把這篇文章轉發給你身邊的人。任何上網的人——基本上就是所有人——都需要知道現在發生了甚麼事，以及可以做些甚麼來保護自己。
就在你讀這篇文章的此刻，很可能正有成群的 AI Agent 試圖入侵你使用的網站。不是一個，而是很多個。
我們正處於多年來最嚴重的網絡安全危機之中。一些安全專家已經將它稱為 黑色十月。
我寫這些不是為了嚇你。很多事情確實不在你的控制範圍內。但你可以做一些簡單的事情來保護自己，做一點總比甚麼都不做好。
本週每個小時，都有新的攻擊事件曝光。等你讀完這篇文章時，大概又會多一宗。
以下是目前的情況，以及你應該怎麼做。
現在正在發生甚麼
如果資訊量太大，你可以直接跳到應對方法。但我真的建議你把全文讀完。
昨天，PHP 被發現存在一個嚴重漏洞，而大約 70% 的網站都使用這種軟件。
你可以這樣理解：有人發現全國數百萬棟建築物都用着同一款壞掉的鎖，而且現在所有人都知道怎麼打開它。製鎖商已經發出修補程式，但每棟建築物的業主都要自行安裝，而很多人至今還沒動手。
據 Cloudflare 行政總裁表示，消息傳出兩小時內，攻擊者就嘗試開鎖數十萬次。現在這個數字已經達到數百萬。Amazon 表示，有人在公佈前四天就已經在嘗試利用這個漏洞，其安全主管更指該漏洞「現正被廣泛利用」。（這是 Amazon 在發出警號，而不是 Amazon 被黑客入侵。）到目前為止，尚未有人確認成功透過此漏洞入侵系統，但攻擊者正在四處嘗試。為防萬一，營運 Wikipedia 的機構關閉了部分系統，荷蘭、芬蘭、德國、法國等地的政府亦將網站下線。
這只是其中一件事，而且只是冰山一角。我再分享幾個較重大的事件。如果全部列出來，你要讀上好幾個小時。
- Microsoft 表示，一個與中國政府有關的黑客組織利用 AI 黑客工具，試圖透過 IT 公司依賴的備份服務入侵 超過 2,000 個機構。
- 一個約有二百萬開發者使用的雲端平台表示，客戶的密鑰可能已被存取。我的一位朋友今天早上就發現有人用其中一個密鑰掏空他的帳戶。
- 印度最大的銀行表示，近 3,900 名客戶的個人資料在暗網外洩。
- 一個犯罪集團利用 AI 工具攻擊拉丁美洲超過 400 間銀行及金融公司。
- 黑客入侵了南韓 16 間金融機構，包括大型銀行。
- 日本政府要求企業加強防禦，此前發生的入侵事件可能已洩露數千萬人的資料。
- Stop & Shop、Hannaford 和 Food Lion 的網站及應用程式癱瘓超過一星期。
- FBI、NSA 及其他三個機構警告，使用 AI 編寫攻擊腳本的黑客正在偵察運作供水、能源及製造工廠的系統。
各國政府早已預見此事。六月，美國及其最親密的盟友就 AI 驅動的駭客攻擊發出警告：「時間表不是以年計，而是以月計。」 四個月後，事情就發生了。
本文原文可在此查閱。
這次為何不同
你聽過駭客入侵的消息已經好幾年了。以下是改變的地方。
每棟建築物都有弱點：一扇關不緊的窗、一道裝着廉價鎖的後門。軟件也是一樣，滿是隱藏的弱點。幾十年來，要找出這些弱點需要極少數技術高超的人才，而這類人並不多。這就是我們的保護傘。不是因為鎖夠好，只是因為賊不夠多。
這種短缺已經結束。三件事同時發生了。
第一，AI 現在能找出弱點。PHP 漏洞就是借助 AI 發現的，而 AI 工具正找出數千個多年未被察覺的錯誤。
第二，AI 現在可以自行入侵。不再需要技術高超的黑客。有人向 AI Agent 發出比一則推文還短、少於 100 個中文字的指令，然後讓它們幾乎全自動運作。結果它們入侵了超過 100 間公司的網站，包括 John Deere，每次入侵成本估計僅 50 美元。它們不會睡覺，也不會覺得悶。它們只會不斷嘗試，直到找到入口。
第三，防守方正在拼命追趕。每一個弱點仍然需要修復、測試和安裝，而負責管理數百萬個系統的人手早已捉襟見肘。即使是最嚴重的錯誤，平均也要約兩星期才能推出修補程式，而且很多網站根本永遠不會修補。保安公司 Cisco 估計，運行該軟件的聯網伺服器中，約有一半因版本太舊而無法獲得官方修補。
把這些加起來，就是一場貓捉老鼠的遊戲，而攻擊者只需要贏一次。攻擊者與防守者之間的差距，正是你在未來幾天新聞中會看到的發展。
這會持續發生，而且會愈來愈嚴重
這不是糟糕的一週，而是我們所有人都需要做好準備的新常態的開始。
看看數據吧。保安公司 CrowdStrike 表示，他們觀察到可能涉及 AI Agent 的攻擊在八月增加了一倍以上，九月又再翻倍。如果本週的情況有任何啟示，那就是速度只會加快。AI 每隔幾個月就會變得更強，而運行成本卻愈來愈低。黑客今天使用的工具，將會是他們用過最差的工具。
這些工具也已經流傳出去。當一款 AI 黑客工具被發現與南韓銀行遭襲擊有關時，其開發者停止公開發佈，下載頁面也被移除。但這無濟於事。任何已經下載的人仍然可以使用它。
不過好消息是，防守方也有 AI，而且它尋找和修補弱點的速度前所未有地快。最終，軟件會比今天難以入侵得多。但目前，攻擊仍領先於防守，而且這種情況可能會維持一段時間。
這對你意味着甚麼
據 Axios 報道，目前美國主要銀行，包括 JPMorgan、Bank of America 和 Wells Fargo，都在客戶帳戶內發現未經授權的 AI Agent。有些是客戶自己設定的，但很多銀行無法分辨哪些是代表客戶行事，哪些不是。銀行高層形容情況「令人恐懼」。Axios 並未報道有任何資金被盜。
但對今天的大多數人來說，更大的危險仍然是三件事。你的資料外洩，騙徒因此知道你的名字、生日、地址和銀行，令他們的電話和短訊聽起來很真實。你的帳戶因為多年前用過一次、且與其他地方相同密碼的網站而被接管。還有你依賴的東西，例如應用程式、藥房或商店網站，突然癱瘓好幾天。
說清楚一點：事件仍在持續，但人們最害怕的最壞情況尚未發生。我希望永遠不會發生。但防患於未然總是好的，尤其是這類事件還會繼續出現。
今天該做甚麼
首先，在風波平息之前，不要瀏覽你不熟悉的網站。只用那些大型、知名的網站：你的銀行、Amazon、Google。小型網站最不可能已經完成修補，而你從外面根本看不出來。未來幾週，不要在任何不熟悉的東西上輸入密碼或卡號。
其次，更新所有設備：手機、電腦、平板和網頁瀏覽器。當手機或電腦本身的設定提示有可用更新時，就立即安裝。這就是你的鎖。路由器也要一樣處理；如果它舊到不再有更新，就換掉它。但絕對不要從網站彈出視窗、短訊或電郵中的連結安裝「更新」。那是常見的騙局。不知道怎麼做？這裏有一份簡單的逐步指南。
第三，關上你不用的門。拔掉不需要的智能裝置，刪除不用的應用程式。每一件聯網設備都是另一個入口。
第四，保護你的銀行帳戶。如果有人打電話、傳短訊或發電郵向你索取密碼，或剛剛發送到你手機上的驗證碼，那一定是騙局。每一次都是。那些驗證碼只供你自己在銀行的應用程式或網站上輸入。在親自核實之前，把所有關於你銀行的來電、短訊或電郵都當作可疑處理：不要點擊他們的連結，也不要回撥他們提供的號碼。掛斷電話，然後撥打卡片背面的號碼。如果真的是你的銀行，他們會協助你。
只在銀行自己的應用程式或網站輸入用戶名稱和密碼。不要把它們交給任何人，包括 AI 助手或其他應用程式，無論它看起來多麼有用。Chase 表示不要把它們交給任何人。為你的電郵和銀行帳戶開啟兩步驗證登錄（教學在此），並且不要再重複使用密碼。密碼管理員能讓這件事變得簡單，而你的 iPhone 或 Android 手機已經內置了一個。
如果你想格外小心，可以在家放少量現金，足夠買幾天日用品，再加一些食物和水。這是正常的應急裝備，無論如何都值得準備。
我不會做的是把錢從銀行提走。恐慌正是騙徒所指望的。如果銀行本身倒閉，FDIC 受保存款的保障額為每人每間銀行最高 250,000 美元。這項保險不涵蓋因帳戶被入侵而盜走的資金。但聯邦法規一般會限制你在及時舉報未經授權轉帳時的損失，所以要經常查看帳戶，一旦發現異常立即致電銀行。你自己被騙去匯出的錢更難追回，這就是為甚麼詐騙電話才是更大的危險。
接下來幾天會很奇怪。還會有更多公告發佈。我希望大部分事物仍能正常運作。今天先把這些沉悶的事做好。
現在就把這篇文章轉發給你身邊的人。你的父母、祖父母、朋友、群組對話。任何連接互聯網的人——也就是所有人——都需要知道正在發生甚麼事。最不可能聽到這些消息的人，往往最容易受到傷害。
本文原文可在此查閱。
