Cloudflare披露，攻击者正将AI渗透测试编排框架与失窃的CI/CD长期凭据结合，用于跨云访问及后续攻击；其中一宗调查记录了一小时400次数据库转储请求。该数字不代表成功窃取次数，相关活动也未被证明由AI独立完成，调查凸显了机器身份最小权限、令牌有效期及来源限制的重要性。
Cloudflare在2026年11月13日公布的一份威胁研究中表示，攻击者正把AI渗透测试编排框架与被盗云端凭据结合使用，将一次环境失陷扩展为对其他云服务的连续访问。在其中一宗调查中，研究人员观察到攻击者新建多个Workers脚本，并在一小时内发出400次数据库转储请求。
这个数字描述的是请求，不是400次成功的数据窃取。Cloudflare没有披露这宗事件的完整损失，也没有证明所有操作都由AI独立完成。其Cloudforce One团队认为，大量活动仍受到人类操作者的轻度引导。
这份由Cloudflare及其威胁研究团队发表的报告汇集了此前八周的多宗事件响应调查。11月13日是研究公开日期，并不意味着所述入侵都发生在当天。
风险不止于扫描：失窃凭据成为跨云通道
报告称，在多起事件中，攻击者先进入一家大型云服务商上的客户环境，再转向同一客户的Cloudflare环境。调查发现了一个共同问题：持续集成与持续交付（CI/CD）流水线内使用的静态、永不过期令牌遭到窃取，而这些令牌拥有广泛的跨环境访问权限。
CI/CD系统需要自动部署代码、更新配置或调用云服务，因此通常持有机器使用的认证信息。这里的关键不是AI凭空突破了所有权限，而是攻击者能够冒用已有身份，再借助编排框架更快地寻找和调用这些身份有权访问的资源。
在报告详细描述的那宗事件中，失陷的是一个此前用于CI/CD的账户级API令牌，没有IP地址限制或速率限制。Cloudflare表示，现有证据指向第三方大型云环境很可能是最初失陷的来源；这仍是调查判断，并非已经公开完整证据链的最终结论。
研究人员随后发现，大量新建Worker脚本的名称带有ARTEX相关标记，不同名称与其执行的行为相对应。团队观察到客户Cloudflare基础设施多个部分出现每分钟超过69次请求，并记录了一小时400次数据库转储请求，还发现尝试建立持久化访问、验证其他第三方应用会话令牌的行为。
这些细节显示，风险已经延伸到取得初始访问权之后：攻击者不只是检查哪个网站存在漏洞，还在尝试利用既有权限扩大活动范围。不过，报告没有给出足以量化成功外传次数、数据规模或受害组织总数的信息，不能把请求量直接写成实际损害。
AI编排改变的是衔接速度，而不是授权边界
Cloudflare将这类工具描述为能够组织多个AI智能体、连接传统渗透测试工具，并根据环境反馈继续行动的编排系统。它们可以并行发现资产、验证线索和尝试攻击路径，减少操作者逐项安排工作的需要。
这与单次自动扫描有所不同。一次访问的结果可能成为下一步操作的输入：发现资源后继续检查权限，取得有效凭据后再尝试访问其他环境。若身份本身权限过宽，自动化就可能放大原本已经存在的配置和凭据管理问题。
但工具被设计为可自主运行，不等于具体事件已被证明全程无人参与。Cloudflare一方面强调这些框架的自主能力，另一方面明确表示，在其详细调查案例中，许多活动可能由人类轻度引导。两者不能合并成“AI独立完成整条入侵链”的结论。
AIFlux此前关于微软调查公开代码库凭据滥用的报道也涉及凭据泄露如何快速转化为云资源访问。Cloudflare此次披露的具体路径则是CI/CD长期令牌失陷后进入客户的Cloudflare环境；两份调查不能被拼接成所有受害者都经历过的同一条攻击链。
撤下原项目，没有让衍生工具消失
Cloudflare称，在报告所述的此前三天，超过50个框架家族曾尝试扫描其全球客户，相关来源IP已达数千个。其监测的AI渗透测试和漏洞利用工具日请求量，较10月1日增长超过30倍。
这些数字来自Cloudflare自身网络观察，反映的是其可见范围内的活动规模，而不是全网攻击总量、独立审计结果或入侵成功率。报告同时说明，框架IP份额并非互斥，同一IP可能运行多种工具，因此不能简单相加来计算攻击者数量。
ARTEX原作者Autumn-27在GitHub个人页上的安全声明中，以2026年10月8日为日期，宣布项目停止更新并转为闭源，不再公开发布版本或提供维护支持。声明称，工具初衷是在授权资产范围内进行安全测试，恶意使用违背了这一目的。
Cloudflare则表示，原项目撤下之后，分支和修改版继续扩散。公司认为，撤下及相关报道可能产生了推动衍生工具增长的效果，但这属于其对流量变化的解释，不能仅凭时间上的先后关系就确认因果。
对企业而言，更直接的含义是：原作者停止维护，不会让已经流出的副本自动失效，也不能代替对自身凭据、权限和外露服务的管理。
防线需要覆盖机器身份，而不只是网站入口
Cloudflare提出的防御建议包括流量控制、Web应用防火墙、异常检测、机器人防御、基于身份的访问控制、微分段，以及API结构校验和威胁情报。这些建议与其商业产品有关，应视为厂商提出的防御方案，而非已经独立证明能够阻止所有AI攻击的结论。
其中，与调查根因最直接相关的是令牌管理。Cloudflare的官方令牌限制文档说明，令牌默认可以长期有效；没有设置结束时间，就不会到期。未配置IP过滤时，任何IP都可以持有该令牌发起请求。换言之，创建令牌并不等于已经限制了其使用时间和来源。
其API令牌创建文档还说明，可以分别指定允许的资源与权限，例如只授予某一区域的DNS读取权限。对部署流水线而言，这意味着需要逐项核对它究竟需要访问哪些账户、区域和操作，而不是因为自动化方便，就默认授予广泛的编辑权限。
访问控制也不能只停留在外部入口。Cloudflare对微分段的解释是，把工作负载划入拥有独立安全策略的较小区域，以限制一次失陷向其他区域蔓延。这对应了本次调查暴露的问题：一把用于部署的“钥匙”，不应天然通向生产、测试及其他业务系统。
同时，启用检测与真正阻断请求仍是两回事。例如，Cloudflare的API结构校验文档明确指出，检测本身不会自动缓解流量，还需要通过相应规则实施处置。格式符合预期的请求，也不能仅凭格式判断其操作者是否获得业务授权。
这份调查的警示，不是每个AI扫描工具都能攻破企业，也不是400次请求就意味着400次失窃，而是长期有效、权限宽泛且缺少使用限制的机器凭据，可能让攻击者在取得初始访问后迅速扩大行动。AI编排加快了这条旧有路径，企业需要切断的仍是失窃身份与更多敏感资源之间的连接。