把這篇文章轉發給你身邊的人。任何會上網的人——基本上就是所有人——都應該知道現在發生了什麼事，以及該怎麼保護自己。
就在你讀到這裡的此刻，很可能正有一大群 AI Agent 試圖入侵你平常使用的網站。不是一個，而是一大群。
我們正處於近年來最嚴重的網路安全危機之中。有些資安專家已經把它稱為「黑色十月」。
我寫這些不是為了嚇你。很多事情確實不在你的掌控範圍內。但你可以做一些簡單的自我保護措施，做一點總比什麼都不做好。
本週每個小時都有新的攻擊事件曝光。等你讀完這篇文章，大概又會多出一件。
以下是目前的情況，以及你該怎麼應對。
現在到底發生了什麼事
如果資訊量太大，你可以直接跳到該怎麼做。但我真的很建議你把整篇讀完。
昨天，PHP 被揭露存在一個嚴重漏洞，而全球大約有 70% 的網站是靠這套軟體運作的。
你可以這樣想：有人發現全國幾百萬棟建築都用同一款壞掉的鎖，而且現在大家都知道怎麼開。鎖匠雖然已經寄出修補零件，但每棟建築的屋主都得自己動手裝，而很多人還沒裝。
根據 Cloudflare 執行長的說法，消息傳出不到兩小時，攻擊者就已經嘗試撬這個鎖數十萬次。現在則是數百萬次。Amazon 表示，有人在漏洞公布前四天就已在嘗試利用它，其資安主管更指出，這個漏洞「目前已在現實中被大規模利用。」（這是 Amazon 在發出警訊，不是 Amazon 被駭。）到目前為止，還沒有人證實成功透過它入侵，但攻擊者正在四處嘗試。為求保險，負責營運維基百科的組織關閉了部分系統，荷蘭、芬蘭、德國、法國等國政府也將網站暫時下線。
這只是其中一件事，而且只是冰山一角。我再分享幾個比較重大的案例。如果全部列出來，你要讀上好幾個小時。
- Microsoft 表示，一個與中國官方有關聯的駭客組織使用 AI 駭侵工具，試圖透過 IT 公司依賴的備份服務入侵超過 2,000 個組織。
- 一個約有兩百萬名開發者使用的雲端平台表示，客戶的金鑰可能已被存取。我一位朋友今天早上就遇到有人用其中一把金鑰搬空他的帳號。
- 印度最大的銀行表示，近 3,900 名客戶的個資在暗網上外洩。
- 一個犯罪集團利用 AI 工具攻擊拉丁美洲超過 400 家銀行與金融機構。
- 駭客入侵了韓國 16 家金融機構，包括多家大型銀行。
- 在發生可能洩漏數千萬人資料的入侵事件後，日本政府要求企業加強防禦。
- Stop & Shop、Hannaford 和 Food Lion 的網站與 App 當機超過一週。
- FBI、NSA 和其他三個機構警告，使用 AI 撰寫攻擊腳本的駭客正在偵查供水、能源與製造工廠的運作系統。
各國政府早就預見了這一天。六月時，美國與其最親密的盟國就曾針對 AI 驅動的駭侵行為發出警告：「時間單位不是幾年，而是幾個月。」 四個月後的今天，事情真的發生了。
本文原文請見此處。
為什麼這次不一樣
你聽過駭客事件好多年了。但這次改變的是什麼？
每棟建築都有弱點：一扇關不緊的窗戶、一道掛著廉價鎖的後門。軟體也是一樣，到處都是隱藏的弱點。過去幾十年來，要找出這些弱點需要極少數技術高超的人才，而這種人並不多。那就是我們的保護傘。不是因為鎖有多好，只是因為小偷不夠多。
現在，小偷不夠多的時代結束了。有三件事同時發生了。
第一，AI 現在能找出弱點了。PHP 的漏洞就是靠 AI 協助發現的，而且 AI 工具正在找出成千上萬個潛伏多年都沒被注意到的錯誤。
第二，AI 現在可以自己入侵了。不需要技術高超的駭客。有人只給了 AI Agent 一段比一則推文還短、不到 100 個中文字的指令，就讓它們幾乎全自動運作。結果它們入侵了超過 100 家公司的網站，包括 John Deere，估計每次入侵成本只要 50 美元。它們不會累，也不會無聊，只會一直試到找到入口為止。
第三，防守方正在拼命追趕。每一個弱點都還是得修補、測試、安裝，而這要落在數百萬套系統上，由早已分身乏術的人員負責。即使是最嚴重的錯誤，光是釋出修補程式平均就要花大約兩週，而且很多網站根本永遠不會修補。資安公司 Cisco 估計，運行該軟體且對外連線的伺服器中，約有一半版本太舊，無法取得官方修補。
把這些加在一起，你就得到一場貓抓老鼠的遊戲，而攻擊者只需要贏一次就好。接下來幾天，你在新聞裡看到的，就是攻擊者與防守方之間的這段落差如何上演。
這件事會持續發生，而且會越來越糟
這不是糟糕的一週而已。這是一個我們所有人都必須做好準備的新局面的開始。
看看數字就知道了。資安公司 CrowdStrike 表示，他們觀察到可能涉及 AI Agent 的攻擊，在八月增加了一倍多，九月又再翻倍。而如果這週的情況能當作指標，那速度只會越來越快。AI 每隔幾個月就變得更強，同時運行成本卻越來越低。駭客今天用的工具，會是他們用過最差的版本。
而且這些工具現在已經流出去了。當一款 AI 駭侵工具被發現與韓國銀行遭攻擊有關時，它的開發者停止公開發布，下載頁面也被撤下。但這沒用。任何已經下載過的人都還能繼續使用。
不過好消息是，防守方也有 AI，而且它找出並修補弱點的速度比以往都快。最終，軟體會變得比現在難以入侵得多。但目前，攻擊方領先防守方，而且這種情況可能會維持一陣子。
這對你有什麼影響
根據 Axios 報導，目前美國各大銀行，包括摩根大通（JPMorgan）、美國銀行（Bank of America）和富國銀行（Wells Fargo），都在客戶帳戶中發現未經授權的 AI Agent。有些是客户自己設定的，但很多銀行分不清哪些是代表客戶行事，哪些不是。銀行高層形容這個情況「令人毛骨悚然」。Axios 並未報導有任何資金遭竊。
但對今天的大多數人來說，更大的危險仍然是三件事。第一，你的個資外洩，詐騙集團知道你的名字、生日、地址和往來銀行，所以他們的電話和簡訊聽起來非常真實。第二，你的帳號被接管，原因可能是你多年前用過一次的某個網站，而你在那裡用了跟其他地方一樣的密碼。第三，你依賴的服務，例如某個 App、藥局或商店網站，突然當機好幾天。
說清楚一點：這些事正在發生，但大家最害怕的最壞情況還沒有出現。我希望永遠不要出現。但小心駛得萬年船，尤其是這類事件還會不斷發生。
今天就該做的事
第一，在這波風頭過去之前，先別上不熟悉的網站。只用那些知名的大型網站：你的銀行、Amazon、Google。小型網站最不可能已經完成修補，而你從外面根本看不出來。接下來幾週，不要在任何不熟悉的東西上輸入密碼或卡號。
第二，更新所有東西：你的手機、電腦、平板和瀏覽器。當手機或電腦的「設定」顯示有可用更新時，就安裝它。那就是你的鎖。路由器也一樣處理；如果它老到不再提供更新，就換掉它。但絕對不要從網站彈出視窗、簡訊或電子郵件裡的連結安裝所謂的「更新」。那是常見的詐騙手法。不知道該怎麼做嗎？這裡有一份簡單的步驟指南。
第三，關上你沒在用的門。拔掉不需要的智慧裝置，刪除不用的 App。每一個連網的東西都是一條可能的入侵路徑。
第四，保護你的銀行帳戶。如果有人打電話、傳簡訊或寄信給你，要求你提供密碼或剛傳到手機上的驗證碼，那就是詐騙。每一次都是。那些驗證碼只能由你自己輸入銀行的官方 App 或網站。在你親自確認之前，把所有關於銀行的來電、簡訊或郵件都當成可疑訊息：不要點他們給的連結，也不要回撥他們提供的號碼。直接掛斷，然後打卡片背面的電話。如果真的是你的銀行，他們會幫你處理。
只在銀行的官方 App 或網站輸入你的使用者名稱和密碼。不要交給任何人，包括 AI 助手或其他 App，不管它看起來多有用。Chase 銀行表示，不要提供給任何人。為你的電子郵件和銀行帳戶開啟兩步驟登入（教學在此），並且不要再重複使用密碼。密碼管理工具能讓這件事變得很簡單，而你的 iPhone 或 Android 手機其實已經內建了一個。
如果你想更謹慎一點，可以在家裡放一點現金，足夠買幾天食材的量，再加上一些食物和水。這本來就是標準的緊急應變包，無論如何都值得準備。
我不會做的是把錢全部從銀行領出來。恐慌正是詐騙集團所期待的。如果銀行本身倒閉，受 FDIC 保障的銀行存款每人每家銀行最高保障 250,000 美元。這項保險不涵蓋帳戶被駭而遭竊的資金。但聯邦法規通常會限制你在及時通報的情況下因未經授權轉帳所承受的損失，所以要經常查看帳戶，一旦發現異常就立刻打給銀行。如果是你自己被騙去匯出的錢，要追回就困難得多，這也是為什麼詐騙電話才是更大的危險。
接下來幾天會很詭異。還會有更多公告發布。我希望大部分服務都能正常運作。今天先把這些無聊的基本功做好。
現在就把這篇文章轉發給你身邊的人。你的父母、祖父母、朋友、群組。任何會上網的人——也就是每一個人——都需要知道發生了什麼事。最不可能聽到這些消息的人，往往就是最容易受害的人。
本文原文請見此處。
