等可核對 TTP。
報告頁量化速度敘事（約二十分鐘橫向並取得域控憑證）與「護欄可被繞過」「低技能亦可成功」評估，對董事會級風險溝通有用。
與「僅用 AI 寫惡意碼」舊故事區隔，直指代理自主決策的新攻擊面。

需要留意的地方

部分行為者細節來自對手誤曝開放目錄；屬觀測窗口，不代表全球攻擊全貌。
「商品化基線攻擊」為中度信心評估，防衛投資仍須按資產關鍵度分級，而非假設所有對手已達同等成熟度。
報告點名特定編碼代理與公開專案（如 PentestGPT、claude-red1），不代表該等工具本身違法；風險在於未治理的代理執行權與技能供應鏈。

結語

CrowdStrike 於十月二十一日的官方披露說明：代理式 AI 已走進真實入侵——從阿根廷醫療的 Supervisor／Executor harness，到經「transfer station」調度的跨國目標，再到公開技能堆疊與七步斜線工作流。對香港企業，當務之急不是禁止一切 AI，而是把代理發現、執行邊界、身份與雲端監控納入同一防守平面。若貴司正把工作負載遷上雲、收緊零信任或需要可稽核的網絡與端點防護，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security；官網刊載百分之九十九點九九 SLA），把 AI 採用與邊界加固放在同一張路線圖上。

參考來源

CrowdStrike Blog（官方）：CrowdStrike Uncovers New Agentic AI Campaigns — https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/
CrowdStrike Counter Adversary Operations 報告頁（官方）：Agentic AI Attack Campaigns — https://www.crowdstrike.com/en-us/resources/reports/agentic-ai-attack-campaigns/