5美元攻破11个系统
2026 年 10 月，安全公司 Enclave AI 公布了一项引发行业关注的研究结果：他们将 DeepSeek v4.1 Flash（型号 deepseek-v4.1-flash-1017，可在 OpenRouter 上访问）放入一组包含已知漏洞的真实系统测试环境。官方称，这个 AI 不仅侵入了全部 11 个存在漏洞的靶机，还自主发现了 5 条安全团队此前未预料到的替代入侵路径------全程没有人类干预，仅靠 2,349 条 Bash 命令、2 小时 38 分钟和 4.65 美元。
一、当 AI 成为最强"红队"
渗透测试（Penetration Testing）长期以来是一个昂贵且低频的领域。一支三人红队每周收费数千到数万美元，完成一次全面评估通常需要数周时间。客户按季度或年度购买这种服务------安全评估本质上是多数企业预算中的奢侈品。
Enclave AI 联合创始人兼首席产品官 Yanir Tsarimi 领导的安全研究团队在 2026 年 9 月启动了一项系统性实验：让 DeepSeek v4.1 Flash 作为自主 Agent，独立完成完整的渗透测试流程------从侦察、路径规划到漏洞利用和结果验证。
实验设置包含两类靶机：11 个存在已知漏洞的系统（Grafana、Jenkins、Nextcloud 等真实软件），以及 4 个已完全修复的对照组系统。这种设计的精妙之处在于------研究者不仅可以验证 AI 的攻击能力，更能验证其精确区分可利用的漏洞和已修复防御的能力，从而避免将"误报"混淆为"成功"。
结果一目了然：11 个存在漏洞的靶机全部沦陷，4 个对照组完美守住，没有一次例外。这不仅是一份成绩单，更是 AI 首次在一个标准化基准测试中展现出完整、可靠、可重复的自主攻击能力。从行业影响来看，这可能标志着 AI Agent 在安全测试领域具备了初步的生产力可行性。
二、数字不会说谎
先看一组源自 Enclave 官方报告的核心数据：
| 指标 | 数值 | 含义 |
|---|---|---|
| 攻陷率 | 11/11 (100%) | 所有有漏洞的系统都被攻破 |
| 误报率 | 0/4 (0%) | 已修复系统全部安全 |
| 通过成本 | $4.65 | 仅计入成功运行的 Token 消耗 |
| 含失败总计 | $5.14 | 含失败重试的完整支出 |
| 命令总数 | 2,349 条 | 显示了持续的自主探索 |
| 运行时间 | 2h38m | 约等于一场电影的时间 |
| 中位突破 | 4m38s | 最快单靶机的攻破耗时 |
| 输入 Token | 268.3M | 266.2M 命中缓存（成本压缩的核心） |
| 输出 Token | 约 2M | 极高的推理效率 |
这组数据传递了一个根本性的冲击：量级的错配 。人类红队以周为单位、以万美元为计价单位的工作，被 AI 用 5 美元和一场电影的时间完成。即使测试环境比真实企业网络简单（例如没有 WAF、没有 IDS、没有人类安全分析师的实时监控），性价比的差距依然足够革命性------3,200 倍的成本差意味着安全评估的经济学正在被重写。
需要说明的是，4.65 仅计入了成功接受的运行消耗；如果包含失败的尝试，总支出为 5.14。即使按 $5.14 计算，成本的量级没有改变。
三、攻击路径解密
Yanir Tsarimi 团队对每一次成功攻击进行了逐条命令的人工审计。他们的目标不仅是验证 Enclave 自己的评分系统的准确性，更要理解 DeepSeek 是"瞎猫碰死耗子"还是真的在"思考"。
审计结论超出预期：6 条按照预定攻击路径完成的攻击被确认，但除此之外，还额外发现了 5 条计划外的替代路线。这意味着 DeepSeek 的自主攻击能力甚至超出了基准测试设计者的想象------它不仅完成了"规定动作"，还自己发明了"自选动作"。
Grafana --- 52 秒内的"旁路艺术"
这台靶机考察的是插件安装流程中的目录遍历漏洞。预定攻击路径是利用路径穿越上传恶意代码。但 DeepSeek 找到了一条更直接的路线：将可执行文件放入临时插件目录，然后让 Grafana 作为普通插件加载它。三次独立运行分别在 52 秒、64 秒和 90 秒内完成------全部成功。
令人深思的是，这条替代路线在原始评分系统中没有被检测到 。Enclave 的自动化评分系统只检查"是否成功让系统执行了证据命令"------至于如何执行、通过什么路径执行，评分系统并不理会。审计团队的人工二次审查才发现了这条捷径。这暴露了当前 AI 渗透测试评分标准的一个深层盲区：功能的正确性（"是否攻陷"）和路径的完整性（"如何攻陷"）是两件完全不同的事。这个盲区对下游研究可能被低估。
Jenkins --- 教科书级安全边界逃逸
这是 DeepSeek 表现最为耀眼的靶机。攻击链展示了完整的"confused deputy"（混淆代理人）模式的六个步骤：
- Jenkins 从用户控制的配置文件读取命令选项
- 低权限用户可以创建符号链接：第一个文件（通过权限检查）→ 第二个文件（位于安全边界之外）
- DeepSeek 识别并利用了这个安全边界的时间差与逻辑差
- 越权读取私有控制器凭证
- 登录 Jenkins 内置脚本控制台
- 在服务器操作系统上执行任意命令（RCE）
三次独立运行全部成功。这不仅是一条完整的安全边界逃逸链，更是 AI 在没有人类提示的情况下自主完成六步推理链的标志性案例。传统安全研究中，这种攻击需要经验丰富的安全工程师花费数小时才能完成。
Nextcloud --- 从源代码级别理解漏洞
Nextcloud 靶机的问题更为微妙：访问控制决策缓存逻辑存在缺陷------当"已批准"的访问决策被重用时，没有包含具体的文件 ID、文件夹路径或请求动作等上下文信息。
DeepSeek 的解法需要理解源代码级的逻辑：先正常请求读取一个共享文件，让系统生成"已批准的访问决策"缓存；然后复用这个访问令牌，通过改变参数升级到更高权限的操作。这类攻击需要对授权模型的深层语义理解------不是简单的"SQL 注入盲打"，而是需要理解缓存键的缺失导致的安全边界模糊。
四、$5 的经济学：为什么这么便宜？
为什么总成本只有 4.65 美元？两个因素叠加让这成为可能：
| Token 类型 | 数据 | 分析 |
|---|---|---|
| 输入 Token | 268.3M | 大量相似的环境探索操作触发缓存复用 |
| 缓存命中 | 266.2M（99.2%） | 极高命中率意味着实际计费输入极少 |
| 输出 Token | 约 2M | 决策和执行层面的推理输出 |
| 总费用 | $4.65 | 不含失败重试的纯通过成本 |
第一，DeepSeek 的定价结构本身对输入 Token 极友好------大多数使用场景下每百万 Token 仅需 $0.01-0.03，缓存命中的价格进一步打折。当 268.3M 输入中有 266.2M 命中缓存（99.2%）时，实际需要计费的输入 Token 仅约 2.1M。
第二，Agent 工作流的特点决定了极高的缓存可复用性：在 15 个靶机上，AI 会反复执行类似的侦察命令（检查端口、读取文件、测试路径）。这些重复前缀天然适合提示词缓存（Prompt Caching），与 DeepSeek 的定价模型完美契合。
这揭示了一个更深层的洞察：在复杂多步任务中，DeepSeek 的定价结构天然有利于 Agent 工作流。这并不是偶然------当 Agent 的每一步操作都共享大量上下文时，缓存率会持续累积升高。这种"Agent 友好"的定价模型可能重塑安全工具的竞争格局。
还可以从另一个角度看这个价格：Enclave 测试中总计消耗了 268.3M 输入 Token 和约 2M 输出 Token，对应 API 费用 4.65。作为对比，如果使用 GPT-4o 完成同样的 2,349 条命令序列（估算上下文长度类似），仅 Token 成本就可能超过 200-400。这个 50-100 倍的模型间成本差意味着，即使攻击效果相同，模型的可获得性（成本层面）决定了谁可以先大规模部署自主安全审计。DeepSeek 在 2026 年 10 月这个时间节点上，凭借缓存定价 + 极高命中率，成为 Agent 安全应用的事实首选。
值得注意的是，Enclave 的背景也不容忽视。HackingRace 是 Enclave AI 自己的基准测试体系------测试环境由他们设计、测试评分由他们制定、测试数据由他们公布。这种"自建自评"的模式意味着数据需要独立验证。然而，Yanir Tsarimi 团队公开了全部方法论和原始命令序列，为第三方审计留出了空间。这种"公布方法但不保证可复现"的状态，是当前 AI 安全基准测试领域的典型特征。业界普遍期待有更多的独立安全团队（如 ZDI、Offensive Security 等）对这一结果进行独立的复现验证，以排除特定模型在特定测试集上的过拟合风险，并评估该结论在异构测试环境中的适用性。
五、同一周，同一世界
2026 年 10 月中旬，三个独立的安全故事在极短时间内涌现，恰好构成了一幅完整的行业图景：
- DeepSeek v4.1 Flash 在 Enclave 测试中创下纪录 --- AI 自主攻击能力在标准化基准中首次被量化证明
- Anthropic 公开 Claude ECDSA 密钥曲线选择的密码学谱系 --- 从底层公开加密实践，让"信任"变成"可验证"
- Claude 工程团队披露内部代码审查方法 --- 当约 90% 的代码为 AI 生成时，人工审查策略必须根本性重构
三个故事从不同维度指向同一个方向：AI 安全正在从单点技术问题升级为系统性的经济模型和信任框架重构。攻击侧的能力在膨胀（DeepSeek），防御侧的透明化在加速（ECDSA），而工程实践正在被动适应（Code Review）。
当红队的边际成本趋近于 5 美元，每一次代码提交都可以触发一次完整的渗透测试------昂贵的、定时的评估将从企业安全预算的核心位置退场，被持续不断的 AI 安全审计取代。这不再是理论推演。DeepSeek v4.1 Flash 已经在 Enclave 的基准测试中完成了实证。
六、安全工程师的应对框架
对安全从业者而言，今天的数据传递了三个清晰的信号：
- 自动化安全审计不再是加分项，而是基础设施：当 5 美元可以买到一次完整的自主渗透测试时，不运行自动化审计将成为一种可量化的风险管理失误。安全审计的频率和覆盖面需要与技术部署的速度同步。
- AI 生成的代码需要 AI 原生的安全工具来检查：正如 Claude 团队发现的------当代码产出速度提升一个数量级时，人工审查会立即成为瓶颈。防御工具必须匹配攻击工具的效率。
- 缓存驱动的成本结构决定了安全 AI 的可用性边界：DeepSeek 在 Enclave 测试中实现的 99.2% 缓存率不仅是技术优化，更是 Agent 工作流定价模型的产品设计方向。未来的安全工具需要在"Agent 友好"的推理平台上构建。
安全规则正在被改写。这一次，AI 同时执笔了攻击和防御两侧的剧本。
从更宏观的视角看，Enclave v4.1 Flash 的测试结果可能只是一个起点。当自主 Agent 的渗透测试成本突破"可忽略"的门槛（$5/次），它将从根本上改变安全工作的节奏：从"按季度购买评估服务"进化为"每次代码提交触发一次完整审计"。这不是对安全从业者的威胁------而是对人类分析师工作的释放：将他们从重复性的低级漏洞扫描中解放出来，聚焦于需要创造性思维和战略判断的高价值安全挑战。
最终的赢家将是那些率先适应新经济模型和安全范式的从业者------因为当 5 美元可以测试你的系统时，没有任何借口说"太贵了"。同样重要的是，当一个 5 美元的 Agent 可以找出你的漏洞时，一个免费的 Agent 也能对你的对手做同样的事。安全正在从"比谁花钱更多"变成"比谁的反馈循环更快"。这正是 DeepSeek 的 Enclave 审计给我们最深刻的警示。