AI安全护栏未能阻止犯罪黑客

# AI 安全护栏挡不住犯罪黑客 来源：https://www.wired.com/story/ai-guardrails-arent-stopping-criminal-hackers/ 随着 AI 在恶意攻击者和防御方之间不断普及（https://www.wired.com/story/kernel-panic-ai-vulnerability-explosion/），即使是技术相对粗糙的网络罪犯也开始在攻击行动中引入智能体 AI（https://www.wired.com/story/ai-agents-are-about-to-flood-the-workforce-no-ones-ready-for-it/），并成功绕过模型安全机制。这是根据 CrowdStrike 周三发布的一份新报告得出的结论，该报告详细披露了四个不同威胁组织近期成功实施的攻击（https://www.crowdstrike.com/en-us/blog/crowdstrike-uncovers-new-agentic-ai-campaigns/）。 威胁情报公司 CrowdStrike 的研究人员分析了支撑四组此前未被记录的攻击者在五月至八月间实施攻击的 AI 基础设施——其中一组使用中文，一组使用西班牙语和英语，一组使用印尼语，另一组使用俄语。前两组展现出了较为成熟的 AI"框架"（即支持和引导模型执行任务的软件）。研究人员发现，后两组技术能力较弱，但仍然成功攻陷了多个目标。所有攻击者都将其 AI 基础设施公开部署在 Web 服务器上，这使得研究人员得以分析其活动方式以及所使用的模型——主要为 Anthropic Claude 的各个版本以及开源权重 DeepSeek 模型的不同版本。所有攻击者都设计了方法，使其攻击行动能够在较长时间内自主运行。 CrowdStrike 对抗威胁工作高级副总裁 Adam Meyers 表示："你可以在行动的不同环节使用不同的模型。模型路由和选择非常重要，因为使用更新的模型成本很高，而且很多时候都是大材小用。"研究人员观察到，攻击者同时使用了开源权重和闭源权重模型；在几乎所有情况下，他们使用的都是较旧的版本，而非前沿模型。Meyers 指出，在实际的 AI 使用中，尽可能使用旧模型也是很常见的做法，因为成本会不断攀升。 攻击者还利用多个模型之间的差异来规避旨在防止人们使用 AI 实施数字攻击的安全护栏。 Meyers 表示："即使是同一家公司开发的不同模型，其安全护栏和保护机制也不完全相同。"谈到这些黑客攻击行动的整体水平，他补充道："这些攻击并没有使用新的漏洞利用或新型漏洞。它们实际上只是利用了 AI 在执行大规模操作时的速度和数量优势，针对的是许多环境中普遍存在的安全卫生问题——那些本来可以避免却未能避免的问题。" 研究人员发现，所有四个威胁组织都成功绕过了 AI 安全机制，常用手段是让模型相信这些活动是合法且经过授权的，通常伪装成渗透测试或其他安全评估。许多组织采用的一种方法是在智能体的工作目录中添加文件，试图以此证明任务已经获得批准和授权。攻击者还使用了传统的越狱手段（https://www.wired.com/story/jailbreaking-ai-models-google-anthropic-openai-spacexai/），精心构造提示词和叙述框架，将黑客行为包装成经过授权的合法操作，并预先回应模型可能提出的疑问或顾虑。技术更成熟的攻击者在构建虚拟场景时更具策略性，而技术较弱的攻击者有时则采用更粗暴激进的提示词，试图强迫模型接受这些活动的合法性。 使用中文的攻击者还使用了一种称为"运行时补丁"的手段，具体来说是一个名为 ClawGod 的工具，在 Claude Code 之上添加额外功能，并试图从 Claude Code 的系统提示词中移除"CYBER_RISK_INSTRUCTION"（网络安全风险指令）——该指令要求 Claude Code 仅参与经过授权的安全测试，不得进行滥用或破坏性黑客活动。 使用西班牙语和英语的攻击者针对阿根廷医疗机构实施攻击，成功攻陷了至少 15 个组织。CrowdStrike 研究人员发现证据表明，该攻击者至少从其中一个受害目标窃取了凭据和医疗记录。该攻击者专门构建了一个渗透测试框架——即组织通常用于测试自身基础设施、发现并修复漏洞所用的工具。利用包括 Claude Opus 4.5、Claude Haiku 4.5 和 DeepSeek V4 Pro 在内的多个模型，该组织搭建了一套完整的自主攻击基础设施，其中由一个"监督者"Claude Code 智能体负责指挥攻击步骤，由一个"执行者"智能体负责具体实施。 使用中文的攻击者同样构建了渗透测试框架来引导 Claude Code 进行侦察，并在人工选定攻击方案后自主发起攻击。研究人员发现，该攻击者成功攻陷了巴西和哥伦比亚的政府目标，还针对巴西和美国的多个私营组织展开了攻击，涉及行业包括生物技术、医疗保健、食品饮料、零售、技术和旅游。 据研究人员介绍，使用中文的攻击者主要依赖 Claude Opus 4.8，但也使用了包括 Claude Sonnet 4.6 和 DeepSeek Chat 在内的其他模型。该攻击者通过一家中国的 AI 代理服务访问 Claude，同时设置了多个备用方案，以便在代理无法提供 Claude 时切换到其他 AI 工具。 Anthropic 在本文发表前未提供评论，DeepSeek 也未立即回复 WIRED 的置评请求。 研究人员表示，使用俄语的攻击者（似乎主要以经济利益为导向进行"电子犯罪"）以及使用印尼语的攻击者（四者中技术水平最低的）都使用了更基础的、公开可用的技能和框架来实施攻击，但两者仍然成功攻陷了目标。就使用印尼语的攻击者而言，这包括多个印尼政府域名、一个孟加拉国政府域名以及一些私营部门的目标。 CrowdStrike 的 Meyers 表示："我们看到的情况是，人类先进行一些初步侦察，然后再利用 AI 进行大规模黑客攻击。我认为很有趣的是，即使在拥有所有这些能力的智能体攻击中，我们仍然可以看到背后有人类在操纵，以及他们在做什么。"