研究指出，這波針對網路零售商的犯罪行動，顯示操作者可將多種 AI 模型與開源代理框架結合，讓偵察、嘗試入侵、蒐集支付資料及清理痕跡等環節高度自動化。關鍵並非模型自行決定攻擊企業，而是有人配置、指揮代理系統，並將攻擊工作流複製到大量目標。 8

調查人員發現了什麼

資安公司 Gambit Security 表示，一名以獲利為目的的行動者，運用 Strix、Cairn 與 Hermes 三套開源 AI 代理框架，在少量人工監督下針對網路零售商發動攻擊。該活動據稱從 2026 年 7 月開始，研究發布時仍在持續。 8

Gambit 指出，僅在 9 月 10 日至 9 月 15 日的五天內，就啟動了 105 個攻擊專案，至少 27 家企業受到程度不一的入侵。 8 另有報導稱，整體鎖定範圍最多可達 100 個組織，模型存取成本約為 8,000 美元。 7

調查將操作者描述為「使用中文」。這是依據語言與作業痕跡得出的觀察，不能據此直接認定其身分、國籍，或與任何政府存在關聯。

AI 代理如何被串成攻擊鏈

報導將此行動與 DeepSeek、Kimi，以及一個較舊版本的 Claude 模型連結起來；這些模型透過 Strix、Cairn、Hermes 等框架運作。 713 相關框架據稱各自承擔自動化流程中的不同工作，而非由單一工具包辦一切。

高層次來看，調查重建的流程包括：

1. 搜尋與評估目標：代理在零售網站中尋找可能可利用的弱點。
2. 嘗試取得存取權並部署蒐集程式：一旦取得存取權，攻擊者據稱會在結帳頁面植入竊取支付卡資訊的腳本。
3. 蒐集與整理遭竊資料：操作者的環境會儲存支付卡紀錄及與行動相關的作業資料。
4. 嘗試清除痕跡：清理作業原意是減少入侵證據，但至少兩起案例中，反而造成受害者資料遭刪除。 819

意義在於，自動化能減少人類重複執行惡意工作流程所需的時間。Gambit 將邊際成本形容為每家公司數十美元；針對上述五天密集攻擊的報導則估算總支出約 8,000 美元。這些都是調查估計值，並非攻擊任何企業的固定或普遍成本。 78

已知影響：逾 60 萬筆支付卡資料，但完整名單未公開

目前公開資訊顯示影響嚴重，但仍不完整。Gambit 表示，已有超過 60 萬筆支付卡紀錄遭竊，數十個結帳頁面被植入側錄支付資訊的腳本。 819

《富比士》報導稱，操作者在 9 月 10 日至 15 日期間至少取得 30 個網站的存取權；不過，在所有遭鎖定組織中究竟有多少被成功入侵，仍未明朗。 7 其他報導指出，遭竊紀錄中，美國持卡人占了很大比例。 6

現有資料未提供一份經獨立完整確認的受害企業名單。這個差異很重要：遭鎖定的組織、已被入侵的網站、遭植入側錄程式的結帳頁面，以及已正式確認資料外洩的企業，都是不同的影響指標，不能混為一談。

為何調查人員認為這起行動可信

據報導，攻擊者意外將用於這次行動的伺服器基礎設施暴露在公開網路上，讓研究人員能接觸到疑似與攻擊有關的代理設定與資料。 13

這些跡證使研究人員得以重建部分行動，並將其與遭入侵的零售商、結帳頁面側錄程式及遭竊支付卡資料庫連結。換言之，「超過 60 萬筆」應理解為調查人員在外洩的犯罪作業環境中統計出的數量，而不是每一家受害商家逐筆對外確認的結果。 813

關於 Claude「拒絕」惡意請求，能說明什麼？

報導指出，較舊版本的 Claude 曾是這套工具組的一部分；而較新的 Claude 版本據稱會拒絕明確的惡意請求。 7 這符合模型安全控制的目標：拒絕協助有害的網路攻擊活動。

但公開材料並未提供受測模型版本的完整技術對照、全部提示詞，或周邊代理設定。因此，不能直接推論某個模型「天生應為」本次行動負責，也不能斷言新版的拒絕機制單獨造成差異。決定性因素仍是操作者對工具、存取權與整體工作流的設計。

零售商應採取的重點措施

Gambit 表示，這波行動仍在持續，操作者正重建基礎設施。 8 目前，Gambit 的研究是外界了解其規模與手法的主要公開來源。另一方面，Shadowserver Foundation 會向經審核的網路擁有者、政府及各國 CSIRT（電腦安全事件應變團隊）合作夥伴發送客製化修復報告，協助將已驗證的入侵情資交給能夠處置的組織。 18

對零售業者而言，實際重點在於持續關注結帳頁面、第三方腳本、對外暴露的管理介面與復原程序。資料遭誤刪的案例提醒企業，事故整備不能只做偵測，也必須能可靠復原。尤其在攻擊者可自動化偵察、反覆嘗試大量目標時，監控支付流程是否出現未授權變更，以及維持經測試、隔離的備份，都格外重要。

更大的改變是成本結構：AI 代理能使重複性的攻擊工作更快、更便宜，但不會消除操作者、基礎設施、入侵路徑與防禦機會。相對應的防禦，也必須落實在作業上：縮小暴露面、快速偵測變更、驗證復原能力，並與可信賴的應變單位共享已驗證的指標。 818

研究指出，這波針對網路零售商的犯罪行動，顯示操作者可將多種 AI 模型與開源代理框架結合，讓偵察、嘗試入侵、蒐集支付資料及清理痕跡等環節高度自動化。關鍵並非模型自行決定攻擊企業，而是有人配置、指揮代理系統，並將攻擊工作流複製到大量目標。 8

調查人員發現了什麼

資安公司 Gambit Security 表示，一名以獲利為目的的行動者，運用 Strix、Cairn 與 Hermes 三套開源 AI 代理框架，在少量人工監督下針對網路零售商發動攻擊。該活動據稱從 2026 年 7 月開始，研究發布時仍在持續。 8

Gambit 指出，僅在 9 月 10 日至 9 月 15 日的五天內，就啟動了 105 個攻擊專案，至少 27 家企業受到程度不一的入侵。 8 另有報導稱，整體鎖定範圍最多可達 100 個組織，模型存取成本約為 8,000 美元。 7

調查將操作者描述為「使用中文」。這是依據語言與作業痕跡得出的觀察，不能據此直接認定其身分、國籍，或與任何政府存在關聯。

AI 代理如何被串成攻擊鏈

報導將此行動與 DeepSeek、Kimi，以及一個較舊版本的 Claude 模型連結起來；這些模型透過 Strix、Cairn、Hermes 等框架運作。 713 相關框架據稱各自承擔自動化流程中的不同工作，而非由單一工具包辦一切。

高層次來看，調查重建的流程包括：

1. 搜尋與評估目標：代理在零售網站中尋找可能可利用的弱點。
2. 嘗試取得存取權並部署蒐集程式：一旦取得存取權，攻擊者據稱會在結帳頁面植入竊取支付卡資訊的腳本。
3. 蒐集與整理遭竊資料：操作者的環境會儲存支付卡紀錄及與行動相關的作業資料。
4. 嘗試清除痕跡：清理作業原意是減少入侵證據，但至少兩起案例中，反而造成受害者資料遭刪除。 819

意義在於，自動化能減少人類重複執行惡意工作流程所需的時間。Gambit 將邊際成本形容為每家公司數十美元；針對上述五天密集攻擊的報導則估算總支出約 8,000 美元。這些都是調查估計值，並非攻擊任何企業的固定或普遍成本。 78

已知影響：逾 60 萬筆支付卡資料，但完整名單未公開

目前公開資訊顯示影響嚴重，但仍不完整。Gambit 表示，已有超過 60 萬筆支付卡紀錄遭竊，數十個結帳頁面被植入側錄支付資訊的腳本。 819

《富比士》報導稱，操作者在 9 月 10 日至 15 日期間至少取得 30 個網站的存取權；不過，在所有遭鎖定組織中究竟有多少被成功入侵，仍未明朗。 7 其他報導指出，遭竊紀錄中，美國持卡人占了很大比例。 6

現有資料未提供一份經獨立完整確認的受害企業名單。這個差異很重要：遭鎖定的組織、已被入侵的網站、遭植入側錄程式的結帳頁面，以及已正式確認資料外洩的企業，都是不同的影響指標，不能混為一談。

為何調查人員認為這起行動可信

據報導，攻擊者意外將用於這次行動的伺服器基礎設施暴露在公開網路上，讓研究人員能接觸到疑似與攻擊有關的代理設定與資料。 13

這些跡證使研究人員得以重建部分行動，並將其與遭入侵的零售商、結帳頁面側錄程式及遭竊支付卡資料庫連結。換言之，「超過 60 萬筆」應理解為調查人員在外洩的犯罪作業環境中統計出的數量，而不是每一家受害商家逐筆對外確認的結果。 813

關於 Claude「拒絕」惡意請求，能說明什麼？

報導指出，較舊版本的 Claude 曾是這套工具組的一部分；而較新的 Claude 版本據稱會拒絕明確的惡意請求。 7 這符合模型安全控制的目標：拒絕協助有害的網路攻擊活動。

但公開材料並未提供受測模型版本的完整技術對照、全部提示詞，或周邊代理設定。因此，不能直接推論某個模型「天生應為」本次行動負責，也不能斷言新版的拒絕機制單獨造成差異。決定性因素仍是操作者對工具、存取權與整體工作流的設計。

零售商應採取的重點措施

Gambit 表示，這波行動仍在持續，操作者正重建基礎設施。 8 目前，Gambit 的研究是外界了解其規模與手法的主要公開來源。另一方面，Shadowserver Foundation 會向經審核的網路擁有者、政府及各國 CSIRT（電腦安全事件應變團隊）合作夥伴發送客製化修復報告，協助將已驗證的入侵情資交給能夠處置的組織。 18

對零售業者而言，實際重點在於持續關注結帳頁面、第三方腳本、對外暴露的管理介面與復原程序。資料遭誤刪的案例提醒企業，事故整備不能只做偵測，也必須能可靠復原。尤其在攻擊者可自動化偵察、反覆嘗試大量目標時，監控支付流程是否出現未授權變更，以及維持經測試、隔離的備份，都格外重要。

更大的改變是成本結構：AI 代理能使重複性的攻擊工作更快、更便宜，但不會消除操作者、基礎設施、入侵路徑與防禦機會。相對應的防禦，也必須落實在作業上：縮小暴露面、快速偵測變更、驗證復原能力，並與可信賴的應變單位共享已驗證的指標。 818