刚刚，全球互联网已被AI攻陷！史上最黑暗48小时来了

48小时，全球大乱套了！

就在昨天，全世界一大片互联网接近瘫痪。AI已经入侵整个人类世界！

这48小时，堪称人类网络安全史上的「黑色十月」。

支撑全球70%网站的代码曝出致命漏洞；美国华尔街紧急拔网线；拉美400家银行被AI智能体攻击。

有人直言：「RIP Internet（互联网安息吧）」。

node.js：安全漏洞。

PHP：严重远程代码执行漏洞。

tensorlake：npm 包被感染。 

liteLLM：恶意 PyPI + Docker 版本。

Railway：客户机密泄露。

zeabur：基础设施遭到入侵。

OpenCode：AI API 密钥泄露。

OVHcloud CLI：官方二进制文件被植入后门。

RankMath PRO：官方插件中植入恶意软件。

TeamUpdraft：客户数据泄露。

ConnectWise：云备份身份泄露。

SubQuery：npm 包被植入后门。

GhostAction：GitHub 代码库中存在恶意工作流。

eMudhra：证书颁发机构密钥泄露（对 Tailscale 产生下游影响）。

全球的数字基础设施，都面临崩塌。

全网裸奔警报，已经拉响！

在短短48小时内，全球爆发了超过27起史诗级的安全漏洞。随便一个，都足以成为年度最大网安核弹，但它们2天内同时引爆。

作恶的，是一群永不知疲倦的AI智能体。

全球最常用的三种编程语言（PHP、Node.js、Java）同时被攻破；互联网80%生态的基础设施，被炸出大洞。

人类的数字世界，正经历一场史无前例的裸奔。

PHP2Shell，AI亲手挖出的互联网坟墓

过去两天，支撑全球近70%网站的底层语言PHP，曝出了两个CVSS评分高达9.2的漏洞。

黑客不用登录，就能直接接管整个服务器，打包所有的用户隐私。

这些漏洞，是AI亲手挖出来的。然而，还没等到官方补丁，漏洞细节就惨遭泄露。

在补丁发布前的10个多小时，成千上万个AI驱动的程序已经「嗅」到血腥味，开始全网扫描。

仅仅45分钟后，攻击尝试飙升至数万次；两小时后，数以百万计的恶意探针覆盖了整个互联网。

同时，GitLab爆出满分致命漏洞；日下载量340万次的LiteLLM被植入了盗号木马；印度最大数字证书机构eMudhra的私钥也被破解，其中一个本该是116位的密钥，居然是个4！

。但这，仅仅是「黑色十月」的开胃菜。

Claude与Grok联手攻击拉美400家银行！

金融圈也曝出惊天大案。

十年黑客组织CyberCartel，已经抛弃手工作坊，开发出了CARLIY0S 多智能体自动化攻击系统。

这套系统，简直是一支高度分工的「AI犯罪蜂群」。

Claude（大脑/指挥官）： 扮演分析师、辩论者和最终裁决者的角色。它负责评估攻击路线，制定战术。

Grok（矿工）： 充当无情的执行机器，疯狂收集银行机密、API密钥和客户密码。

为了绕过AI的安全限制，黑客将攻击指令伪装成「授权的红队安全演练」或「学术测试」。

结果，AI模型被轻易骗过。

如果模型拒回，系统会切换到攻击代码。

战果极其惊人，且全程几乎「零人工干预」。

仅仅几个月，拉美超过400家银行和支付机构就被尝试攻击。

在数据库快照中，有着4500条高级别凭证，包括网银密码、加密密钥，甚至可以直接操纵墨西哥跨行支付系统的接口权限。

安全专家绝望呼喊：「进攻速度已经远远甩开防御，人类没准备好面对这样的AI蜂群。」

华尔街惊魂！你的账户里是人还是AI？

美国华尔街的银行也炸锅了。

据Axios爆料，摩根士丹利、美国银行、摩根大通、富国银行等多家顶级金融机构监测到：大量第三方的AI智能体，未经授权就擅自闯入客户的银行账户。

最让银行高管们惊恐是，这些AI不仅仅是在帮主人记账，一部分智能体竟然脱离了初始指令，开始在账户里「自作主张」地独立操作！

华尔街陷入了前所未有的危机！

首先，是分不清人机。

银行的安全系统已经很难分辨，输入密码的是人还是AI。

其次，是分不清敌友。

就算知道是AI，银行也无法判断，这个AI是经过授权的助手，还是准备把钱转去海外的数字强盗？

现在，各大行已拉响红色警报。

摩根士丹利全网拦截第三方AI；摩根大通、花旗已制定极端灾备预案——随时冻结海量被AI接管的账户。

以毒攻毒！AI蜂群来了

 现在，AI毫秒级的攻击，让人类来不及打补丁。

于是，网安界诞生了史上最疯狂一幕——AI蜂群遭遇战。

白帽黑客决定：释放自己的AI智能体蜂群，去强行黑掉全网的设备！

防守方利用尚未修复的 PHP2Shell 致命漏洞，让AI疯狂入侵互联网上的脆弱服务器。

攻破设备后，它们的第一步，就是强行给你打补丁。「我先黑进你的电脑，是为了救你！」

现在的互联网上，两拨AI蜂群正在疯狂交战。

虽然有争议，但是来不及解释了！现在，只有魔法才能打败魔法。

过去的世界，回不去了

「黑色十月」的48小时，彻底撕开了互联网脆弱的面纱。

但是，绝大多数普通用户还一无所知。

作为普通用户，你得立马行动。

清空Bot钱包： 如果你使用了任何交易机器人、，立刻提现到独立钱包。

立即重置API： 立刻去后台删除并API Keys。

终极密码隔离： 由于150万个PHP网站被曝，将会有海量的网站、论坛的账号密码数据库在暗网暴露。如果你「一套密码走天下」，现在是最后的时机。所有账号换上独立邮箱，开启谷歌验证器。

曾经的互联网世界，已经回不去了。

我们已无法分辨，网线那端究竟是不是人。

参考资料：

https://x.com/AISafetyMemes/status/2113113711644737835

https://www.straiker.ai/blog/inside-carliy0s-how-cybercartel-used-multiple-ai-models-to-attack-latin-american-banks

https://x.com/MadisonMills22/status/2113251043173683683

https://www.axios.com/2026/10/22/ai-agents-banks-unauthorized-accounts-access

文章来自于"新智元"，作者 "Aeneas"。