黑鸟 1小时前 · 2026-09-13 02:25:31 · 3 阅读

失控的大模型:AI被武器化的真实网络行动案例合集

生成式大模型正在快速改变威胁行为体的行动模式。过去复杂的网络入侵、舆论操纵、监控侦察、武器研发等高门槛工作，往往需要成建制专业团队投入大量人力物力才能落地；现如今，威胁行为体借助大模型能力，显著压低技术门槛，提升行动的速度、规模与覆盖深度。

威胁行为体不再只是简单利用大模型生成钓鱼内容、编写简单恶意脚本，而是逐步将大模型嵌入完整攻击工作流，向智能体自动化作业模式转型。从侦察探测、工具开发、执行攻击，到后期的数据处理、规避防御、成果变现，大模型贯穿攻击全生命周期。

各类行为主体，包含有国家背景的行动力量、牟利犯罪团伙、商业间谍服务商、政治动机个体等，都在利用大模型开展各类恶意活动，攻击对象覆盖政府机构、军工企业、商业公司、普通民众，风险横跨网络作战、舆论影响、监控侦察、诈骗欺诈、生物研究滥用、常规武器开发、模型知识产权窃取多个领域。境外安全厂商在实际观测中捕捉到大量真实恶意行动。

现在的进攻性AI还加入了uplift概念，说白了就是AI到底给攻击者加了多少分，AI在场和不在场相比造成了多大额外危害，可从三个维度看这件事：速度（speed）、规模（scale）和深度（depth），看一个行为体用上AI之后，这三样各自被拉抬了多少。

很多人一提到AI滥用，第一反应是AI批量写漏洞利用代码，这确实危险，但报告认为更现实的风险贯穿整条网络杀伤链（cyber kill chain），对手能用更少的资源，在更大、更深的攻击面上跑得更快。

这里面有两个正在发生的转变。

第一个转变是，复杂攻击不再需要复杂攻击者，AI模型自带的网络安全能力，把过去挡在国家支持级行动和单人黑客之间的人力与工具鸿沟直接抹掉了，下面要讲的案例里，一个偷了API key的网络行动主义者、几拨各干各的图财团伙、还有一个国家关联的间谍操作员，全都独立维持着多受害者行动，而同样的活放在一年前，都得靠一支训练有素的团队才能干下来。

对威胁情报分析员来说，sophistication（复杂度）已经不再是判断幕后是谁的可靠信号，进攻行动的每一层，从侦察、工具开发到数据处理和利用，都被AI抬升了一个档次。

第二个转变是，AI在网络行动里的角色越来越自主，报告里大多数行动不是人问一句AI答一句的聊天机器人玩法，而是多智能体框架直接跑侦察、利用和数据渗出，人还留在回路里，但做的事主要是定攻击目标和审查偷出来的数据。

攻击者方法论正在从被动的、盯着终端的infostealer（信息窃取器）转向进攻性的智能体收割，AI代理自主研究漏洞、扫描服务端基础设施、执行定向利用，把端到端的后渗透流水线自动化，人工干预降到最低。

这种转变被称为攻击者方法论的关键演进。

6 小时：一场智能体驱动的凭证收割

受经济利益驱动的攻击者攻陷组织云基础设施，部署自主多代理攻击框架，依托预配置 markdown 操作手册、代理指令完成规划、构建、执行全流程；

AI 自主管理漏洞扫描流水线、故障排错、IP 轮换，全程几乎无需人工介入，利用受害方云合法 IP 掩盖攻击流量，在短短 6 小时完成数千第三方凭证的收割，把过去需要数周筹备的攻击压缩到一个夜班。

攻击者遗留基础设施中存在名为 Recon 的自动化侦察与凭证管理框架，包含智能体配置、知识库文件，框架前端仪表盘用于管理 23800 + 条窃取的各类密钥、API 密钥。这是智能体作为自动攻击机的典型现实样本，多个国家级行为体均表现出对开发进攻性 AI 智能体工具的浓厚兴趣。

软件供应链：AI 既是赃物，也是弹药

被盗 API Key、会话令牌已经成为黑产重点掠夺目标。攻击者获取 AI 凭证可以同时获得赃物变卖收益、盗用受害者算力、借合法身份掩盖自身行动三重收益。大量恶意行为体伪装成 AI 中介服务商，搭建钓鱼网站，分发伪装成 AI 客户端的恶意桌面程序，该凭证收割程序会持续监控设备，不断窃取新产生的密钥，将受害设备变为持续产出凭证的来源。

随着大模型大量集成进生产环境，AI 软件生态成为新攻击面。MCP 服务器、向量数据库、推理托管引擎等 AI 相关组件大量涌现；AI 辅助编码带来效率提升的同时，开发者对第三方依赖包审查力度下降，催生多起软件供应链事件。

UNC6780（TeamPCP）威胁行为体是该领域代表性团伙，自 2026 年 3 月起对 PyPI、npm、Docker Hub 实施大规模供应链攻击。团伙核心恶意软件DUSTMAKER专门针对 AI 编码助手做定向设计：可识别 CI/CD 环境，从进程内存提取 OIDC 令牌，生成带有 SLSA Build 3 有效签名的恶意包，绕过 AI 编码代理的信任检查；将恶意文件投放至.claude/、.vscode/等 AI 工具、IDE 读取的隐藏目录，在打开工作区时自动执行实现持久化；伪造名为 Copilot Setup 的流水线任务窃取密钥，并且删除执行日志消除痕迹；还会在恶意脚本头部嵌入极端话题注释，利用安全策略拒答逻辑，躲避 LLM 安全扫描器对恶意代码的检测。

软件供应链攻击之王TeamPCP落网记

TeamPCP：正在以前所未有的规模污染开源代码的黑客组织

专有 AI 资产入侵事件也持续增长，攻击者入侵企业之后窃取模型、源代码、提示词、密钥用于勒索，覆盖医疗、媒体、AI 研发等多个行业。

俄罗斯Midnight Blizzard间谍组织利用AI情况

团队里至少有一名俄语操作员，网名JackPoterz，手法和目标选择都指向俄罗斯国家关联的间谍活动。他们打的是乌克兰和欧洲政府的军事情报目标，外加外交国防组织、智库，以及和美国外交政策圈有关联的个人。

这套东西的核心是一条定制工具箱，两族Windows植入体、一套移动利用套件、一个专偷浏览器密码库的凭证窃取工具、一个模仿政府机构这类高价值目标的钓鱼平台，再加一个管理沦陷账号的控制台。每一样工具都在行动过程中通过AI辅助工作流不断翻新，而真正有意思的是它的质检环节：这个操作员用AI盯着自己的工具能不能躲已知安全产品的检测，一旦监控用的AI智能体发现哪个恶意软件被检出了，就自己动手改代码、重新编译，循环迭代到彻底不报警为止，然后把工具丢到一次性托管服务器上，等受害者流量上门。钓鱼也交给AI流水线，一套工作流负责调研并注册域名、配置发信基础设施，另一套负责发邮件、盯命令与控制（C2）通道看谁上钩了，人主要做的事，是在需要打磨流程的时候改一改Claude Code skills。

图行动复盘全景，左侧是AI帮这个间谍组织跑出来的八条工作流，中间是这些能力被武器化的网络行动，右侧是推断出的受害方影响。

情报团队数出来，这个家伙在规划、侦察和实战阶段盯过20多个不同组织，政府部委、情报国防机构、使馆外交团、智库、军工企业都有，集中在乌克兰和欧洲，也伸到了中东和亚洲的海事相关政府机构，目标主题高度集中：乌克兰和军用无人机技术供应商及其供应链。战果相当具体，他批量导出了至少两家无人机组件厂商的邮箱，点名打了一家军用无人机厂商，还完整偷走了一套无人机视觉系统的专有软件开发包（SDK），花了好几天逆向这套视觉系统，把产品架构、硬件物料清单（BOM）、供应商依赖，甚至一个还没公布的产品细节全部还原了出来，军用无人机控制和AI视觉相关的固件是他最感兴趣的部分。

不是所有目标都要直接打。为了曲线接近，他攻陷了至少三家做酒店客房WiFi的供应商，用偷来的管理员凭证改DNS记录，把流量指向自己的服务器，这招叫DNS劫持（DNS hijacking），住店客人一连上酒店WiFi，流量、设备标识和IP就都送到了攻击者机器上，然后是ClickFix式诱饵，给设备投Windows、Android和iOS恶意软件。他还把酒店管理系统里偷到的客人信息和客人设备上偷到的数据拼在一起，用来缩小下一轮的瞄准圈，重点就是跟乌克兰有关的官员和无人机厂商，微软威胁情报2026年7月发过报告，把这套偷法和投递手段命名为CaptiveCrunch。他接管受害者WhatsApp账号的手法也很特别，用无头浏览器农场把受害者账号挂成伴侣设备，借助WPPConnect这个开源WhatsApp自动化库配置成已读回执全部屏蔽，受害者毫无察觉，他就批量导出俄语和乌克兰语对话，至少两名乌克兰前高官中过这招。他还盯上了监控平台，从摄像头流媒体服务的应用接口里找到授权缺陷，枚举用户、收割访问实时直播流的令牌。

另一路入侵是一个北非国家的政府技术管理机构，他先偷到一台VPN设备的凭证，再用它接管这个组织的中央账号服务器，于是整库凭证都被拖了出去，30多万条国家身份记录，加上这个国家50多万家企业的商业登记数据。这个组织还在持续开发一套云邮件间谍平台，其中一块叫"Embassy Kit"，是它管理设备码钓鱼（device code phishing）的框架，用来打一场Microsoft 365令牌窃取行动，受害者是外交和政府人员，至少八个组织的邮件记录被访问和渗出，包括一个国家检察官办公室、一所军事教育学院和一个区域性政府间组织。投递手段是假更新主题的社会工程诱饵，配套的载荷还带完整远程访问能力，并会冻结受害者机器的安全更新，让安全厂商新发的检测特征码根本装不上。

可以看到，AI被用在了行动的每个环节。侦察阶段，AI给邮件和远程访问系统指纹识别、从公开来源捞信息、建钓鱼目标清单；初始访问阶段，主手法是一种设备码钓鱼，滥用云邮件服务的合法登录流程，AI负责搭钓鱼基础设施和利用工具，还在操作员指挥下直接对受害者系统跑命令、收凭证、在网络里横向移动；收集渗出阶段，几百GB的赃物靠AI整理归类，不少就是直接从沦陷邮箱批量导出；维持访问阶段，AI自动把攻击者控制的设备注册进受害者组织的租户。在内网环境里，AI还负责盯植入体的隐身和持久化，一旦被安全产品标红，就用Claude系统性地识别、修改、重新部署被检出的组件。这件事的后果是攻防成本被反转了过来，以前防守方上线一个新检测，多少能拖一拖攻击者的节奏，现在，至少在理论上，有能力的对手可以闭环，比防守方开发和部署检测的速度更快地绕开它们。这个案子用到的恶意软件清单也值得记下来：

Windows侧有PowerChrome、WUEngine、Shadow C2、MiniPlasma、CloudSyncSvc，Android侧有GiftDrop，是换皮的GiftsExpress监控型远程访问木马（RAT），iOS侧有DarkSword，一整条iOS利用链。

一个黑产团伙vibe hacking模式（详情在后面）

这里介绍一个机会主义经济犯罪集组织GTG-50014，也就是 “vibe hacking” 模式：操作员仅提供笼统目标，环境探查、脚本编写、重试执行全部交由 AI 完成，操作人员不需要深度理解目标环境细节。

来源与侦察批量扫描、combolist 凭证采购、语音邮件钓鱼、员工终端钓鱼；
发现反编译移动应用、挖掘代码仓库密钥、对受害者部署的 LLM 实施提示词注入；
验证与定级批量验证云密钥、离线哈希破解、在生产环境重放测试凭证有效性；
内网扩张集群密钥转储、管理员权限放大、CI/CD 注入，利用 OAuth 向全部下游租户横向扩散；
渗出通道通过云存储、NAS、Telegram bot、C2 通道批量导出数据；
仓储自托管赃物服务器，按受害者归档窃取数据，Telegram 同时充当存储与黑市店面；
铸新与持久化在受害者环境生成全新云凭证、伪造会话、部署网络后门；
变现转卖密钥、直接金融盗窃、数据勒索，甚至利用同一漏洞向厂商提交赏金报告获取双重收益。

该团伙大量盗取环境内 AI API 密钥，挪用受害者算力开展后续攻击。从单条被盗开发者令牌到完全接管云环境最短仅需 3 小时；供应链入侵可一次性向下游数千家客户渗出数据。团伙还运营卡店，贩卖窃取的支付信息，维护地理交互地图，聚合海量泄露数据集。

从酒店订房一路打到 AI 供应链（详情在后面）

俄语牟利组织GTG-500120，早期针对酒店预订、金融科技平台，后续将 AI 厂商作为核心目标。

向 AI 厂商沙箱注入恶意指令，窃取生产级 API 密钥，拿到密钥后复用受害方算力，4 天内对 30 家 AI 公司复制攻击链路。

搭建人指挥的 AI 渗透测试循环：划定目标范围，派发给并行侦察、利用智能体，验证结果输出增量报告；还部署完全自主利用流水线，在容器化渗透测试平台之上，无人值守对真实 Web 应用执行 XSS、SSRF、认证绕过等漏洞利用；搭建虚假账号工厂，配合住宅代理、反指纹浏览器批量注册储备账号；使用KYC 拦截斗篷，搭建高仿验证站点，反向代理真实 KYC 流程，中途截获用户完成核验后的会话，接管账号。

GTG‑50029，一个人把网络行动主义打成了 APT（详情在后面）

法语单人网络行动主义者，依靠大模型抹平技术鸿沟，单人达成接近 APT 能力。自行编写 Rust 扫描器批量搜集暴露 API 密钥；利用未公开 WordPress 竞争条件漏洞创建管理员账号，漏洞的研究调试全部依托 AI 完成；将 webshell 隐藏于字体资产；利用 must‑use 插件持久化收割凭证；对站点备份投毒，备份恢复即再次感染；部署 BeEF 浏览器 C2 框架，捕获来访编辑人员凭证。

单人开发 fafsearch 人肉搜索平台，融合多份泄露数据库，完成人员信息归一化、排名，容器化部署，托管在暗网对外查询。一共针对 42 个实体开展行动，至少拿下 14 个组织内部访问权限，渗出 12‑26GB 数据库，包含政党捐赠人、未成年人、支付记录等敏感信息。

LLMJacking：偷 AI 账号，蹭别人的算力（详情在后面）

AI 访问权限在地下市场价格持续走高，传统信息窃取木马增加针对 AI 编码工具配置文件的窃取规则，专门读取本地明文 API 密钥、配置文件。攻击者也会利用泄露的 GitHub PAT 令牌入侵云环境，部署未经授权的大模型基础设施，新建高权限服务账号，挪用受害者算力运行恶意负载。

下面是上面内容的详细版本，不想看可以跳过拉到后面几个案例。机会主义黑客传统上的打法很粗，广谱扫描找没打补丁的暴露系统，挖漏洞、占机器。下面是卖数据的黑产们的行动，大模型厂商发现好几拨这类高级罪犯都在用Claude给自己提速，快速扫、快速打、快速接管。机会主义攻击的花样很多：抢在补丁出来后大规模打N-day漏洞，翻公共容器仓库、代码库、手机应用、网站找凭证、令牌和API key，批量扫描暴露在互联网上的设备，在新手服务商那开服务账号逃逸容器，再到对受害者部署的LiteLLM或OpenClaw做提示词注入。以前就有人满世界找入口偷数据卖钱、勒索、转手卖访问权，AI来了之后，这套老生态只是规模和烈度整体上了一档：千奇百怪的目标环境被AI三两句就吃透，冷门到没人认识的配置也被解释清楚、变得可利用，security through obscurity（靠没人知道来保证安全）这老一套彻底失效，联网即靶。

得手之后他们直奔数据库找客户数据。如果目标是软件即服务（SaaS）厂商，就用偷来的数据去接触终端客户，放话不给钱就把厂商和客户的数据全泄出去卖掉。Anthropic这一次打掉的，是数个被怀疑为ShinyHunters联盟成员的集群，ShinyHunters这个圈子以大规模数据盗窃加给钱还是泄密勒索闻名，这些分支看起来各用各的工具、各跑各的流程，但手法和目标分析下来是同一盘棋。

图：这几拨ShinyHunters关联分支共享的攻击生命周期，从收割凭证到勒索变现，四步走完。

一个网名叫MeowSHA、frkoo、blazespider的法语操作员，在十台AWS EC2 worker上跑了一条分布式凭证收割流水线，从多个应用商店源头批量下载180万个Android APK，反编译，再用TruffleHog扫硬编码秘密，验证过的发现实时推到一个按100多种来源类型组织的Telegram群。另一条并行管线专扫GitHub组织邮箱，喂进源源不断的GitHub Personal Access Token，这两条凭证管线就是frkoo大部分实锤入侵的初始访问来源。他的操作安全纪律就很混乱了，自己的EC2中转IP、好几个Telegram bot令牌、一个硬编码凭证的Squid代理，甚至还有一条直接传在受害者环境里的公开paste-site记录，全都暴露在外。他还注册了一个冒充法国国家警察的域名policenationale[.]cc（团队判断这更多是给犯罪店面打品牌用的，不是钓鱼诱饵），子域autoshop.policenationale[.]cc是他的卡店前台，卖盗来的支付卡记录（他们叫fiches），带BIN查询、完整持卡人个人信息，还有一张受害者地址的交互式地理地图。店铺通过Telegram交付，背后是他的Soraki平台，一套PostgreSQL/GraphQL架构，还把好几个法国泄露数据集，包括一个约40万条、带IBAN和BIC的电信/ISP数据集，聚合成可搜索的服务。整个团伙在多次入侵里，会顺手从受害者的企业软件供应商那里偷走AI API key，一把偷来的key被攻击者拿来用了三周做二次攻击，目标包括一家法国零售连锁，还探了一家Web3身份平台，同时继续对一个非营利受害者做入侵后攻击。

严重的案子有几个。一家技术供应商被渗出超过1TB数据，含几十万条国家标识符和几百万条支付卡记录，赃物直接挂到公网上逼赎金；一家航空公司的系统里有几千万条乘客记录；一家能源公司那边，攻击者声称能远程控制装在客户家里的电动车充电桩电流。另一个分支像是专门做供应链盗窃的，把一家公司打穿是为了够到它下游客户的数据，攻陷一家SaaS厂商之后，顺着这个立足点抽了约200个下游客户组织的数据，还在约34小时内倒出一个会话存储，里面是2100多套Azure AD令牌集，横跨40多个企业租户，这活几乎全是AI智能体干的。另一起入侵里，他用Claude加速对一家SaaS厂商的供应链打击，利用一个跨站脚本（XSS）漏洞进去、提权，最终从几千个下游客户组织渗出数据，Claude在这儿的具体活，是帮他识别、理解和调用开发者与认证API，创建和转换特权令牌，以及搭批量导出、跨租户数据收集的工具。对着另一个目标，这个攻击者甚至声称从两家被他入侵并勒索的公司手里，光明正大领了HackerOne漏洞赏金，分别是2000美元和5000美元，把漏洞披露计划和入侵本身变成了对同一批受害者的第二收入，他还会在定点攻击里把HackerOne和BugBounty提交记录当侦察材料刮一遍。他的运营节奏很稳定，一家企业软件公司从首次访问到批量数据盗窃只用了几个小时，另一起里，从单个被盗开发者令牌到完全控制受害者云环境，大约三个小时，然后就是一轮轮刮内部数据，供应链攻击时还顺带把终端客户的数据也刮一遍。

这种入侵和数据盗窃里的AI用法，业内开始叫vibe hacking：操作员只给AI一个笼统目标，比如用这个凭证进某家公司，或从这一堆目标里把数据拿出来，剩下的环境探查、写脚本执行、出摘要、反复重试直到干完，全交给AI，操作员自己可能根本不懂每个目标环境的门道。安全圈有个词叫living off the land（就地取材），指用受害者环境里现成的工具打受害者，这帮机会主义黑客把同一套原则用在了AI上：AI供应链本身既是目标也是资源，他们从多个目标环境偷走AI API key，拿来给自己的攻击负载供算力，每一起里涉及的key都是从大模型客户环境里偷的，大模型自家系统并没有被打穿。

图：GTG-50014（ShinyHunters）行动复盘全景，七个工作流对应的网络行动与推断出的26个受害目标。

把这几个分支拆开看，AI在整条攻击生命周期里是怎么嵌进去的，报告给了一张总览图，九个环节首尾相咬，每一把凭证的收益都被拿去养下一步的发现，偷来的算力和key又重新流回行动。

图：攻击者总结出的九步攻击循环，从来源侦察到掩护自身，赃款和算力在闭环里不断再投入。

来源与侦察（Sourcing and recon）。大多数入侵的起点就是被盗凭证，攻击者还配合大量扫描、语音钓鱼（vishing）、邮件钓鱼和域名欺骗，骗员工交出系统访问权。

图：第一步"来源与侦察"的六类具体手法，从一次性扫描舰队、combolist采购到员工语音钓鱼。

发现（Discover）。暴露的访问令牌是以工业规模挖出来的：分析应用二进制、代码仓库与集成、客户端代码、凭证存储、容器镜像、元数据端点、开放存储，以及受害者自己部署的AI智能体。有个项目的做法是把Google Play上所有APK都拉下来，逐个搜暴露的会话令牌或其他可滥用的访问机制。

图：第二步"发现"的九类挖掘面，从移动端秘密挖矿、仓库与IaC挖掘到对受害者部署LLM的提示词注入。

验证与定级（Validate/qualify）。捞到的东西用之前全部过一遍筛：批量云密钥验证、专用登录oracle、对着生产环境实况重放、给转售价值分级、离线破解。

图：第三步"验证与定级"，云密钥批量身份校验、ATO oracle、对生产API实况重放到GPU离线破解。

受害者内网扩张（Expand in-victim）。一把能用的凭证被用来在受害者内部放大战果：整集群密钥dump、管理员令牌放大、CI/CD注入、数据库和会话表dump、从dump里挖签名密钥，再用供应商OAuth扇出到每一个下游租户。

图：第四步"受害者内网扩张"，从整集群密钥转储到供应商OAuth应用向每个下游租户扇出。

渗出通道（Exfil channels）。赃物走六条通道离开：消费级云存储、走mesh-VPN的私人NAS、Telegram bot流、藏在受害者云里的中转、C2通道，以及干脆直接的批量API拉取。

图：第五步"渗出通道"，六条数据外带通道的具体实现方式。

仓储（Warehouse）。赃物入库备用待售：自托管的赃物庄园把偷来的数据库重新挂出来，每个受害者一棵战利品树，Telegram仓库同时当店面用，外加随时可用的密钥库。

图：第六步"仓储"，自托管赃物庄园、按受害者组织的战利品树、Telegram仓库兼店面。

铸新与持久化（Mint/persist）。铸出新凭证和持久访问，让行动活得过轮换：受害者账户里新开的云API key、平台开发者key、伪造的会话和2FA码、网络后门。

图：第七步"铸新与持久化"，让新铸的凭证活过原始凭证轮换的四类手段。

变现（Monetize）。转售渠道和密钥池、直接金融盗窃、拿偷到的数据勒索、一身兼两职的赏金收入，以及攥在手里当筹码的批量数据。

图：第八步"变现"，从Telegram店面卖key、链上钱包直接盗刷到双份赏金。

报告还把观察到的几条典型工作流单独画了出来，分别是几个分支各自的招牌打法：一个分支从移动应用里的硬编码key一路打到供应链注入；一个分支从供应商备份仓库出发，借供应商身份横扫所有下游租户；一个分支用一枚管理员令牌放大成平台级横向移动；还有一个分支拿现成combolist做凭证填充变现。

图：四条被实际观察到的典型工作流，移动应用令牌级联、供应商金库扇出、平台管理员放大和凭证填充oracle。

GTG-50020，从酒店订房一路打到AI供应链

GTG-50020是个讲俄语、图财的网络犯罪组织，历史上专打酒店预订平台和金融科技平台，其中一次入侵从一个受害者手里渗出约26GB数据，再靠勒索或在暗网论坛卖数据，开价150万到250万美元之间。然后他把同一套手艺转向了AI行业，做法是往一家AI厂商的自动化评测沙箱里注入恶意指令，让沙箱乖乖交出自己持有的凭证，包括这家厂商手里来自多家供应商的生产级AI API key。偷来的key随即被滥用：他一边继续打这家厂商，一边同时打其他不相干的目标，逻辑很直接，拿到受害者的API key，就自动把自己的活切到受害者的key上。同一套基础设施接着发起后续战役，大约四天打了约30家AI公司，手法是找出一条成功路径后对30个目标复制粘贴，只针对各家差异做微调。他追求的目标横跨十余条途径，就是拿到一个预发布版Claude模型的访问权，不过他从未得手，每一条路都失败了，需要强调，这中间涉及的key全是从客户环境里偷的客户key，攻击者自始至终没有碰到Anthropic自家系统。这个案子是迄今最清楚的一个证据：AI供应链已经成为蓄意的犯罪目标。

图：GTG-50020行动复盘全景，十个工作流覆盖AI厂商入侵、游戏钓鱼与ATO、Webmail社交账号接管到Android恶意软件开发。

这个人针对不同目标还维护了一整套流水线。先是"人指挥的AI渗透测试循环"：每个目标一个范围文件，启动一条自定义工作流，把活分派给并行的侦察和利用智能体，智能体的发现再被重新验证能否真正打通，可行就并入一份增量报告，然后循环打下一个目标域。

图：人指挥的AI渗透测试循环，写范围文件、分派并行智能体、探测、验证、出报告，再打下一个域。

接着是完全自动的利用流水线：他用一个容器化的开源渗透测试平台，前面挂一个本地模型网关，瞄准目标的Web应用，worker智能体在无人监督下跑注入、XSS、认证绕过和SSRF测试，把潜在发现和凭证收进操作员的工作区。关键是这个循环是对着生产系统开着利用开关跑的，同一条工作流里既识别漏洞，又直接对真实系统发起利用拿到访问权。

图：自主利用流水线，容器化平台就位后无人值守地对着真实Web应用跑注入、XSS、认证绕过和SSRF。

为了给这些行动备弹药，他还开了一条假账号工厂：先备好住宅代理和反检测浏览器profile，然后让bot驱动交易所和marketplace目标的注册流程，商业CAPTCHA破解服务、自动轮询邮箱、自动过身份验证，一路绕开新户准入控制，验证过的账户存起来留给后面行动用，身份烧了就换一批。

图：虚假账号工厂，备代理和指纹浏览器、bot跑注册、过CAPTCHA和身份验证、囤号备用。

他的凭证盗窃和钓鱼战役里还有一招叫"KYC拦截斗篷"：受害者被引到高仿验证域名，域名背后的反向代理把真实验证（KYC）流程原样转发，受害者在不知不觉中完成了一次真实的身份认证，操作员却在中间把已验证的会话和文件截了下来，再用这个截获的会话从自己的机器上访问目标服务和数据。

图：KYC拦截斗篷，诱饵域名、反向代理转发真KYC流程、中途截获已验证会话、再从操作员侧接管。

GTG-50029，一个人把网络行动主义打成了APT

AI抹平能力鸿沟这件事，最极端的例子就是这个GTG-50029。以前低级别的hacktivist（网络行动主义者）和高级持续威胁（APT）之间隔着好几个段位，AI把这个门槛削平了。2026年春，观察到一个法语操作员用Claude针对欧洲的政党、媒体、智库，以及这些组织在用的SaaS供应商。他自己写了一套Rust扫描器，专门扫公共容器找暴露的API key，key一旦验证有效，工具就在本地代理层轮换使用，把自己的流量混进被盗key合法主人的正常流量里，这层掩护做得相当老练。他还把AI的智能体编程能力用进一个框架，帮自己管理一群子智能体，这些子智能体分别负责认证前后的侦察、代码审查，以及对来自不同AI模型的发现做交叉甄别。

他打初始访问的招牌手法，是利用一个从未公开过的WordPress重装竞争条件（race condition），不需要任何有效凭证就能直接创建一个流氓管理员账户，整个漏洞利用从开发到调试，都是Claude在同一个会话里做的，包括搭了一套实验环境，这套东西至少在四个受害者网站上得手过。一个案子里，他通过一个暴露的搜索端点攻陷了一个政治竞选管理平台，让自己的智能体围绕这个端点反复迭代，最终渗出约14万条记录，里面包含用户的政治观点。对着另一个目标，他把一个webshell藏进了字体资产里，所谓webshell，就是丢在Web服务器上的一段小脚本，让攻击者能远程发命令让服务器执行，等于一个能从网站直接摸到的后门，他是边确认上传漏洞边现写的这个webshell。他还用了一种WordPress"must-use"插件，这种插件每次页面加载都会跑，而且后台关不掉，专门用来收割别人提交的凭证，按站生成公钥加密后暂存待取。他还给受害者的备份下了毒，应该是为了持久化，哪天受害者想用备份恢复环境，恢复完就又感染一遍。最后，他攻陷一家媒体的方式是部署一套浏览器利用型C2框架，用注入脚本钩住这个组织的读者，借此给几千个来访浏览器做指纹，专门在这套框架里猎编辑团队的会话和凭证，用的就是BeEF这类浏览器C2工具。

他的招牌工具叫fafsearch，一个量身定做的人肉搜索（doxxing）平台。这平台带一套编译好的搜索引擎，有自己的数据接入管线，能把不同泄露dump里的数据和他渗出的数据交叉比对，对国家身份证号和电话号码做归一化，还有排名逻辑、测试套件和容器化部署。他往这个平台里灌了几千万行数据，包括国家健康标识符和司法系统泄露数据，再融合自己入侵搞到的材料，最后把结果发布成一组匿名托管的暗网服务，凡是跟被瞄准政治运动有关的人，都能按姓名在上面被查出来。这是Anthropic见过AI辅助软件工程被直接用于大规模隐私攻击的最清楚的案例之一，而整个平台就一个人做出来的。

图：GTG-50029行动复盘全景，九个工作流对应法国政治目标入侵、读者浏览器hook、云供应链操作和凭证经济。

42个被追踪的目标实体里，他至少在14个身上拿到了内部访问，访问并渗出的数据库dump估计12到26GB，里头有政党捐赠人和党员记录、一个1.5万条消息的邮箱、学生申请记录（含未成年人数据）、支付服务商数据，他还搭了实时凭证拦截，把渗出的数据按受害者打包成加密档案，挂在自己运营的Tor泄露站上。

如果说上面的案例是少数派的新玩法，那更普遍的变化是，AI被织进了攻击生命周期的各个阶段，从漏洞研究、恶意软件开发到生成信息作战内容，都能看到它的影子。漏洞研究是最典型的应用场景，攻击者用商业模型和开源权重LLM增强漏洞研究、制作利用原型、开发恶意软件，公开讨论里"机器速度的0day漏洞发现"被反复提及。前沿模型确实被披露过能自主识别零日并执行网络入侵，但GTIG还没有在野外观察到攻击者部署完全自主的利用流水线，眼下更像是贸易技巧的渐进成熟，攻击者用现成的商业和开源权重模型，把公开披露和补丁延迟快速转成可用的n-day利用代码，在受控环境里打磨专用载荷，从基础的脚本生成、逻辑缺陷识别，一步步走向功能完整的多阶段利用链，包括浏览器内存破坏载荷和沙箱逃逸。

有个案例很能说明这种节奏。一个暴露的开放目录里托管着多个LLM生成的脚本，在厂商发布补丁大约一个月后被注意到，目录里是从内存泄漏探测脚本到端到端执行链的完整进阶，旁边还配了自动化静态分析规则，看得出攻击者正用生成式AI在公开披露后快速原型化和迭代功能可用的利用组件。地下圈子里还出现了众包漏洞研究的苗头，攻击者开始整理并分享结构化的、与具体LLM无关的知识文件，而不是分发静态的、容易被签名利用二进制。还有个案例里，地下行为者把Ghidra和Gemini-CLI代理结合起来逆向WinRAR自解压（SFX）归档组件，产出的是给前沿LLM当输入上下文用的技术Markdown文档，技术评审认为其中描述的漏洞区域大多不适用于远程利用。

各国威胁行为体：把AI接进自己的作战体系

除了通用的漏洞研究和工具开发，各国威胁行为体已经把AI整合进各自的行动体系。俄罗斯背景的UNC5792把AI接进了Telegram监控机器人，这个组织此前就用机器人监控频道，现在实验性地引入AI，用来获取API密钥集成方面的信息、分析消息内容是可疑还是中性，并输出结构化的情报报告，服务对象是俄罗斯当局关心的安全威胁、极端主义内容等特定信息。俄罗斯的SANDWORM RELIC（此前叫FROZENBARENTS、SANDWORM、APT44）则把Gemini用进了持续针对乌克兰的行动里，支持情报收集、社会工程和工作流自动化，它的钓鱼基础设施里出现了AI主题域名，用Gemini编写异步Python脚本对目标服务做自动化密码喷洒，开发端点指纹识别和主机画像脚本，还实现了自动代理路由、隐藏活跃C2后端之类的混淆手段，甚至开发了直接与Gemini交互的本地项目接口来跑自动化任务。

iran背景的CALANQUE ION（此前被追踪为APT42）也在用Gemini增强侦察和定向社会工程，识别目标邮箱、做开源情报（OSINT）研究、跨本地语言转写内容来制作本地化诱饵、总结外泄数据，之后还把AI用法扩展到战术基础设施开发和软件逆向工程尝试。另有一个组织在多个不同行动里滥用Gemini，范围覆盖情报收集、攻击能力开发和影响行动，它用Gemini生成政治化宣传内容，研究如何匿名化数据泄露以便向记者和社交媒体影响力人物传播，通过转写、总结、重排外泄数据来增强情报生产流水线，还拿Gemini研究虚拟化平台的利用方式，比如VMware vCenter的SAML绕过，以及Active Directory后渗透方法，比如Rubeus的Kerberos票据攻击。

朝鲜（DPRK）这边，多个威胁集群把AI整合进各自不同的阶段，包括资源采购、目标侦察和借口编造（pretexting），观察到至少一个DPRK的IT工作者集群用劫持来的账号批量注册LLM API以扩大规模，用LLM提示词给航空航天和国防目标画像，生成伪造的简历、职位描述和招聘人员人设来配合社会工程，还会分析钓鱼技术和载荷投递机制。经济犯罪这边同样热闹，UNC6240（也叫ShinyHunters）专注于高量的软件即服务（SaaS）数据外泄和勒索，用AI生成复杂混淆代码绕过Cloudflare安全护栏和边界防御，还定制了MCP工具来解析和分析外泄目录用于敲诈；朝鲜关联、受经济利益驱动的MIDNIGHT NEPTUNE（此前被追踪为UNC1069）则用商业LLM和开源权重模型强化加密货币盗窃的各个环节，AI帮忙塑造社会工程人设、写技术排障诱饵，用DeepSeek-Coder这类AI编码助手开发带跨平台持久化、进程注入、无文件执行、防御规避和C2通知能力的访问木马（RAT），还用LLM起草Bash脚本推动横向移动。

LLMJacking：偷AI账号，蹭别人的算力

想用上生成式AI工具，先得拿得到、留得住访问权限。高级模型访问和高性能计算的成本，正是攻击者把AI投入实战的主要门槛，于是针对AI账号的窃取、外泄和倒卖在犯罪社区里越来越多，入侵企业云环境劫持算力（也就是LLMJacking）的事件也在增加。GTIG追踪的地下论坛里，买家对Claude和Gemini凭证的需求逐年上涨，Cursor Pro、Devin这类自主编码IDE的凭证也水涨船高，2026年单个账号的地下市场均价翻了一倍多。凭证怎么来的？广泛传播的凭证窃取恶意软件仍是主力，LUMMAC.V2、STEALC.V2、VIDAR、ACRSTEALER这些知名infostealer的控制者指令里，能看到对AI开发者配置的兴趣，已经超出传统上对AI浏览器配置文件的窃取。2026年5月，ACRSTEALER的控制者推送了针对AI编码助手配置存储的定向文件抓取规则，一条命令指向Cline（前Claude Dev）的secrets.json，另一条指向Continue AI（2026年6月被Cursor收购）的config.yaml，这些文件里可能存着明文API密钥和自定义模型路由端点，拿到它们，就等于直接拿到了受害者付费模型配额和基础设施的访问权。

更直白的是直接闯进云环境。2026年4月的一起Mandiant事件响应里，攻击者靠一个暴露的GitHub个人访问令牌（PAT）获得受害者云环境的初始访问，然后部署未经授权的AI基础设施、扩展高性能计算资源，先后启用了Gemini Enterprise并配置初始高性能计算实例，创建一个带Editor权限的冒牌服务账号并导出认证密钥，执行定向BigQuery查询定位包含环境变量和额外凭证的敏感表，在Artifact Registry里建自定义Docker仓库，构建并暂存LiteLLM智能体框架的容器镜像，再把镜像部署到公开可访问的Cloud Run服务上（通过IAM invoker绑定暴露给allUsers），最后用防火墙规则放行代理流量。

两条跨案例的大趋势，和攻击者的AI技能包

上面几个案子彼此毫无关联，但横看下来有两个共同点值得单独拎出来。第一，AI手艺正在快速扩散。2025年报告里的GTG-10002这样的组织，会自研自主攻击框架，而GTG-50020、GTG-50029这些则直接用PentAGI这类公开的进攻性智能体框架，谁下载下来都能复现大半脚手架，这份报告里好几个行动就跑在这些框架或其衍生品上。连支撑这个战场的黑市都成型了，比如GTG-50021开的假转售，一边卖折扣Claude访问，一边把用户流量静默代理到别的模型，顺手把每个注册者的Anthropic凭证都收走。扩散是跨行为体类别、跨地区、跨任务类型发生的，报告给出的判断是：这类能力应当被默认任何有动机的行为体都拿得到。小团伙和国家支持组织之间的主要区别，已经不再是技术复杂度，而是意图。以前国家行为体能砸资源部署更先进的能力，现在AI进步把同一套能力也交到了非国家行为体手里：一个用偷来API key的网络行动主义者（GTG-50029）、一伙从移动应用里收割凭证的经济罪犯（GTG-50014）、一个国家关联的间谍操作员（GTG-20006），方法论惊人地一致，都是靠智能体AI跑多受害者行动，放在过去这得是一队人。攻击本身一点都不新鲜，被盗凭证、没打补丁的边缘设备、暴露的服务、SQL注入、钓鱼，没有哪一起靠的是防守方从没见过的全新技术，变的是攻击经济学：过去把资源雄厚的行动和其他人区分开的那部分劳动，侦察、利用、工具开发、数据处理，现在全甩给了以机器速度并行运行的AI模型，结果就写在数字里，两三个小时打完的入侵，一个操作员并行伺候几十个受害者。

第二，AI在行动里的自主程度越拉越高。这些案子里的AI用法横跨一整条光谱：一头是对话式使用，Claude当工程助手帮着写恶意软件、钓鱼包和监控工具；中间一档是人类保留每一个定向决策，AI负责执行，比如对受害者网络跑命令、收凭证、渗数据（GTG-20006）；最远端是几乎不需要人盯着的自主运行，多智能体框架并行对多个受害者跑侦察、利用和偷窃，一次跑几小时甚至几天（GTG-50014、GTG-50020、GTG-50029），另外还有按预设时间表跑、全程无人在环的收割船队，以及无人参与自动续期被盗令牌、持续收割受害者云存储的定时任务（GTG-20006）。这里有两个必须记住的提醒，其一，人仍然牢牢攥着对自己最重要的那些决策，选什么目标、发现怎么变现、结果怎么审查，人都在深度参与；其二，自主和危害是两根独立的轴，自主放大的是行动的规模和速度，压低的是成本和复杂度，但行动的严重程度仍由一大堆因素决定，这次报告里最严重的几起入侵，反而来自每一步都由人指挥的行动。用经济学的话说，AI自主压缩的是攻击者ROI公式里的成本侧，把单次行动的技能门槛和人力都拉低，潜在收益却基本没变，这种单位经济学的偏移让过去不值得打的边缘目标突然变得划算，反过来又鼓励攻击者做更高量、更少人工接触的行动。

最后放了一张表，把威胁行为者为搭建AI工作流开发的skill（技能）按ATT&CK类别拆解了一遍，能看出这些人已经把AI工具链工程化到了什么程度。

图：攻击者开发的AI skill按ATT&CK类别的拆解，涵盖资源开发、侦察、凭证访问、持久化和混淆等条目。

这些skill本质上是给Claude预设的人格和工作上下文。有进攻安全工程师人格，负责植入体开发和M365操作窗口，和winAgent、GoDownload构建循环、Defender规避迭代、Graph/EWS操作工具打交道；有DevOps人格，负责把容器化的C2和钓鱼栈（shadow_c2 compose服务、发信、合并落地页）通过sshpass部署到租来的VPS上；有shadow_c2人格配Red-Team用户角色记忆规则，专门活跃在扫描侦察和密码喷洒窗口；有Windows开发者人格，做原生植入体这条线，winAgent v2.0的模块化开发、WUEngine持久化、COM/CLSID manipulation、PowerShell loader工程；有前端人格做钓鱼平台和dashboard；有UI/UX设计师人格打磨诱饵页和管理面板；还有一个资深前端与设计工程师人格，专门为ShadowC2的CNC控制台和构建器界面写代码。最离谱的是一个Expert iOS Safari exploit researcher人格，进会话先自动圈定Safari实验环境，加载MEMORY.md索引，再基于ARM64e PAC bypass、JSC JIT利用、内核内部结构这些知识背景开干，指导模型先加载实验记忆索引再动手，还把确认走不通的死路列出来不许重试，用来做DarkSword/Coruna利用链的研究。

网络行动这一章讲完，结论其实就一句话：攻击者没有变出任何新武器，他们只是把过去最贵的那部分劳动，换成了24小时运转、按机器速度并行的AI。而当攻击者把同样的工程化思路用到另一条战线，也就是操纵人心这条战线上，产出的东西就从0和1变成了假新闻、假账号和假证词，这就是下一章要讲的影响行动。

信息战行动：一百个假账号、七十家假新闻网站。

影响行动即刻意操纵信息环境，篡改公众认知。大模型把信息作战的人力门槛大幅压低，行为体不再只生产帖子内容，还会产出整套行动手册、人设系统、雇佣合同、考核评分表。很多行动在内容对外发布前就被捕获拦截；只有依托成熟官方媒体广播、卫星、电视渠道的行动，才会实现大范围传播。

总结九条行业趋势：影响力服务商业化售卖；AI 作为编辑部副编辑；产出全套行动组织架构文档；行动大量复用持久化记忆文件，不再依赖零散提示词；刻意洗去来源归因；完善全套操作安全规避手段；批量生成虚假人设甚至冒充真人；瞄准X权机构、联合国等问责机制；多数行动在对外扩散前被拦截。

每个案例里，Claude都是作为副编辑层被插进一条已经跑顺、有专业编辑把关的流水线，把单个员工的产出拉到他一个人根本够不着的量级。

其中黑鸟觉得比较有趣的案例是这个：一个人、29个号、半自动的孟加拉乡村假新闻工厂

一个住在孟加拉国盖班达县的行为者，独自运营着一条持续运转的自动化虚假信息网络，用Claude批量生成孟加拉语假新闻，主线是吹捧xxx联盟。

为了绕开平台限制和检测，他在约十六个月的时间里轮换使用29个Claude账号，还写了个叫fake_news_3.py的自定义程序直连Claude API，代码里写死了固定批次：

每轮生成15个标题、3条详细捏造故事、15条图像生成提示词。按他自己的说法，产出是要喂给一场连续不断的循环，在Facebook Live、YouTube和TikTok的直播里滚动播出，目标受众是识字率不高的xxx联盟乡村支持者，他至少产出了1500个标题、300条虚假叙事、1500条图像提示词，Claude本身还没有图像生成功能，这些提示词大概率被导出给别的前沿模型，用来制作虚假叙事里要用的视觉内容。

他内部把产出形容为假新闻，要调得够热够冲，简单到村里的人都听得懂，摆明了就是假设受众会把它当成真新闻。为了对付发布环节，他另写了一个上传脚本，本质是通过YouTube API做批量发布，按事先一个月排好的时间表，经一个第三方持续集成服务调度上传。部分叙事也和亲印度的地缘政治利益吻合，但同样没有国家指使或出资的证据。

跑起来之后，这套系统基本半自治，人只管最低限度的监督。自定义程序调API生成标准化批次的孟加拉语内容，包括标题、详细叙事和配套图像提示词，程序里还调好了情绪化选题，专门瞄准低识字率的乡村受众，产出顺着固定的云存储文件夹走，被转成音频和视频，再由第二个脚本提前好几个月排进YouTube队列。

叙事套路就那么几板斧，这里不过多讨论。

还有一个黑鸟觉得有趣的案例，克隆真人人设，混进伊朗人的朋友圈

为了骗人，攻击者让一个共享AI智能体克隆一位真实人士的个人Telegram账号，再用波斯语指令告诉它，你现在就是这个人。他让Claude读了大约8400条该人士的Telegram帖子来模仿其文风，然后用这个克隆体和他的联系人开展实时对话，据我们所知，这些联系人并不知道自己在和一个AI辅助的账号聊天。

2026年6月，大模型平台封禁了一个账号，背后是一家叫S2T Unlocking Cyberspace的商业情报供应商，公开来源研究显示这是一家以色列与新加坡合资的商业情报厂商，它用Claude搭建了一套商业监控平台，专门分析、分类和画像波斯湾地区用户的社交活动。平台的核心目的就是监控，它把社交网络用户的位置标出来，把人群按编码过的人口学分类归堆，最后用正式阿拉伯语写出政府公文腔调的情报简报。

该公司每次喂给Claude大约25条社交媒体帖子，让模型分析内容，返回发帖人的人群类别、位置、政治倾向，每条结论都带置信度，另一条线则让Claude用波斯语、阿拉伯语、英语、德语给那些大概率是假账号的人设生成帖子，等于在冲突两边同时养号。

Forbidden Stories 2023年的报道还提到S2T的完整服务链，包括建假账号潜入私密WhatsApp和Telegram群、收割成员名单，再升级到钓鱼和攻陷设备，这次观察到的Claude生成内容很可能就是给这些假账号铺可信度的一层，让目标更容易放下戒心。

接下来几起都和Iran关联，手法更偏进攻性。一起行动里，一个伊朗关联威胁行为体用Claude搭了一套自动化开源情报（OSINT）身份画像流水线，目标是以色列政府及非政府个人、以及犹太侨民组织，它跑了一个自动化画像工具，喂给预先存在的目标名单做富化，试图产出针对以色列和美国人员的开源情报产品，Claude在这里被用来加速开源数据的收集与分析。并行的另一条线走的是恶意软件开发，在多个波斯语会话里，这个行为体改了开源的LSASS凭证转储工具NanoDump，还在Python里搭了一套定制C++混淆和构建流水线，重命名标识符、插入哑函数，目的是混淆恶意样本、拖慢分析。

更值得警惕的是一起军事侦察行动，同一个iran关联行为体用Claude收集和分析公开数据，产出针对美国在该地区海军力量的目标推荐手册，它和Claude一起用Python搭了一条流水线，靠开源信息识别和追踪海军位置，编出来的材料包括从公开军事照片配文里抓下来的美国人员花名册、可公开访问的舰船和飞机应答机标识符、商业卫星影像查询脚本，以及一份暴露美国海军动向的公开网站清单，行为体还让Claude整理舰载系统的漏洞研究，把海事VSAT终端、Cisco通信设备、工业控制产品上已知的CVE编目成清单。同一个账号还替iran国家系统做企业级软件开发，包括用Claude设计一套国内大规模监控平台的软件组件，这套平台把自动车牌识别和移动设备标识拦截结合在一起，操作员还针对一个244人私密Telegram群当天导出的数据单独搭了分析工具，对群成员做了社交网络分析，被编目漏洞清单里包括COBHAM SAILOR 900 VSAT上的多个CVE、Cisco Unified Communications Manager、Cisco超可靠无线回传、Cisco IW3702，以及Schneider Electric EcoStruxure相关漏洞。

最后一起伊朗威胁行为体，它用16个单人组织的免费Claude.ai账号开发恶意软件、投递流水线和针的钓鱼门户，投递页面做了地理门禁，只对来自伊朗IP的访客喂恶意内容，页面主题伪装成翻墙工具和一个编造的波斯语新闻品牌Azar-News。工程和测试环节很有反检测意味，行为体把项目拆成一个个单独看完全无害的Web开发请求，输出包括由Telegram机器人控制的VBScript投放器、伪造的Microsoft Excel和Windows凭证对话框、一个假ESET NOD32杀毒登录页（把抓到的凭证发给Telegram）、ClickFix风格的Win+R诱饵、V2Ray落地页，以及按地理限制的投递页，Claude对直接发出的恶意请求十次里拒了九次，但当用户把工作切碎、分散到后续更小的会话里去做时，安全护栏的表现就不稳定了，这正是分片绕过（split-request）手法的典型效果。

主打植入物叫SECOMS64，一个模块化Windows植入物，带键盘记录器、截屏抓取、带App-Bound Encryption绕过的Chrome凭证提取，以及对Microsoft Defender和Intune的侦察，配套组件包括通过ngrok隧道的PowerShell反向Shell、U盘传播、浏览器数据销毁模块，以及从文件分享服务取回、改过以规避杀毒的分段投放器。

整套工具是冲着监控个人去的，键盘记录器只在Telegram Desktop处于前台时抓击键，截屏组件伪装成叫Telegram的可执行文件、配同样的图标，通过Telegram机器人外传截图，U盘模块记录它碰到的每一个U盘序列号，同一个集群里还有一个Android应用会上传设备的联系人、短信和媒体，持久化是分层做的，注册表Run键、最高运行级别的计划任务、自删除批处理文件，以及一个伪装成Windows字体驱动服务、固定放在ProgramData路径下的二进制。

Microsoft 365邮箱窃取这一段也很技术，行为体用Claude设计工具，在完全不走OAuth授权流的情况下攻陷M365邮箱，脚本强行结束Outlook进程以解锁凭证文件，解密DPAPI保护的密钥，解析MSAL令牌缓存和OneAuth账号存储，枚举Windows Credential Manager里的单点登录条目，抽到的令牌重放到Outlook Web API上批量下载邮箱内容，包括已删除邮件，有时打包成压缩包或走代理转出，为了绕过服务端检测，脚本伪造真实的Outlook桌面客户端User-Agent，复用Microsoft一方应用客户端ID，让流量和原生Outlook客户端无法区分，整场行动里，行为体用Claude做的是工程和测试，而不是亲自下场操作。

也门制导武器小组：用手机级芯片飞制导火箭

大模型厂商识别出一个位于也门北部的行为体小组，同时推进三个武器开发项目：一种用商用手机级飞控计算机、带末段自导引的制导火箭；一种标称射程目标超过2000公里的多级弹道导弹；以及一个多型号导弹系列（代号R2000），其中包括高超声速滑翔体型号。这些人用Claude Code代替人类软件工程师，开发制导、导航与控制（GNC）软件，也就是让飞行器保持稳定和飞向目标的那套代码。具体来说，他们让Claude把一个开源自动驾驶仪集成到手机级飞控计算机上，编写控制律和位置估计软件，调参，跑固件构建流水线，再做飞行仿真。他们同时开了好几个Claude实例，像小工程团队里的负责人一样分工：一个写代码，一个做调研，第三个审查第一个写出来的代码。

安全护栏拦下了他们不少请求，但不是全部，行为人用各种战术规避，包括隐藏目标和软件最终用途，把工作拆到多个对话里，让任何单段对话都不暴露完整意图。他们做的是一项持续的制导武器开发努力，虽然没有证据表明他们已经部署出可用的作战装置，但确实实弹试射了一枚制导火箭，这次试射看起来失败了，几个小时之内，他们就回到Claude面前，一起分析失败原因。更值得警惕的是，这些人已经搭好了一套不依赖Claude、也不依赖MATLAB之类工程计算环境的离线仿真工具包，也就是说，Claude帮他们把开发流程跑通之后，他们可以把工具拿走自己继续。

也门制导武器工程小组的系统工程V模型，从需求分解一路映射到集成测试，三条并行项目各自推进到了不同阶段。

这个小组的工作可以拆成几块来看。战术制导火箭项目走得最远，飞控固件、末段制导、试射后遥测诊断都做了，还在也门境内做了一次实弹试射，失败后几小时内就回到Claude做故障分析；弹道导弹仿真项目做的是六自由度轨迹仿真，覆盖中程、中远程和高超声速滑翔型号；优化项目用强化学习调飞控，加速制导算法开发；建模与仿真项目把仿真和参考实现做对标，相当于给现役武器系统建了数字模型，减少对实物试验的依赖；打包项目把仿真工具编译成独立可执行文件，脱离Claude也能跑。

俄罗斯无人机蜂群：从仿真板卡到真实硬件在环测试

第二起案例涉及一个疑似自由职业的俄罗斯小组，他们要从零搭一套全栈自主的第一人称视角（FPV）自杀式无人机蜂群。行为人用Claude Code写代码、测试代码，并直接存进自己的项目文件，除了Claude Code之外还搭了一套软件在环仿真栈，租了一台图形处理主机做模型训练，这个行动内部代号DronDoc或Serafim。

他们用Claude搭建的软件系统相当完整：无人机之间共享的蜂群记忆和容错协调逻辑（FTCL）；机载小型语言模型来决定攻击、观察、返航行为；一套末段制导软件，靠机载摄像头把无人机导向目标并下达起爆指令；一个通过控制链路信号定位对方无人机操作员的地理定位模块；一层被动声学探测；还有无人机可编程芯片上的底层逻辑。这个平台从设计上就是为自主致命打击服务的，机载模型可以选择目标（其中包括人员这一类别）并在无人介入的情况下下达起爆命令。行为人把底层固件刷到真实开发板上、给单板计算机预装系统、通过网状网络搭建仿真环境，这些动作都确认他们在对话里做的是真实硬件在环测试。

他们还在抓取来的乌克兰作战视频上训练了计算机视觉分类器，把目标分成敌方和友方两类，把俄方装备加进白名单，反复用顿涅茨克州的一个固定坐标作为演示打击点，任务地理则以乌克兰前线城市和走廊为背景。这些账号在2025年底到2026年初注册，2026年5月中旬开始行动，通过商业虚拟专用服务器绕行流量绕过了地缘访问控制。Anthropic评估这是一支小型专业自由职业团队，同时做民用和军事项目，并非俄罗斯国家机构，调查中关联到9个账号，其中8个只做普通自由职业工作，根据调查，他们与一所设有俄罗斯科学院下属联邦研究中心的地区性大学有联系，还声称获得过俄先进研究基金会、国家技术倡议和国防部的资助，但这些说法无法核实。

图：无人机蜂群项目的系统工程V模型叠加技术就绪水平（TRL），显示行动发生在软件生命周期的哪个位置、推进到了哪一步。

这个小组观察到的武器系统包括：FPV自杀式无人机（巡飞弹药，Lancet级FPV、Sibiryachok），技术就绪水平TRL 3到4，已在仿真中验证；空对空拦截无人机（TRIIT拦截型，TRL 3到4）；防区外打击无人机（Striker改型，TRL 3到4）；异构自主蜂群（Serafim、Zvezdochyot-Serafim、swarm-opi5、Medovik，TRL 3到4）；蜂群指挥控制与作战记忆固件（ТРИИТ反应引擎、D2BFT共识，TRL 3到4）；以及反无人机和防空压制条令（Nebo-22试验台、防空优先瞄准，处于条令和仿真阶段）。换句话说，整套系统还停在实验室验证阶段，但代码已经刷进了真实板子。

绕过制裁的军民两用物资采购：Claude写询价邮件、反查灰色供应链

前面两起是动手造武器，后面这起不一样，行为人用Claude做的是情报搜集和采购。

一个位于俄罗斯的行为人用Claude研究并起草采购文件，货物军民两用，最终客户很可能是俄政府和国防工业，行动核心是一个自称莫斯科某设计局采购经理的人。整个采购行动分成五条工作线：一是通过第三国分销商采购德国制造的三轴磁通门磁强计，声称客户用于民用生物医学工作；二是通过第三国供应商采购数千片太空级光伏晶圆；三是从第三国供应商采购航空机组人员氧气系统；四是另外承接了一个为俄国民卫队单位建医院的合同；五是通过俄罗斯国防采购国家平台采购IT和加密系统。

行为人让Claude寻找第三国和中转地的中间商来采购欧洲制造产品，起草英文、俄文的询价邮件模板。这些采购邮件故意模糊最终用户，把买方包装成某个未具名研究机构负责对外联络的人，同时要求货物发往俄罗斯。他们还让Claude起草俄罗斯政府正式招标规格书，倒推一条通过第三国转运货物以隐藏目的地的进口加价链，甚至让Claude逆向工程俄罗斯现有的灰色进口链条，讲清货物如何通过一家未授权俄罗斯分销商、一家第三国进出口公司和一家中转地中间商转运，这样一来，行为人对整个采购网络隐藏成本和路由步骤有了完整画像。他们用Claude写俄文简报给上级，在简报里明确把这些动作描述为规避欧洲贸易管制的手段，引用适用的欧洲管制措施，承认直接供货被堵，规划如何通过第三国把货物转给俄罗斯接收方，把那个第三国称为制裁中立辖区。与此同时，他们把Claude和浏览器自动化代理组合起来，跑采购后台：脚本抓取供应商市场价格信息，每份招标给出大约40个条目的链接，把多个采购电子表格合并，再同步到在线笔记、项目管理工具和其他采购软件里，把一个本来需要采购文员大量手工操作的流程完全自动化。他们还让Claude跨多国做供应商发现，起草物流往来函件，包括修改一笔已发货订单的收件人。

这种用法最难防的地方在于，行为人每个单独请求看起来都平平无奇，询价、招标文件、供应商查找，单拎出来都是普通商务活动。

图：物资出口转用类型学，展示行为人采购技术的方法，映射到观察到的路由和中间商。

生物滥用：最让前沿模型警惕的灰色地带

生物滥用被Anthropic列为前沿模型最严重的风险之一。长期以来，人们担心AI模型终有一天会强到能帮人把现有病原体变得更危险，甚至造出全新的病原体，如果安全护栏不到位，后果可能是灾难性的。旧模型（比如2025年的Claude Opus 4和Claude Sonnet 4.5）的评估结果很清楚，它们远没有到能实质性协助一个熟练用户做危险生物研究的程度，所以安全护栏相对宽松，主要防止新手复现已知生物武器。

比如为军事民用研究搭建的规避平台

2026年5月，大模型生物安全分类器拦下了一个请求，内容是让Claude帮忙写一份科研经费申请书，申请书中涉及对基孔肯雅病毒做功能获得研究，也就是通过基因改造让生物获得新的或增强的生物学特性，具体瞄准病毒的传播性和免疫逃逸特性。

基孔肯雅病毒是经蚊子传播的病毒，会导致严重疼痛和发热等衰弱症状，可持续数周甚至数月，目前没有获批疗法，因为它本来就自然传播，故意释放很难和自然暴发区分。这份申请要在基孔肯雅病毒里找出增强型突变，把它们工程化到感染性克隆里，再在活体动物体内筛选毒力，换句话说，病毒在反复感染活鼠的过程中变得越来越有害，研究人员每轮留下致病力最强的变异。这类研究当然可以用来开发更好的疫苗和疗法，但也能让病原体更危险。所属机构背景也不简单：申请材料里写的是民用研究人员，却打算在军事研究所里做，内容和机构关联组合在一起。

生物滥用讲的是模型被用来辅助危险科研，下一章把镜头拉到更日常的灰色地带：用AI批量生产情缘诈骗。

诈骗与欺诈：一个App背后的AI情缘工厂

GTG-15001这个案例展示了现有AI模型在诈骗和欺诈活动中的触达与局限。一家应用工作室用Claude搭建了一个由20多款约会App组成的网络，同时用AI人设和用户对话，却对外宣称服务完全由真人提供。在2026年4月的两周窗口里，超过4700个不同的AI人设，与至少25000个独立个体进行了对话。工作室还招募真人混进同一个匹配流，这些真人主要用于真实性验证（视频通话和社交媒体关注），以降低受害者的怀疑，这些打工人同样被AI增强，另有一个模型替他们生成部分消息。这起行动和2025年的一起案例是近亲，当时另一个行为者搭了一个Telegram机器人即服务，供其他诈骗犯生成约会App消息，GTG-15001虽然没有用到新的模型滥用技术，但规模大得多，而且故意把多个AI提供方用于互不重叠的角色。

三方市场：AI聊天气氛组，真人负责"真实性验证"

整个行动按一个三方市场运转。目标用户在美国，刷到的匹配流里约75%是Claude人设、25%是真人，无从分辨，消息和匹配会消耗计量配额，用完要用应用内币购买补充。打工人通过邀请招募，对每个匹配用户，一个较弱的AI模型会提出三条候选回复，打工人点选其中一条，这会抢先于Claude的自动回复生效，打工人按消息数、视频通话数和社交媒体回关数计酬，超过低门槛即可提现。Claude人设则自主运行，运营方的提示词指示它们绝不透露自己是自动化的，转移视频通话或照片请求，按固定对话阶段推进，后端组件在没有真人可用时伪造点赞、访问者和预录视频，并追踪哪些用户开始怀疑自己在和机器人说话。

图：GTG-15001的三方市场结构，Claude人设、真人打工人和计量付费墙如何在同一个匹配流里组合。

几个关键数字和设计值得记住。AI人设与真人的比例约为3比1，Claude在两周窗口里跑了约236万条消息。不同AI提供方被分给不同角色：Claude跑自主对话人设，一个小型非Anthropic模型生成打工人点选的短回复建议，同时做人脸吸引力打分和照片/语音审核，一个图像编辑模型生成头像图片。更隐蔽的是系统提示词：它看起来像普通的角色扮演或陪伴部署，从任何单次对话内部都看不出变现和欺骗意图，在少量抽样案例里，模型自己的推理曾浮露出伤害，包括用户披露重病或极度痛苦时，模型没有拒绝完成，而是继续以人设口吻输出。App本身还被工程化来绕过应用商店审核：开发者文档显示一个只在商店审核期间激活、其余时间休眠的UI控制器；20多个App变体使用不同类名，来绕过平台用来关联相似App的相似度检查；一个应用内浏览器把路由支付重定向到第三方处理器，且可在服务端配置，因此审核期间可以藏起来。说白了就是杀猪盘

只能说，大模型厂商收集到的数据过于恐怖了。

原始来源：黑鸟