AI护栏未能阻止犯罪黑客

背景与总体发现

《Wired》2026年10月21日报道，CrowdStrike 研究人员周三公布 5月至8月 四组此前未报告威胁组织的成功攻击细节。四组分别使用中文、西班牙语和英语、印尼语、俄语。前两组有较成熟的 AI “harness”，后两组技术较弱但仍攻破多个目标。四组均将 AI 基础设施公开暴露在 Web 服务器上，研究者得以分析其活动与模型，主要是 Anthropic Claude 多个版本和开放权重 Deepseek 模型；它们都让攻击活动可长时间自主运行。

CrowdStrike 反对手工作高级副总裁 Adam Meyers 称，模型路由与选择很重要，因成本高且新模型常“过度”。攻击者使用开放和闭源模型，几乎所有案例都用较旧版本而非前沿模型，并利用不同模型护栏差异；他说即使同一公司模型也没有完全等效的护栏。总体看，这些攻击未用新漏洞，而是借 AI 的速度和规模，针对大量本可预防却未预防的安全卫生问题。

关键案例与手法

四组都绕过 AI 防护，常让模型相信活动合法、获授权，多用于渗透测试或安全评估。手法包括在智能体工作目录添加文件显示任务已批准、传统越狱、构造授权且无害的叙事并预先回应模型疑问。较成熟者更善于系统性包装，较弱者有时用粗暴激进提示逼迫模型接受。

• 讲中文的行为体用 ClawGod“运行时补丁”为 Claude Code 增加功能，并试图从系统提示移除 “CYBER_RISK_INSTRUCTION”（要求只参与授权安全测试、不得滥用或破坏性黑客活动）。它搭建渗透测试 harness，引导 Claude Code 侦察，并在人类选定方向后自主攻击；攻破 巴西和哥伦比亚 政府目标，还针对巴西和美国生物科技、医疗、食品饮料、零售、科技、旅游等私营组织。其主力为 Claude Opus 4.8，也用 Claude Sonnet 4.6 和 Deepseek Chat，通过中国 AI 代理访问 Claude，并设多个回退。
• 讲西班牙语和英语的行为体针对 阿根廷医疗实体，至少攻破 15 家组织，有证据显示至少从一名受害者处窃取凭证和医疗记录。它搭建类似组织自测基础设施的渗透测试 harness，使用 Claude Opus 4.5、Claude Haiku 4.5、Deepseek V4 Pro，建立由 “Supervisor” Claude Code 智能体指挥、“Executor” 智能体执行的自主攻击基础设施。
• 俄语行为体似以经济动机的 “e-crime” 为主；印尼语行为体最不成熟。二者使用更基础、公开可得的技能和 harness，但仍成功攻破目标；印尼语行为体涉及多个印尼政府域名、一个孟加拉国政府域名及一些私营目标。

Adam Meyers 称人类先初步探测，再让 AI 大规模实施黑客活动；即使具备智能体能力，仍能看到背后的人及其意图。Anthropic 未在发布前提供置评，Deepseek 未立即回应 WIRED 置评请求。