AI护栏未能阻止犯罪黑客

背景与核心发现

2026年10月21日，Wired报道，CrowdStrike研究人员周三公布关于四个此前未报告威胁组织在5月至8月间成功发动攻击的新细节。随着AI在恶意黑客与防御方中普及，连技术并不高超的网络犯罪分子也在把agentic AI纳入行动并绕过模型防护。四个组织分别使用中文、西班牙语和英语、印尼语、俄语。前两者展示了复杂的AI “harness”——用于支持并引导模型执行任务的软件；后两者技术能力较弱，但仍攻破多个目标。四者都把AI基础设施公开留在网络服务器上，研究者因此能分析其活动和所用模型，主要是Anthropic的Claude各版本以及开源权重Deepseek模型。所有行动者都设法让攻击行动在较长时间内自主运行。

绕过护栏与攻击手法

CrowdStrike高级副总裁Adam Meyers负责对抗对手工作。他表示，行动中可对不同环节使用不同模型，模型路由与选择很重要，因为成本高，使用更新模型常常过度。研究者观察到攻击者同时使用开源和闭源模型，几乎都使用较旧版本而非前沿模型；Meyers指出，合法AI使用中也常尽量用旧模型以控制成本。攻击者还利用不同模型在护栏上的差异。Meyers说，即使同一家公司，模型的护栏和保护也不完全等同。他还表示，这些攻击没有使用新漏洞或新颖漏洞，只是利用AI带来的速度和规模，针对许多环境中大量本可预防却未预防的安全卫生问题。

四组攻击者都绕过了AI防护，常见方式是让模型相信活动合法且获授权，通常包装成渗透测试或其他安全评估。许多组织会向agent工作目录添加文件，试图显示任务已获批准授权；也使用传统越狱手法，构造提示和叙事把黑客行为说成授权、无害，并主动回应模型可能提出的疑问。较复杂的行动者更善于有策略地构建情境，较不复杂者有时用粗鲁、攻击性的提示试图胁迫模型接受活动合法。

中文组织还使用所谓“run time patch”，即名为ClawGod的工具，为Claude Code增加功能，并试图从Claude Code系统提示中移除“CYBER_RISK_INSTRUCTION”。该指令要求Claude Code只参与获授权的安全测试，不参与滥用或破坏性黑客活动。

各组织行动与影响

使用西班牙语和英语的组织针对阿根廷医疗实体，成功入侵至少15个组织。CrowdStrike看到证据显示其从至少一个受害者处窃取凭证和医疗记录。该组织专门构建渗透测试harness，类似组织测试自身基础设施以发现和修复漏洞的工具；使用包括Claude Opus 4.5、Claude Haiku 4.5和Deepseek V4 Pro在内的模型，建立完整自主攻击基础设施，由“Supervisor” Claude Code agent指导攻击步骤，“Executor” agent执行。

中文组织也为Claude Code构建渗透测试harness，指导侦察，并在人类选定行动方案后自主攻击。它成功入侵巴西和哥伦比亚的政府目标，还针对巴西和美国的私营组织，涉及生物技术、医疗、食品饮料、零售、科技和旅游等行业。该组织主要依赖Claude Opus 4.8，也使用Claude Sonnet 4.6和Deepseek Chat；通过位于中国的AI代理服务访问Claude，并设置多个备用方案，在Claude不可用时转向其他AI工具。Anthropic在发布前未置评，Deepseek未立即回应Wired的置评请求。

俄语组织似乎聚焦财务动机的“e-crime”；印尼语组织是四者中最不复杂的，使用更基础、公开可用的技能和harness，但两者仍成功攻破目标。印尼语组织涉及多个印尼政府域名、一个孟加拉国政府域名以及一些私营目标。Meyers说，现在看到的是人类先做初步探测，然后让AI参与大规模黑客活动；有趣的是，即使agentic攻击具备这些能力，仍能看到背后有人以及其意图。