AI防护栏挡不住黑客犯罪

安全护栏没能拦住网络犯罪分子。根据CrowdStrike周三发布的最新研究细节，随着AI在恶意黑客和防御方之间的普及，即便是技术并不高超的网络犯罪分子，也开始把具备自主执行能力的AI代理（agentic AI）纳入攻击流程，并成功绕过了模型的安全防护机制。 这轮研究覆盖了2025年5月至8月间的四起攻击活动，分别来自四个此前未被公开报道的威胁组织：一个使用中文，一个使用西班牙语和英语，一个使用印尼语，一个使用俄语。研究人员发现，前两个组织展现出相当成熟的AI“挂载框架”（harness，即支撑并引导模型执行任务的软件层），后两个组织技术水平较低，但同样成功入侵了多个目标。四个组织都将自己的AI基础设施直接暴露在公网服务器上，这让研究人员得以分析它们的活动方式以及所使用的模型——主要是Anthropic旗下Claude的多个版本，以及开源权重的DeepSeek模型。所有攻击者都想方设法让攻击活动能够长时间自主运行。 CrowdStrike负责对抗对手工作的高级副总裁Adam Meyers表示，攻击者会根据任务的不同环节调用不同模型，“模型路由和选择非常重要，因为成本很高，而且很多时候用最新模型属于杀鸡用牛刀”。研究人员观察到，攻击者同时使用开源和闭源模型，几乎在所有情况下用的都是较旧版本，而非前沿模型。Meyers指出，在合法的AI使用场景中，尽量用旧模型完成任务同样很常见，原因就是成本。攻击者还利用多家公司模型在安全护栏上的差异，通过多模型组合来规避限制。“即便出自同一家公司，不同模型的安全护栏和防护也并不等价，”Meyers说。他补充道，从整体来看，这些攻击“并没有使用新的漏洞利用手法或新型漏洞，它们真正利用的是AI带来的速度和规模——针对大量环境中本可预防却未被预防的基础安全卫生问题”。 四个威胁组织都绕过了AI安全防护，常见手法是说服模型相信相关活动是合法且经过授权的，通常包装成渗透测试或其他安全评估。许多组织采用的一种方法是在AI代理的工作目录中添加文件，试图证明任务已获批准和授权。攻击者还使用了传统的“越狱”手法，精心构造提示词和叙事，把黑客行为描述为经过授权的良性活动，并主动回应模型可能提出的疑问或担忧。技术更成熟的组织在构建这套“情境世界”时更有策略性，技术较弱的组织有时则 resort 于更粗糙、更具攻击性的提示词，试图逼迫模型接受活动的合法性。使用中文的组织还使用了所谓的“运行时补丁”，具体是一个名为ClawGod的工具，在Claude Code之上添加功能，并试图从Claude Code的系统提示词中移除“CYBER_RISK_INSTRUCTION”指令——该指令要求Claude Code只参与经过授权的安全测试，不得从事滥用性或破坏性黑客行为。使用西班牙语和英语的组织针对阿根廷的医疗健康机构，成功入侵了至少15家组织。CrowdStrike研究人员发现证据表明，该组织至少从其中一名受害者处窃取了凭证和医疗记录。该组织还专门构建了一套渗透测试挂载框架。