随着AI在恶意黑客和防御者之间的采用不断扩大，即使是相对不复杂的网络犯罪分子也开始将自主AI纳入他们的活动，并绕过模型的保障措施，最新的细节周三公布，涉及四个不同的威胁团体最近成功的攻击。来自威胁情报公司CrowdStrike的研究人员查看了2023年5月至8月之间由四个之前未报告的团体实施的攻击所支持的AI基础设施，其中一个使用中文，另一个使用西班牙语和英语，第三个使用印度尼西亚语，最后一个使用俄语。前两个团体展现了复杂的AI“工具”，即支持和指导模型执行任务的软件。研究人员发现后两个团体在技术能力方面较为薄弱，但仍能够攻击多个目标。所有组织都将其AI基础设施开放地托管在网络服务器上，使研究人员可以分析它们的活动及所使用的模型——主要是Anthropic的Claude的版本以及开源Deepseek模型的版本。所有参与者都设计了能够让其行动在相对较长时间内自主运行的方法。CrowdStrike的对抗敌对事务高级副总裁亚当·迈耶斯（Adam Meyers）表示：“你可以利用不同的模型来处理操作中的不同方面。模型的路由和选择非常重要，因为使用更新的模型成本高，而且很多时候过于复杂。”研究人员观察到攻击者使用了开放和闭合权重的模型；几乎在所有情况下，他们使用的是老旧版本，而不是前沿模型。迈耶斯指出，尽量使用旧模型在合法的AI使用中也很常见，因为成本不断增加。攻击者还利用多个模型来利用设计用以防止人们使用AI进行数字攻击的护栏之间的差异。迈耶斯表示：“不同模型并不是都具备等同的护栏和保护，甚至来自同一家公司。”关于黑客活动的复杂性，他补充道：“这些攻击并没有使用新漏洞或新发现的脆弱性。他们实际上只是利用了AI在执行这些针对大量安全卫生问题的操作时所能提供的速度和数量——这些本可以防止但没有被防止的事情。”研究人员发现所有四个威胁行为者都绕过了AI的保障，通常是通过说服模型认为活动是完全合法和授权的，通常是用于渗透测试或其他安全评估。许多团体使用的一种方法涉及将文件添加到代理的工作目录，以试图表明这些任务是被批准和授权的。攻击者还使用了传统的越狱方法，设计提示和叙事将他们的黑客活动框架为被授权和良性的，并主动解决模型可能提出的潜在问题或担忧。更复杂的行为者通常在构建世界观方面更具战略性，而较不复杂的行为者有时则诉诸于更粗糙和激进的提示，试图强迫模型接受该活动是合法的。使用中文的行为者还使用了称为“运行时补丁”的工具，即ClawGod，向Claude Code添加功能并试图从Claude Code系统提示中删除“CYBER_RISK_INSTRUCTION”，这是一个指令，指示Claude Code仅参与被授权的安全测试，而不是滥用或破坏性黑客。使用西班牙语和英语的行为者针对阿根廷的医疗实体，成功入侵至少15个组织。CrowdStrike的研究人员看到证据表明该行为者从至少一个受害者那里窃取了凭证和医疗记录。该行为者特别构建了一个渗透测试工具，这是组织用于测试自身基础设施以查找和修补脆弱性的工具。该团体使用的模型包括Claude Opus 4.5、Claude Haiku 4.5和Deepseek V4 Pro，建立了一个完整的自主攻击基础设施，其中包括一个“监督者”Claude Code代理来指导攻击步骤和一个“执行者”代理来执行这些步骤。使用中文的攻击者还构建了渗透测试工具，以指导Claude Code进行侦察，当人类选择一个行动方向后则自主发起攻击。研究人员发现该行为者成功入侵了巴西和哥伦比亚的政府目标，并在巴西和美国的多个行业，包括生物技术、医疗保健、食品和饮料、零售、科技和旅游等私营组织中也进行了攻击。研究人员表示，使用中文的行为者主要依赖Claude Opus 4.8，但也使用包括Claude Sonnet 4.6和Deepseek Chat在内的其他模型。该行为者通过AI代理服务访问Claude。