过去，黑客最爱偷的是数据库和用户密码。但现在，情况变了。随着大模型和AI应用的爆发，AI服务器上跑着的东西，比传统数据“值钱”得多。

想一想，一台AI服务器里有什么？训练好的模型权重（可能价值数百万美元）、海量训练数据（可能包含用户隐私）、GPU算力资源（黑产挖矿的“硬通货”），还有API密钥和云凭证——拿到这些，等于拿到了通往企业核心系统的钥匙。

更麻烦的是，很多AI服务器为了追求性能，安全配置往往被“简化”：默认密码没改、SSH端口直接暴露公网、漏洞补丁滞后。攻击者用爆破工具跑一遍常见弱口令，就能轻松进门。

这次攻击中，攻击者的手法并不复杂，但非常“高效”。我们可以把它拆成三步：

所谓反弹shell，可以理解为：服务器本来在“家里”待着，黑客敲不开门，就骗服务器自己“跑出来”找黑客。这样一来，防火墙形同虚设。

而SNOWLIGHT脚本的作用，是在Linux系统里“安家”——它可能窃取数据、挖矿、或者把服务器变成跳板，继续攻击内网其他机器。

简报提到，受影响的SCRM软件主要用于跨境电商，BitBrowser也多为电商客户使用。这说明攻击者的目标非常明确：不是炫技，而是赚钱。

跨境电商手里有什么？客户订单数据、支付信息、店铺账号、广告投放策略——这些在黑市上都能快速变现。更关键的是，很多中小电商企业的安全投入有限，防护薄弱，攻击“性价比”极高。

从攻击链来看，这是一次典型的经济动机驱动的供应链攻击：先攻破SCRM或浏览器工具，再横向渗透到电商客户的AI服务器，最终窃取数据或算力。