## 788｜AI自己选攻击目标，花2小时和20美元“打穿”麦肯锡核心内网AI

你好，我是快刀青衣。欢迎收听快刀广播站，每天带你看AI。

2016年3月，AlphaGo和李世石下第二局棋，AlphaGo走出了第37手。

当时曾作为测试对手参与AlphaGo测试的欧洲围棋冠军樊麾愣住了，大意是说：这不是人类的棋步，我从未见过人类下出这样的棋，这太美了。我当时听的是古力的解说，我记得古力、刘昌赫等九段棋手都惊呼“怎么会下这里”“从未见过”。全场观众不理解这步棋，很多人都以为是摆棋的人摆错了。

这一步棋更是让李世石陷入15分钟的长思考，中间更是起身到外面抽烟。没人知道他在想什么。等到他落子，然后才慢慢意识到：输了。

这一幕之所以被反复提起，不是因为AI赢了，而是因为那一刻，所有人第一次感受到了一种说不清道不明的东西——机器开始有自己的“想法”了。

这两天，当我看到一件网络安全领域的事件时，那一瞬间，我也觉得遇见了自己的“第37手”。我知道咱们同学大部分不是从事这个行业的，我虽然一直做互联网，但离专业的网络安全也比较远。不过这个事情本身还是非常有代表性，我尽量通俗易懂地跟你讲一下。

一家叫CodeWall的安全公司，放出了一个自主攻击型AI Agent，目标是麦肯锡的内部AI平台Lilli。你可能没听说过Lilli，但它在麦肯锡内部是真正的核心系统：4.3万名员工在用，每个月处理50万条指令，背后链接着几十万份内部机密文档，涵盖跨越几十年的研究框架、公司战略、并购项目和客户参与的聊天消息。麦肯锡为这个系统配置了他们能想到的所有防御手段。

结果，这个AI Agent用了2小时，花了大约20美元的算力成本，拿到了整个生产数据库的完整读写权限，能够访问4650万条内部对话记录、72.8万份敏感文件。

说实话，让我感到头皮发麻的不是“被打穿”这件事本身，而是一个细节：CodeWall的研究人员并没有提前告诉这个AI“去打麦肯锡”。他们只是给了一个宽泛的指令，然后AI自己扫描、寻找具有公开网络安全披露指南且价值较高的知名组织，并检测到麦肯锡AI平台Lilli的最新更新，最终独立锁定了麦肯锡。

也就是说，这是AI自己选的靶子。

这件事被安全行业称为“AlphaGo时刻”，我觉得这个比喻打得非常准。AlphaGo的第37手震撼人心，不是因为它有多高超的计算力，而是因为它走出了人类棋手从未想到过的棋路，它有自己的逻辑，而这个逻辑超出了人类的经验边界。CodeWall的AI Agent也是如此，它展示出了“自主战略规划”的能力：我来评估谁值得打，我来决定从哪里下手，我来自己找路。

那它是怎么打进去的？

这里有个特别有意思的地方，和很多人想象的不一样。打穿麦肯锡这家全球最顶尖咨询公司的核心AI系统，用的不是什么神秘的黑魔法，不是科幻电影里那种炫酷的“入侵”。用的是一个已经存在了20多年的老漏洞：SQL注入。

SQL注入是什么？简单说，就是攻击者把恶意指令藏进正常的输入框里，让后台数据库误以为那是合法的操作指令，然后乖乖执行。这个漏洞古老到什么程度，任何一本网络安全入门教材的第一章都会提到它，任何一个初级开发者都知道要防。

问题在于，麦肯锡的开发团队防了常规的SQL注入，但漏掉了一个变体：他们对输入的“值”做了保护，但没有保护“字段名”。攻击者把恶意代码藏在JSON的键名里，而不是键值里，标准的安全扫描工具完全检测不到这种写法，因为扫描工具理解不了底层的业务逻辑。

怎么理解这个细节？经常看古装剧的同学可能见过这样一个镜头：对方很防备酒里有毒，结果毒发的时候，一边吐血一边仰天长叹，“你居然把毒抹在杯子里。”这个攻击的大致意思就是这样。

AI Agent发现这个漏洞的方式也没什么高科技，它不是一眼看穿的，而是通过连续15次“盲测试”，每次根据系统返回的微小错误信息差异来调整下一次尝试，就像在黑暗里摸索，每次都离正确答案近一点，直到防线彻底崩塌。

人类安全专家也可以做到这件事，但需要相当长的时间、相当深厚的经验积累。但AI的可怕之处在于：它不知道疲倦，不会分心，不会因为重复枚举第八次还没结果就想放弃，它只是一遍一遍地测。

拿到读权限之后，AI继续深入，把SQL注入和IDOR漏洞串联组合在一起，开始横向读取其他员工的搜索历史，掌握了内部人员正在推进的机密项目动向。

更关键的是，它发现数据库里还存着整个系统的“行为准则”，那些定义AI怎么工作、遵守什么规矩的核心配置文件，也在同一个数据库里。理论上，攻击者可以直接改写这些文件，让AI助手悄悄变成间谍——在生成回答时自动把敏感数据发到外部服务器，而整个过程不会触发任何代码部署流程，不会有任何审批提醒。

但另一个案例里，AI做的事情更超出人类想象。

同样是CodeWall，同样是自主攻击演习，目标换成了一家招聘平台Jack&Jill。打穿系统之后，这个AI Agent给自己配置了一个“声音”，然后主动拨通了对方AI客服助手的语音通道，开始和它实时交涉，想通过“聊天”的方式骗对方开放更高权限。

在其中一次通话里，它模仿了美国现任总统特朗普的声纹和说话语气，用权威感来对防御方AI施加压力。这一段我看了好几遍。“AI用总统的语气去说服另一个AI”，这不是电影情节，这是2026年3月实际发生的红队演习记录。CodeWall的CEO保罗·普莱斯（Paul Price）说，看到自己的AI开始对另一个AI进行这种“社会层面的心理操纵”，连他自己都觉得有点超现实。

网络攻击这件事，过去的逻辑是，人类黑客写代码、机器执行。现在的逻辑正在变成，机器自己选目标、自己找漏洞、自己决策、自己突破，必要的时候还会进行“谈判”。

当然，这两次都是受控演习。麦肯锡在收到完整的攻击链报告之后，第二天就完成了修补，客户数据没有真正外泄；Jack&Jill也在报告后迅速打上了补丁。两家公司都在悬崖边上踩了一脚，没有掉下去。但如果不是演习呢？

我知道最近同学们对AI工具的热情很高，都在冲，都在试，生怕自己落后。这种热情我完全理解，也觉得值得鼓励。我们团队内部也一直在跑各种工具，探索AI能帮上哪些忙，从写报告、做分析到剪视频，能用的地方都在用。

但麦肯锡这件事提醒了我们一点：我们在兴冲冲地把各种信息“喂”给AI的时候，一定要考虑信息的安全性。

Lilli被打穿的根本原因不是AI模型本身不安全，而是围绕AI搭建的那套应用系统，遗留了多年前就该修掉的老漏洞。像这种大型企业的AI平台是这样，消费级的AI工具同样存在类似的隐患。

所以我想跟正在积极探索AI工具的同学说几件事。

最直接的一条：区分哪些信息可以给AI，哪些不行。用AI总结会议纪要、改写文案、做行程规划，完全没问题。但公司的未公开财务数据、客户合同细节、内部战略文件，在你没有确认这个工具的数据处理方式之前，最好不要往里贴。

还有一件事很多人没注意到：给AI的权限要和它真正需要的权限匹配。现在有很多AI Agent类的工具，会申请读取你的邮件、日历、文件夹甚至摄像头。如果这个工具的核心功能只是帮你写文案，它为什么需要读你的邮件？遇到这种情况，不授权，或者只授权可控范围。

最后一点，也是最容易被忽略的：对AI输出的结果保持一点怀疑。麦肯锡事件里有一个细节，攻击者可以在不改动任何代码的情况下，直接改写AI助手的“行为准则”，让它悄悄做坏事。在你用一个AI工具用了很久之后，如果它突然开始给你一些奇怪的建议，或者推荐你去做一些以前从来不会出现的操作，停下来想想，是不是哪里不对。

当然，这不是要让大家对AI工具产生恐慌，更不是说不用。现在这个每天都有新物种诞生的时代，主动探索的人已经走在前面了，焦虑和观望都不是正确答案。

龙虾好吃，但下水之前，最好先知道水有多深。

---

再说一件咱AI学习圈的事。

今天我的OpenClaw入门实战系列课第六讲上线。这一讲我将手把手带你搭建英语私教。扔一张成绩单给它，它帮你做水平诊断、出三十天备考计划、每天自动出题批改；还能让它搭建个艾宾浩斯错题本，连续答对三次的题自动标“已掌握”。从“偶尔学两下”变成一个有计划、有追踪、有复盘的完整学习系统。

推荐你现在就点开文稿区的链接开始学习。

点此学习《3个简单任务，让OpenClaw变身英语私教》

好，今天广播就到这里。如果你觉得有帮助，欢迎分享转发给你的朋友。明天咱们接着聊AI。

> 1.CodeWall博客：
> https://codewall.ai/blog/how-we-hacked-mckinseys-ai-platform
> 2.相关报道：
> https://www.thestack.technology/mckinsey-ai-agent-hacked-lilli/

![图片](https://piccdn2.umiwi.com/uploader/image/ddarticle/2026031322/1904188133453410072/031322.png)
