原文標題：AI used in Aur0ra ransomware testing and execution
Sophos Counter Threat Unit 10 月 29 日公布 Aur0ra 勒索軟體研究，將相關攻擊集團稱為 GOLD OGRE。研究團隊先在 2026 年 5 月發現利用 AI 協助測試端點偵測與回應產品的後滲透框架，之後觀察到部分相同基礎設施承載 Cobalt Strike，與 Aur0ra 勒索活動相連。
研究人員在 8 月下旬取得與 Cursor 相關的操作紀錄，顯示攻擊者會提供 VPN 憑證、SOCKS 連線、目標及任務，再由 AI 代理執行網域與網路探索、尋找憑證、嘗試提升權限及橫向移動。觀察到的技術包含密碼噴灑、Kerberoasting、NTLM 轉送、網路共享搜尋與備份資料盤點。
Sophos 表示，攻擊者使用 Cursor Composer，並串接 Anthropic、xAI 與 Moonshot 提供的模型。研究人員認為，攻擊者曾把入侵任務包裝成獲授權的紅隊測試或診斷活動，以迴避模型安全限制；部分環境的代理取得網域管理權限。
Sophos 的證據顯示三個受害組織後來出現在 Aur0ra 資料外洩網站，但其研究也區分自身直接觀察與第三方研究內容，並未宣稱所有測試環境都發生勒索軟體部署。建議採取抗釣魚 MFA、分割重要伺服器、隔離備份、限制網域管理權限、PAM 與應用程式控制，搭配快速調查 EDR 警報。
發生了什麼事
Sophos Counter Threat Unit 10 月 29 日公布 Aur0ra 勒索軟體研究，將相關攻擊集團稱為 GOLD OGRE。研究團隊先在 2026 年 5 月發現利用 AI 協助測試端點偵測與回應產品的後滲透框架，之後觀察到部分相同基礎設施承載 Cobalt Strike，與 Aur0ra 勒索活動相連。
為什麼重要
AI 代理使攻擊者能以較少手動操作組合既有入侵工具，進一步放大已外洩憑證與薄弱內網權限造成的風險。
影響哪些人
Windows AD、虛擬化與備份系統管理者，以及勒索軟體防禦與事件應變團隊，應檢視權限與偵測覆蓋。
已確認與未確認
已確認 Sophos 直接觀察的代理操作、工具使用與部分受害結果；各次入侵是否均由同一操作人員執行仍有研究限制。
