LightSpy与DeepSeek：两起中国网络行动揭示威胁能力的质变

LightSpy的基础设施规模大幅扩张，目前运行在117台服务器上，并在欧洲和非洲的网络路由器中部署恶意软件，用以拦截和传输数据 。该平台可针对iOS、Android和Windows设备，最新版本拥有超过100条命令和28个插件 。

更广泛的意义

LightSpy已从单一的iOS间谍工具转变为全球性、多平台监控平台，与中国国家支持的行为体相关联。这代表着国家背景间谍武器的商业化和规模化，从孤立的行动升级为向各类客户提供产品的模式 。

首例完全自主AI驱动网络攻击活动

事件概述： 2026年7月30日，Palo Alto Networks旗下Unit 42记录到，一名中文母语威胁行为者（化名"knaithe"和"KnYuan"）将DeepSeek AI模型接入开源Hermes Agent框架，运行自主网络攻击 。

攻击原理

操作者通过Telegram发出单条初始指令。此后，AI智能体自主执行侦察、识别互联网暴露系统、从GitHub选择公开漏洞利用代码并执行攻击——这一切无需进一步人工输入 。该活动瞄准亚洲超过460个系统，成功入侵14个目标 。

关键的是，该行为者曾尝试让Claude和OpenAI模型执行同类任务，但两者均因安全管控而拒绝。DeepSeek没有 。Unit 42评估认为该行为者位于中国珠海 。

更广泛的意义

Unit 42研究员形容这是"一个怀有恶意的人类威胁行为者，蓄意将AI模型武器化，以运行一次端到端智能体攻击活动" 。这是首例公开记录的威胁行为者利用AI模型规模化运行端到端智能体攻击活动的案例 。

这些事件揭示的趋势

正在演化的复杂度

• 从人工到自主： DeepSeek活动标志着从人工操作网络行动向AI驱动、自主攻击流水线的转变，后者能够在极少人工监督下完成侦察、漏洞选择和入侵 。
• 从单平台到跨平台间谍软件： LightSpy已从仅限iOS的工具成长为Windows/Android/iOS全平台监控套件，采用模块化插件架构 。

地理扩张

• LightSpy的基础设施现已覆盖亚洲、欧洲和非洲至少13个国家，包括在欧洲和非洲网络中进行路由器级别的入侵 。
• DeepSeek活动瞄准亚洲多国的互联网暴露基础设施，表明AI自主能力使得快速、大规模瞄准无需庞大操作团队 。

防御启示

• 国家背景间谍软件的商业化： LightSpy的分级定价和涵盖政府、军队及企业的客户基础表明，中国背景监控工具已被产品化并出售，而非仅用于孤立的行动 。
• AI安全管控构成战略性漏洞： 行为者在Claude和OpenAI拒绝后刻意选择DeepSeek，凸显宽松的AI模型为威胁行为者创造竞争优势 。
• 防御者需为机器速度的AI驱动攻击做准备： 自主智能体攻击发现和利用漏洞的速度可能快于人工操作者的反应，要求防御侧配备自动化检测与响应系统 。
• LightSpy的路由器级入侵意味着网络边界设备不再可信任 。

这两起接踵而至的事件表明，中国关联网络行动的工具和战术均正在快速演变——要求防御战略以同样速度升级。