犯罪黑客绕过 AI 防护，利用智能体攻击多个组织
AI Guardrails Aren’t Stopping Criminal Hackers
CrowdStrike 研究人员称，四个此前未披露的威胁组织在近期攻击中使用智能体 AI，并绕过模型防护，成功入侵多个目标。攻击者主要使用旧版 Claude 和 DeepSeek 模型，通过伪装成获授权的安全测试、调整提示词等方式规避限制；其中西班牙语和英语组织至少入侵了 15 家阿根廷机构。
CrowdStrike 研究揭示了攻击者绕过模型防护的常见做法，也显示较旧模型与基础工具已能支持持续、规模化的攻击。
随着 AI 的应用在恶意黑客和防御人员中不断普及，即便是相对不老练的网络犯罪分子，也开始在其行动中使用智能体 AI，并绕过模型的安全防护。根据周三公布的最新详情，四个不同威胁组织近期成功发起了攻击。
威胁情报公司 CrowdStrike 的研究人员调查了四个此前未被报道的组织在 5 月至 8 月期间实施攻击时所依赖的 AI 基础设施。这四个组织中，一个使用中文，一个使用西班牙语和英语，一个使用印尼语，还有一个使用俄语。前两个组织展示了复杂的 AI“工具链”，即支持并引导模型执行任务的软件。研究人员发现，后两个组织的技术能力较弱，但仍成功入侵了多个目标。所有组织都将其 AI 基础设施开放地部署在网络服务器上，使研究人员得以分析其活动和所用模型——这些模型主要是Anthropic 的 Claude各个版本，以及开源权重的 Deepseek 模型各个版本。所有组织都想出办法，让其行动能够在相对较长的时间内自主运行。
CrowdStrike 负责对抗对手工作的高级副总裁 Adam Meyers 表示：“你可以针对行动中的不同环节使用不同模型。模型路由和选择非常重要，因为成本很高，而且很多时候，使用较新的模型会显得大材小用。”研究人员发现，攻击者使用了开源权重和闭源权重模型；几乎在所有情况下，他们使用的都是旧版本，而非前沿模型。Meyers 指出，在合法的 AI 应用中，尽可能多地使用旧模型也很常见，因为成本会不断累积。
攻击者还使用多个模型，利用各模型安全防护机制的差异；这些机制旨在防止人们利用 AI 发起数字攻击。
Meyers 表示：“即便是同一家公司的模型，其安全防护和保护措施也并非完全相同。”谈及这些黑客行动整体的复杂程度时，他补充道：“这些攻击并未使用新的漏洞利用手段或新型漏洞。它们真正利用的，只是 AI 在执行这些行动时所能提供的速度和规模，攻击的目标是许多环境中普遍存在的大量安全卫生问题——这些问题本可以避免，却没有得到防范。”
研究人员发现，四个威胁组织都绕过了 AI 安全防护，通常是说服模型相信相关活动完全合法且获得授权，常见说法是进行渗透测试或其他安全评估。许多组织采用的一种方法，是向智能体的工作目录中添加文件，试图证明相关任务已获批准和授权。攻击者还使用了传统的越狱方法，通过设计提示词和叙事，将黑客行为描述为已获授权且无害，并主动回应模型可能提出的问题或疑虑。较为复杂的组织通常更善于精心构建情境，而技术能力较弱的组织有时则会采用更粗暴、更强硬的提示词，试图胁迫模型接受相关活动是合法的。
这名讲中文的攻击者还使用了一种称为“运行时补丁”的方法，在本例中使用的工具名为 ClawGod。该工具在 Claude Code 的基础上添加功能，并试图从 Claude Code 的系统提示中移除“CYBER_RISK_INSTRUCTION”指令。该指令要求 Claude Code 只参与经授权的安全测试，不得从事滥用性或破坏性黑客活动。
这名使用西班牙语和英语的攻击者以阿根廷的医疗机构为目标，成功入侵了至少 15 家组织。CrowdStrike 研究人员发现，有证据表明，该攻击者从至少一名受害者那里窃取了凭证和医疗记录。该攻击者专门构建了一套渗透测试工具框架，类似组织用来测试自身基础设施的工具，以发现并修复漏洞。该组织使用了 Claude Opus 4.5、Claude Haiku 4.5 和 Deepseek V4 Pro 等模型，搭建了一套完整的自主攻击基础设施，其中包括一个负责指挥攻击步骤的“Supervisor”Claude Code 智能体，以及一个负责执行这些步骤的“Executor”智能体。
这名使用中文的攻击者还构建了渗透测试工具框架，引导 Claude Code 进行侦察；待人类选定行动方案后，再自主发动攻击。研究人员发现，该攻击者成功入侵了巴西和哥伦比亚的政府目标，也以巴西和美国的私营机构为目标，涉及生物技术、医疗保健、食品饮料、零售、科技和旅游等多个行业。
研究人员称，这名讲中文的攻击者主要依赖 Claude Opus 4.8，但也使用了 Claude Sonnet 4.6 和 Deepseek Chat 等其他模型。该攻击者通过一家位于中国的 AI 代理服务访问 Claude，同时设置了多个备用方案；如果无法通过代理使用 Claude，就改用其他 AI 工具。
Anthropic 在本文发表前未予置评，Deepseek 则未立即回应 WIRED 的置评请求。
研究人员称，讲俄语的攻击者似乎专注于以经济利益为目的的“电子犯罪”；讲印尼语的攻击者则是四者中技术最不成熟的一个。这两名攻击者都使用了较基础、公开可用的技能和工具框架来发动攻击，但仍成功入侵了目标。其中，讲印尼语的攻击者入侵了多个印度尼西亚政府域名、一个孟加拉国政府域名以及一些私营部门目标。
CrowdStrike 的 Meyers 表示：“我们看到，在这些情况下，人类会先进行一些初步探查，然后利用 AI 大规模实施黑客攻击。我觉得很有意思的是，即便在具备所有这些能力的智能体攻击中，我们仍然能看到幕后有人，也能看出他们在打什么算盘。”
来源：Wired · AI · wired.com