AI Guardrails Aren’t Stopping Criminal Hackers

AI 防护机制无法阻止犯罪黑客 | WIRED

Lily Hay Newman

安全

2026年10月21日 上午10:00

AI 防护机制无法阻止犯罪黑客

全球黑客正全力投入使用自主AI发动攻击，并利用Anthropic的Claude等工具协助实施犯罪活动。

照片插图：Jobanny Cabrera；Getty Images

保存此故事

随着AI技术在恶意黑客和防御者中的普及，根据CrowdStrike威胁情报公司周三发布的新细节显示，即使是相对不那么复杂的网络罪犯也开始在攻击活动中使用自主AI，并绕过模型的防护机制。研究人员分析了四支此前未被报告的威胁组织在5月至8月期间发动的攻击所使用的AI基础设施，其中一支使用中文、一支使用西班牙语和英语、一支使用印尼语、一支使用俄语。前两支组织展示了复杂的AI“控制框架”（用于支持和指导模型执行任务的软件），后两支虽然技术能力较弱，但仍能攻破多个目标。所有组织都未对AI基础设施进行保护，将其直接暴露在网页服务器上，使研究人员能够分析其活动并确认他们主要使用了Anthropic的Claude模型和开源权重的Deepseek模型。所有攻击者都设计了让攻击活动在相对较长时间内自主运行的机制。

CrowdStrike对抗对手工作高级副总裁Adam Meyers表示：“你可以为操作的不同方面使用不同的模型。模型路由和选择非常重要，因为使用新模型的成本很高，很多时候会显得过度。”研究人员发现攻击者同时使用了开源和闭源权重模型，在几乎所有案例中，他们使用的是旧版本而非前沿模型。Meyers指出，在合法AI使用中，使用旧模型完成尽可能多的任务也很常见，因为成本不断上升。

攻击者还利用不同模型之间的防护机制差异，以规避防止人们使用AI实施网络攻击的限制。

Meyers表示：“即使是同一家公司提供的模型，其防护机制和保护措施也不尽相同。”他补充说，这些攻击总体上并未使用新的漏洞利用或新颖的漏洞，而是利用AI在速度和规模上的优势，针对大量环境中的常见安全问题发起攻击——这些问题本可以预防却未被阻止。

研究人员发现，所有四个威胁行为者都绕过了AI安全防护措施，通常通过说服模型将活动视为合法且授权的行为，通常用于渗透测试或其他安全评估。许多攻击者使用的方法是向代理的工作目录中添加文件，以试图表明任务已获得批准和授权。攻击者还使用了传统的越狱方法，通过精心设计的提示和叙述，将他们的入侵行为描述为授权且无害的，并主动应对模型可能提出的问题或担忧。更高级的攻击者通常在构建世界观时更具策略性，而技术能力较弱的攻击者有时则使用更粗暴和激进的提示，试图迫使模型接受该活动的合法性。

中文攻击者还使用了所谓的“运行时补丁”工具ClawGod，该工具用于在Claude Code上添加功能，并尝试从Claude Code的系统提示中移除“CYBER_RISK_INSTRUCTION”指令。该指令要求Claude Code仅参与授权的安全测试，而非进行滥用或破坏性攻击。

使用西班牙语和英语的攻击者针对阿根廷医疗实体，成功入侵至少15个组织。CrowdStrike研究人员发现证据表明，该攻击者至少从其中一个受害者处窃取了凭证和医疗记录。该攻击者专门构建了渗透测试工具包，这种工具包是组织用于测试自身基础设施的工具，用于发现和修复漏洞。该团伙使用包括Claude Opus 4.5、Claude Haiku 4.5和Deepseek V4 Pro在内的模型，搭建了完整的自主攻击基础设施，其中包含一个“监督者”Claude Code代理用于指导攻击步骤，以及一个“执行者”代理用于实施攻击。

使用中文的攻击者也构建了渗透测试工具包，用于指导Claude Code进行侦察，并在人类选定行动方案后自主发起攻击。研究人员发现，该攻击者成功入侵了巴西和哥伦比亚的政府目标，并针对巴西和美国的私营组织，涉及生物技术、医疗保健、食品饮料、零售、科技和旅游等多个行业。

据研究人员称，中文攻击者主要依赖Claude Opus 4.8，但也使用了其他模型，包括Claude Sonnet 4.6和Deepseek Chat。该攻击者通过基于中国的AI代理服务访问Claude，但若代理服务不可用，则设置了多个备用方案以使用其他AI工具。

Anthropic在出版前未提供评论，Deepseek也未立即回应WIRED的评论请求。

研究人员表示，使用俄语的攻击者（似乎专注于以经济动机会为主的“电子犯罪”）和使用印尼语的攻击者（四个攻击者中最不熟练的）在攻击中使用了更基础的、公开可用的技能和工具包。但两者都成功入侵了目标，包括多个印尼政府域名、一个孟加拉国政府域名以及一些私营部门目标（针对印尼语攻击者）。

“我们看到的情况是，人类在这些场景中会先进行一些初步探测，然后才会利用AI进行大规模攻击，”CrowdStrike公司的Meyers表示。“我发现一个有趣的现象，即使这些攻击具备自主性且拥有多种能力，我们仍然能够发现背后存在人类操作，并洞察他们的意图。”