AIDEFEND in Action AIA-0109 實際事件發布於 AIA: 2026年10月26日

NadMesh：對外暴露的 AI 服務成為殭屍網路入口

奇安信 XLab 發布的 NadMesh 分析，描述一個以 Go 撰寫、鎖定對外暴露 AI 與自動化服務的殭屍網路。它的控制端包含 MCP 工具呼叫，以及蒐集雲端、Kubernetes 與 AI 憑證的功能。來源記錄了實際惡意程式活動與鎖定目標，但沒有證明所有控制端功能都曾在同一受害者身上成功。防禦重點是對外服務入口與工具執行權限。

Authentication BypassIdentity & AccessTool AuthorizationAI InfrastructureMCP Security

4 項對應的 AIDEFEND 防禦手法

來源: NadMesh Botnet Analysis: A Product-Grade Threat for the AI Service Era

作者: QiAnXin XLab

原文發布: 2026年7月17日

威脅分析

鎖定已對外開放的服務：殭屍網路會尋找 AI 與自動化服務，並具備透過 MCP tools/call 呼叫命令工具的路徑。若管理或工具介面可從網際網路直接存取，應用程式原本的權限就可能被用來操作主機。
不要把所有功能拼成一次成功入侵：來源涵蓋目標搜尋、控制端功能與憑證蒐集，沒有建立跨越所有點名產品、依序成功的單一攻擊流程。
入口驗證與能力限制各自負責不同問題：身分驗證排除未登入呼叫者；移除任意命令工具則限制合法或已遭入侵呼叫者後續能做的事。若應用程式另有漏洞，仍須直接修補。

適用的 4 項 AIDEFEND 防禦手法

AID-H-004.002

Service & API Authentication

高

由部署方管理的 AI／MCP 服務，應在無法繞過的 API 閘道驗證工作負載 OIDC 的簽章、發行方、受眾、有效期限與必要範圍，再檢查服務授權，並讓後端只能經過該檢查點存取。逐一測試對外路由及直接連到原站的路徑。這能減少未驗證來源使用暴露服務的機會，但不能修補解析器漏洞，也不代表合法呼叫者可以執行任意命令。

AID-H-034.003

Server-Side Tool Invocation Validation & Object-Level Authorization

高

對部署方自己營運的 MCP 命令工具，移除任意 shell 執行，只接受固定命令 ID 與不暴露路徑的工作區代號，拒絕呼叫者自行指定執行檔、腳本與工作目錄。處理器必須驗證 H-018.009 檔案系統代理提供的簽署操作證據；檔案存取限制由外部代理負責，本項 MCP 控制負責請求驗證與拒絕繞過。獨立測試未核准命令、參數、檔案存取及子程序確實被拒絕。這項措施作用在對外提供 execute_command 的服務，不是停用攻擊者的控制端；若產品沒有可強制執行的整合介面，就要替換危險工具。

AID-I-002.001

Internal AI Network Segmentation

高

部署管理者可將 AI 管理介面與 MCP 監聽埠放在私有網段，透過已驗證身分的閘道提供服務，網路規則只允許該閘道與明確核准的工作負載連入。移除公開負載平衡器、直接連原站、IPv6 及其他連接埠的繞過路徑，再從不可信網路測試。這能在應用程式登入檢查之外，切斷 NadMesh 尋找的直接暴露入口；刻意公開的路由，仍需要自己的漏洞與授權防護。

AID-H-034.001

MCP Server Deployment Profile, Transport & Exposure Baseline

高

對自己營運的 MCP 命令服務，強制使用非 root、唯讀、移除多餘 Linux capabilities 的執行環境，不提供無關的雲端、Kubernetes、AI 憑證，也不掛載主機檔案或管理 socket，對外連線另由外部系統限制。讀回實際設定，測試檔案、程序與連線確實受限。這能限制來源記錄的命令與憑證蒐集能力；前提是團隊能管理該服務的部署，而不是修改攻擊者控制端，也不能因此把任意命令視為安全。

身為資安防禦者，我們應該這麼做

找出組織真正對外開放的 AI 服務監聽埠、反向代理、管理路由與 MCP 端點。關閉不必要入口，並測試能否繞過代理直接連到後端。
在服務端驗證身分與操作授權。以範圍有限的工具取代任意 shell，並讓服務身分無法讀取無關的 AI、雲端或 Kubernetes 秘密值。
發現殭屍網路活動時，先隔離服務與保存證據，再還原可信部署。盤點可能暴露的憑證，向各發行方撤銷；沒有公開的完整漏洞利用紀錄，不代表服務原本安全。
分別驗證只有私有閘道能連到後端，以及 MCP 服務真正的執行權限；一個驗證設定或容器設定檔，不能同時證明兩者都生效。

結論

AIDEFEND 將兩個實際落點分開：先檢查誰能進入 AI 服務，再限制服務可以執行哪些工具。這些控制能減少 NadMesh 尋找的暴露入口與入侵後權限，也不會把來源列出的每項產品或功能都說成已成功遭到利用。

最後更新: 2026年10月26日