三小时。一个被盗密码。整个云环境沦陷。

Anthropic最新的威胁情报报告描述了一个案例，据称犯罪分子使用AI代理自动化了大部分网络攻击过程，从发现暴露的凭据到访问公司系统并提取数据。报告中一个特别引人注目的是其规模。据报道，攻击者：扫描了180万个Android应用，寻找暴露的凭据和密钥；使用AI辅助自动化侦察、脚本编写和数据发现；针对软件供应商以获取其客户的数据；窃取AI/API密钥，然后利用受害者的账户和计算资源进行进一步活动。在一个案例中，据报道在约34小时内收集了超过2100个登录令牌，涉及40多家公司账户。Anthropic将这种新兴方法称为“vibe hacking”，本质上是使用AI代理根据高级指令执行网络操作，而不是手动执行每一步。最大的教训并不一定是“AI很危险”，而是当攻击的部分环节可以自动化时，围绕人类速度攻击者设计的安全控制可能不够。视频深入探讨了这一事件，包括攻击者如何获得初始访问权限、获得凭据后发生了什么，以及组织可以实施的五项实用控制措施来降低此类风险。如果您对AI治理、网络安全或AI代理的安全影响感兴趣，我们YouTube频道上的最新视频涵盖了整个事件。@ Latha-ai-governance 给安全/AI治理专业人士的问题：您的组织是否真正知道每个活跃的API/AI密钥现在的位置，或者对于旧项目、应用程序、代码库和第三方系统是否仍存在不确定性？