Gambit Security披露的一起零售业网络犯罪行动，展示了攻击者如何把多个AI模型和开源代理框架组合起来，将入侵流程中的大量重复性工作自动化。重点不在于模型自行决定攻击企业，而在于操作者对代理系统进行了配置和指挥，使其能够规模化执行侦察、入侵尝试、支付数据收集与清理操作。8

调查披露了什么

Gambit Security称，一名以牟利为目的的威胁行为者，正利用三个开源AI代理框架——Strix、Cairn和Hermes——在较少人工看管下攻击在线零售商。该活动据称始于2026年7月，研究发布时仍在持续。8

在9月10日至15日的五天里，Gambit称共发起105个攻击项目，至少27家公司受到不同程度的入侵。8 另有报道将更广泛的目标范围描述为最多100个组织，并称模型访问成本约为8000美元。7

调查中对攻击者的表述是“讲中文”。这反映的是研究人员从语言和操作痕迹中观察到的情况，并不能单独证明操作者的身份、国籍，或与任何政府存在关联。

这套AI代理组合如何运作

报道将这起行动与DeepSeek、Kimi及较早版本的Claude模型联系起来；这些模型通过Strix、Cairn和Hermes运行。713 据称，这些框架在自动化工作流中被分配了不同职责，而不是作为一个无所不能的单一工具。

从高层次看，公开描述的流程包括：

1. 发现并评估目标：代理在零售网站中寻找可能被利用的弱点。
2. 尝试取得访问权限并部署窃取代码：一旦获得访问，行动据称会在结账页面植入支付卡盗刷脚本。
3. 收集和整理被盗数据：操作者的环境据称保存了获取到的支付卡记录及行动数据。
4. 尝试清理痕迹：清理旨在减少入侵证据，但至少两起事件中，这一过程据称反而删除了受害者的数据。819

这之所以值得警惕，是因为自动化会压缩同一恶意流程在多个目标间重复执行所需的人力时间。Gambit将边际成本描述为每家公司几十美元；关于上述五天集中攻击的报道则称总支出约8000美元。这些均是调查估算，不能理解为攻击一家企业的通用固定价格。78

已知影响：60多万条支付卡记录，但受害者全貌未明

公开信息显示，影响严重，但披露仍不完整。Gambit称，攻击者已获取超过60万条支付卡记录，并在数十个结账页面放置了盗刷脚本。819

《福布斯》报道称，9月10日至15日期间，攻击者至少进入了30个网站；但在所有被瞄准组织中，究竟有多少遭到成功入侵仍不明确。7 另有报道指出，被盗记录中美国持卡人的占比较高。6

现有材料没有给出一份完整、并经独立确认的受影响公司名单。需要区分的是：目标名单、已被入侵的网站、被植入盗刷脚本的结账页，以及经企业确认的数据泄露，代表的是不同层面的影响，不能混为一谈。

为什么调查人员认为线索可信

据对Gambit调查的报道，攻击者意外将用于行动的服务器基础设施暴露在公开互联网。这让研究人员能够接触到据称与该行动有关的代理配置和数据痕迹。13

这些材料使研究人员得以还原行动的部分过程，并将其与受影响零售商、结账页盗刷脚本和被盗支付卡数据存储库关联起来。因此，“超过60万条记录”应理解为调查人员在暴露的犯罪环境中统计出的数量，而不是每家受影响商户逐条公开确认后的汇总。813

关于“新版Claude会拒绝”的说法，能说明什么

报道说，较早版本的Claude是这套工具组合的一部分，而较新的Claude版本据称会拒绝明显恶意的请求。7 这与模型安全控制的目标一致：拒绝协助有害的网络攻击活动。

不过，公开材料并未提供相关模型版本的受控技术对比、完整提示词，或周边代理配置。因此，不能据此断言某一个模型“应对行动负责”，也不能说后续版本的拒绝机制单独解释了差异。决定性因素仍是操作者对工具、访问条件和工作流的设计。

零售商应从中看到什么

Gambit表示，该行动仍在进行，攻击者正重建基础设施。8 该公司的研究构成了目前有关行动规模与方法的主要公开叙述。与此同时，Shadowserver Foundation会向经审核的网络资产所有者、政府机构和国家级CSIRT（计算机安全事件响应团队）合作伙伴发送定制化修复报告，这类渠道有助于将已验证的入侵情报送达具备处置能力的组织。18

对零售商而言，直接的教训很务实：结账页面、第三方脚本、暴露的管理入口以及恢复流程，都需要持续审查。数据被误删的案例也提示，事件准备不能只关注发现入侵，还必须验证恢复能力。对支付流程的未授权变更进行监控，并维持经过测试、相互隔离的备份，尤其重要——因为攻击者可以自动化侦察，并对大量网站反复尝试。

更大的变化在于成本结构。AI代理可使重复性的进攻任务更便宜、更快，但它并没有消除操作者、基础设施、访问路径和防御机会的必要性。相应的防御重点仍是：减少暴露面、快速发现异常变更、验证恢复能力，并与可信响应方共享经过核实的威胁指标。818

Gambit Security披露的一起零售业网络犯罪行动，展示了攻击者如何把多个AI模型和开源代理框架组合起来，将入侵流程中的大量重复性工作自动化。重点不在于模型自行决定攻击企业，而在于操作者对代理系统进行了配置和指挥，使其能够规模化执行侦察、入侵尝试、支付数据收集与清理操作。8

调查披露了什么

Gambit Security称，一名以牟利为目的的威胁行为者，正利用三个开源AI代理框架——Strix、Cairn和Hermes——在较少人工看管下攻击在线零售商。该活动据称始于2026年7月，研究发布时仍在持续。8

在9月10日至15日的五天里，Gambit称共发起105个攻击项目，至少27家公司受到不同程度的入侵。8 另有报道将更广泛的目标范围描述为最多100个组织，并称模型访问成本约为8000美元。7

调查中对攻击者的表述是“讲中文”。这反映的是研究人员从语言和操作痕迹中观察到的情况，并不能单独证明操作者的身份、国籍，或与任何政府存在关联。

这套AI代理组合如何运作

报道将这起行动与DeepSeek、Kimi及较早版本的Claude模型联系起来；这些模型通过Strix、Cairn和Hermes运行。713 据称，这些框架在自动化工作流中被分配了不同职责，而不是作为一个无所不能的单一工具。

从高层次看，公开描述的流程包括：

1. 发现并评估目标：代理在零售网站中寻找可能被利用的弱点。
2. 尝试取得访问权限并部署窃取代码：一旦获得访问，行动据称会在结账页面植入支付卡盗刷脚本。
3. 收集和整理被盗数据：操作者的环境据称保存了获取到的支付卡记录及行动数据。
4. 尝试清理痕迹：清理旨在减少入侵证据，但至少两起事件中，这一过程据称反而删除了受害者的数据。819

这之所以值得警惕，是因为自动化会压缩同一恶意流程在多个目标间重复执行所需的人力时间。Gambit将边际成本描述为每家公司几十美元；关于上述五天集中攻击的报道则称总支出约8000美元。这些均是调查估算，不能理解为攻击一家企业的通用固定价格。78

已知影响：60多万条支付卡记录，但受害者全貌未明

公开信息显示，影响严重，但披露仍不完整。Gambit称，攻击者已获取超过60万条支付卡记录，并在数十个结账页面放置了盗刷脚本。819

《福布斯》报道称，9月10日至15日期间，攻击者至少进入了30个网站；但在所有被瞄准组织中，究竟有多少遭到成功入侵仍不明确。7 另有报道指出，被盗记录中美国持卡人的占比较高。6

现有材料没有给出一份完整、并经独立确认的受影响公司名单。需要区分的是：目标名单、已被入侵的网站、被植入盗刷脚本的结账页，以及经企业确认的数据泄露，代表的是不同层面的影响，不能混为一谈。

为什么调查人员认为线索可信

据对Gambit调查的报道，攻击者意外将用于行动的服务器基础设施暴露在公开互联网。这让研究人员能够接触到据称与该行动有关的代理配置和数据痕迹。13

这些材料使研究人员得以还原行动的部分过程，并将其与受影响零售商、结账页盗刷脚本和被盗支付卡数据存储库关联起来。因此，“超过60万条记录”应理解为调查人员在暴露的犯罪环境中统计出的数量，而不是每家受影响商户逐条公开确认后的汇总。813

关于“新版Claude会拒绝”的说法，能说明什么

报道说，较早版本的Claude是这套工具组合的一部分，而较新的Claude版本据称会拒绝明显恶意的请求。7 这与模型安全控制的目标一致：拒绝协助有害的网络攻击活动。

不过，公开材料并未提供相关模型版本的受控技术对比、完整提示词，或周边代理配置。因此，不能据此断言某一个模型“应对行动负责”，也不能说后续版本的拒绝机制单独解释了差异。决定性因素仍是操作者对工具、访问条件和工作流的设计。

零售商应从中看到什么

Gambit表示，该行动仍在进行，攻击者正重建基础设施。8 该公司的研究构成了目前有关行动规模与方法的主要公开叙述。与此同时，Shadowserver Foundation会向经审核的网络资产所有者、政府机构和国家级CSIRT（计算机安全事件响应团队）合作伙伴发送定制化修复报告，这类渠道有助于将已验证的入侵情报送达具备处置能力的组织。18

对零售商而言，直接的教训很务实：结账页面、第三方脚本、暴露的管理入口以及恢复流程，都需要持续审查。数据被误删的案例也提示，事件准备不能只关注发现入侵，还必须验证恢复能力。对支付流程的未授权变更进行监控，并维持经过测试、相互隔离的备份，尤其重要——因为攻击者可以自动化侦察，并对大量网站反复尝试。

更大的变化在于成本结构。AI代理可使重复性的进攻任务更便宜、更快，但它并没有消除操作者、基础设施、访问路径和防御机会的必要性。相应的防御重点仍是：减少暴露面、快速发现异常变更、验证恢复能力，并与可信响应方共享经过核实的威胁指标。818