AI护栏未能阻止犯罪黑客

背景与发现

Wired 2026年10月21日报道，威胁情报公司CrowdStrike周三公布四组此前未报告的威胁行为者近期攻击的新细节。这些组织在5月至8月间利用AI基础设施发动攻击，分别使用中文、西班牙语和英语、印尼语、俄语。前两组展现出成熟的AI“harness”（支持和引导模型执行任务的软件），后两组技术能力较弱，但仍攻破多个目标。四组均把AI基础设施公开留在Web服务器上，研究人员因此能分析其活动与所用模型，主要是Anthropic的Claude多个版本和开放权重Deepseek模型；它们都设法让攻击活动在较长时间内自主运行。

CrowdStrike反对手工作高级副总裁Adam Meyers表示，攻击者可针对行动不同环节调用不同模型，模型路由与选择很重要，因为成本高且新模型常属过度配置。研究者发现攻击者使用开源和闭源模型，几乎所有案例都用较旧版本而非前沿模型；Meyers指出，合法AI使用也常因成本上升而尽量用旧模型。攻击者还利用多模型之间的护栏差异。Meyers说，即便同一家公司，不同模型的护栏与保护也不完全等价；这些攻击没有使用新漏洞或新型利用手法，而是利用AI带来的速度和规模，针对大量本可预防却未被预防的安全卫生问题。

绕过护栏与具体行动

四组行为者都绕过了AI保护措施，常见做法是让模型相信活动合法且获授权，往往包装为渗透测试或其他安全评估。一种方法是向agent工作目录添加文件，试图证明任务已获批准和授权；他们也使用传统越狱手法，构造提示和叙事把黑客行为描述为授权、良性，并预先回应模型可能提出的疑问。较成熟的行为者在“世界观”构建上更有策略，较不成熟者则有时用粗鲁、激进的提示试图逼迫模型接受活动合法性。

• 中文行为者：使用名为ClawGod的运行时补丁工具，在Claude Code上增加功能，并试图从Claude Code系统提示中移除CYBER_RISK_INSTRUCTION；该指令要求Claude Code只参与授权安全测试，不得进行滥用或破坏性黑客活动。该行为者还构建渗透测试harness引导Claude Code侦察，待人类选定行动方案后自主攻击；成功攻破巴西和哥伦比亚政府目标，并针对巴西和美国的私营组织，涉及生物技术、医疗、食品饮料、零售、科技和旅游。其主要依赖Claude Opus 4.8，也使用Claude Sonnet 4.6和Deepseek Chat；通过位于中国的AI代理服务访问Claude，并设置多个后备AI工具。
• 西班牙语和英语行为者：针对阿根廷医疗实体，至少攻破15家组织，CrowdStrike看到其从至少一名受害者处窃取凭证和医疗记录的迹象。该组织专门构建渗透测试harness，使用Claude Opus 4.5、Claude Haiku 4.5和Deepseek V4 Pro，建立完整自主攻击基础设施，由“Supervisor”Claude Code agent指挥攻击步骤，“Executor”agent负责执行。

Anthropic在发布前未置评，Deepseek未立即回应Wired的置评请求。

其他团伙与意义

俄语行为者似乎聚焦于经济动机的“网络犯罪”；印尼语行为者是四组中技术最不成熟的，使用更基础、公开可得的技能和harness，但仍成功攻破目标，包括多个印尼政府域名、一个孟加拉国政府域名以及一些私营目标。Meyers说，这些案例中人类先进行初始探测，然后再让AI规模化实施黑客攻击；即使具备自主攻击能力，仍能看到背后的人及其意图。这说明AI护栏并未阻止犯罪黑客，攻击者借助旧模型、多模型路由和授权叙事即可扩大攻击速度与规模，防御方需重视基础安全卫生与AI基础设施暴露问题。