一、事件时间线 
2026 年 8 月 26 日 16:00–18:00（美东时间） 该时段处于业务低峰。DMIT 在此期间检测到一批特征异常的流量：规模不大，但请求构造、目标路径与后续大规模滥用流量完全一致。我们判定其为试探性流量，即攻击方在正式利用前对可用出口进行的验证与筛选。 
次日凌晨 3:00–4:00（美东时间） 网络边界出现异常流量增长，短时间峰值接近 100 Gbps。经排查确认，流量来源并非 DDoS 攻击，而是部署在客户虚拟机上的一类 SNI 代理应用程序。 
8 月 26 日至今 DMIT 已就该问题发出两次邮件通知，并对确认存在开放代理行为的实例执行了关机处理。两次通知中均提供了整改说明与工单支持渠道。仍有相当数量的实例在恢复运行后未做任何整改，缺陷原样存在，并再次被第三方利用。 
低峰试探与随后的峰值利用之间的间隔，是本次事件中最值得注意的一点。它说明攻击方并非随...