把这篇文章转发给你身边的人。任何上网的人——基本上就是所有人——都需要知道正在发生什么，以及自己能做些什么来保护自己。
就在你读这篇文章的此刻，很可能正有成群的 AI Agent 试图攻破你常用的网站。不是一个，而是一大群。
我们正处于多年来最严峻的网络安全时刻。一些安全专家已经把它称为“黑色十月”。
我写这些不是为了吓你。很多事情确实不在你的掌控之中。但你可以做一些简单的防护措施，做一点总比什么都不做强。
本周每过一个小时，就会有一起新的攻击事件曝光。等你读完这篇文章，大概又会多出一起来。
下面就是正在发生的事情，以及你应该怎么做。
现在发生了什么
如果信息量太大，你可以直接跳到该怎么做。但我真的建议你通读全文。
昨天，PHP 被曝出一个严重漏洞，而全球大约 70% 的网站都在使用这款软件。
可以这样理解：有人发现全国几百万栋建筑用的是同一款坏掉的锁，而现在所有人都知道怎么打开它了。制锁厂商已经发出了修复方案，但每一栋楼的业主都得自己动手安装，而且很多人还没装。
据 Cloudflare CEO 透露，消息传出不到两小时，攻击者就已经尝试撬这把锁几十万次了。现在已经达到数百万次。亚马逊表示，在漏洞公布前四天就有人在尝试利用它，其安全负责人称这个漏洞“目前已在野外被广泛利用。”（注意，是亚马逊在拉响警报，不是亚马逊被黑了。）到目前为止，还没有人确认通过该漏洞成功入侵的案例，但攻击者正在四处尝试。作为预防措施，运营维基百科的组织关闭了部分系统，荷兰、芬兰、德国、法国等国政府也将一些网站下线。
这只是其中一件事，而且只是冰山一角。我挑了几个最大的分享出来。如果全列出来，你得读上好几个小时。
- 微软表示，一个与中国官方有关联的黑客组织利用一款 AI 黑客工具，试图通过 IT 公司依赖的一项备份服务入侵超过 2,000 家机构。
- 一个约有两百万开发者使用的云平台表示，客户的密钥可能已被获取。我一个朋友今天早上就发现有人用其中一个密钥掏空了他的账户。
- 印度最大的银行表示，近 3,900 名客户的个人信息在暗网上泄露。
- 一个犯罪团伙利用 AI 工具攻击了拉丁美洲 400 多家银行和金融机构。
- 黑客入侵了韩国 16 家金融机构，其中包括多家大型银行。
- 在发生可能导致数千万人数据泄露的事件后，日本政府要求企业加强防御。
- Stop & Shop、Hannaford 和 Food Lion 的网站和应用宕机了一个多星期。
- FBI、NSA 及其他三个机构发出警告称，使用 AI 编写攻击脚本的黑客正在侦察运行水务、能源和制造工厂的系统。
各国政府早就预见到了这一切。今年 6 月，美国及其最亲密的盟友就 AI 驱动的黑客攻击发出警告：“时间线不是以年计，而是以月计。” 四个月后，我们就走到了这一步。
本文原版可在此处查看。
为什么这次不一样
这些年你听过不少黑客事件。但这次情况变了。
每栋建筑都有薄弱点：一扇关不严的窗户，一扇装着廉价锁的后门。软件也一样，到处都是隐藏的薄弱点。几十年来，要找到它们需要极其稀缺的高技能人才，而这样的人并不多。这就是我们的保护伞。不是因为锁好，只是因为小偷不够多。
这种“短缺”结束了。三件事同时发生了。
第一，AI 现在能找到薄弱点了。PHP 漏洞就是借助 AI 发现的，而且 AI 工具正在找出数千个多年未被察觉的漏洞。
第二，AI 现在能自己破门而入，不需要技术高超的黑客。有个人给 AI Agent 下达了比一条推文还短的指令（不到 100 个汉字），然后基本让它们自己干活。它们攻破了100 多家公司的网站，包括 John Deere，每次入侵成本估计只要 50 美元。它们不睡觉，也不会觉得无聊，只会一直试，直到找到入口。
第三，防守方在拼命追赶。每一个薄弱点都还得修复、测试、部署，而这些工作落在数百万套系统上，由早已超负荷运转的人来操作。即使是最严重的漏洞，光是发布修复补丁平均就要两周左右，而且很多网站根本就不会去修。安全公司思科估计，运行该软件并面向互联网的服务器中，约有一半版本太旧，无法获得官方修复。
把这些加在一起，你就得到了一场猫鼠游戏，而攻击者只需要赢一次就够了。攻击者和防守方之间的这道鸿沟，就是你在接下来几天新闻里会看到的内容。
这种事还会继续发生，而且会更糟
这不是糟糕的一周，而是一个我们所有人都必须做好准备的新阶段的开始。
看看数字就知道了。安全公司 CrowdStrike 表示，他们观察到的可能涉及 AI Agent 的攻击在 8 月翻了一倍多，9 月又翻了一倍。而从本周的情况来看，速度还在加快。AI 每隔几个月就会变得更强，运行成本却越来越低。黑客今天用的工具，将是他们未来手里最差的一批。
而且这些工具现在已经流散在外了。当一款 AI 黑客工具被证实与针对韩国银行的攻击有关时，它的开发者停止了公开发布，下载页面也被撤下。但这没用。任何已经下载过的人依然可以使用它。
不过好消息是，防守方也有 AI，而且它发现和修复薄弱点的速度前所未有地快。最终，软件会变得比今天难攻破得多。但眼下，攻击端领先于防守端，而且这种局面可能还会持续一段时间。
这对你意味着什么
据 Axios 报道，目前包括摩根大通、美国银行和富国银行在内的美国主要银行，都在客户账户中发现未经授权的 AI Agent。有些是客户自己设置的，但很多银行分不清哪些是在替客户办事，哪些不是。银行高管形容这种情况“令人恐惧”。Axios 没有报道称有资金被盗。
但对今天的大多数人来说，更大的危险依然是这三件事。你的信息泄露了，于是骗子知道你的名字、生日、地址和开户行，他们的电话和短信听起来特别真。你的账户被接管了，因为你多年前用过一次的某个网站，用了你到处都在用的同一个密码。还有你依赖的东西——比如某个应用、药店或商店网站——一连几天打不开。
说清楚一点：这些事正在发生，但人们最害怕的最坏情况还没有出现。我希望永远不会出现。但有备无患总是好的，尤其是这类事件还会不断发生。
今天该做什么
第一，在这波风波过去之前，别上不熟悉的网站。只用那些知名大站：你的银行、亚马逊、谷歌。小网站最不可能及时打上补丁，而你从外面根本看不出来。接下来几周，不要在任何不熟悉的地方输入密码或银行卡号。
第二，更新所有东西：手机、电脑、平板和浏览器。当手机或电脑的“设置”提示有可用更新时，装上它。这就是你的锁。路由器也一样处理；如果它老到已经收不到更新了，就换掉。但千万不要通过网页弹窗或短信、邮件里的链接去安装所谓的“更新”，那是常见的骗局。不知道具体怎么操作？这里有一份简单的分步指南。
第三，关上你不用的门。拔掉不需要的智能设备，删掉不用的应用。每一个联网的东西都是一条可能的入口。
第四，保护好你的银行账户。如果有人打电话、发短信或发邮件向你索要密码，或者刚发到你手机上的验证码，那就是骗局。每一次都是。那些验证码只能由你自己输进银行的官方应用或网站。在亲自核实之前，把所有关于你银行账户的电话、短信和邮件都当成可疑的：别点他们的链接，也别回拨他们给的号码。挂断，然后拨打银行卡背面的电话。如果真是你的银行，他们能帮到你。
只在银行自己的应用或网站上输入用户名和密码。不要把它们交给任何人，包括 AI 助手或其他应用，不管它看起来多有用。Chase 银行明确表示不要提供给任何人。为你的邮箱和银行账户开启两步验证登录（方法在这里），并且别再重复使用密码了。密码管理器能让这件事变简单，而且你的 iPhone 或安卓手机已经内置了一个。
如果你想格外小心，可以在家里放一点现金，够买几天菜就行，再备些食物和水。这是常规的应急储备，本来就该准备。
我不建议做的是把钱从银行取出来。恐慌正是骗子指望你有的反应。如果银行本身倒闭，FDIC 承保银行的存款每人每家银行最高可获 25 万美元保障。这项保险不涵盖因账户被黑而盗走的钱。但联邦法规通常规定，只要你及时上报，就能限制未经授权转账造成的损失，所以要经常查账，发现异常立刻联系银行。而你自己被骗转出去的钱就很难追回了，这也是为什么诈骗电话才是更大的危险。
接下来的几天会有点反常，还会有更多公告发布。我希望大多数东西都能照常运转。今天先把这些枯燥的事做了吧。
现在就把这篇文章转发给你身边的人。你的父母、祖父母、朋友、群聊。任何连着互联网的人——也就是所有人——都需要知道正在发生什么。最不容易听到这些消息的人，往往是最容易受害的人。
本文原版可在此处查看。
