基于360威胁情报中心对本期公开网络安全素材的整理与分析，本周报告重点关注AI编程助手凭据窃取、恶意MCP与AI请求链路劫持、AI渗透工具滥用，以及LLM网关和模型服务漏洞。相关风险涉及账号与API配额滥用、开发上下文泄露、未授权入侵、文件读取及远程代码执行。
· AI开发身份与数据风险： Aoki和Warden将AI助手令牌、配置与会话数据纳入窃取范围，开发工具所关联的业务权限需要同步治理。
· AI链路与用户入口风险： Apex Accelerator利用恶意包、模型请求重定向和MCP扩展获取开发上下文；仿冒AI工具活动则借安装与登录流程投递恶意程序。
· AI辅助攻击与服务漏洞： ARTEX被用于未授权渗透，Linux间谍活动出现疑似AI参与线索；LiteLLM与Ollama漏洞分别暴露授权和服务器请求边界问题。
───────────────────────────────────
事件名称： Aoki：信息窃取恶意软件针对AI编码助手凭据
发布机构： Symantec Threat Hunter Team
Symantec披露，Aoki窃密木马新增针对AI编程助手的收集能力，目标包括Claude、Codex、Cursor、Codeium和Gemini的凭据与会话文件。被盗API密钥和令牌可能使攻击者以开发者身份使用AI服务，并触及账号关联的代码仓库及云服务。该木马还收集浏览器、加密钱包和密码管理器数据，经C2服务器外传。
· SHA256（节选）： 752c8e64af60960b85cf00e4bd34eb459e24b7939464f718ec18494df43b4b69, bf037920d39b85572ec7e53b51f09c28198c2c0afbc7c7d6cf639b1f047caebf, 0adc8e83b2416c275b1283916d70568faddeb6d718eb45f9addfb0938db245b3, 6655b89b9885483d459c73f2a52e3cec121de5c5956172a8676a0f4c2de94999, 780bbdbb119befd4eb16e0c2ec0c64e7bedc1b53ce4f85804aea091a6e3af519
· Domain： dobeqnesmot.cc, hjazfioe.surf, neihite.cc
· URL：
───────────────────────────────────
（二）Apex Accelerator利用恶意包劫持AI开发链路
事件名称： 审计审计员：揭露Apex Accelerator
发布机构： Elastic Security Labs
Elastic披露，攻击者假冒Web3加速器Apex Accelerator，以AI积分和安全审计服务诱导目标安装恶意npm包。其重打包的编码代理将模型请求转向攻击者控制的接口，并注册恶意MCP服务器，使提示词、对话上下文、代码片段及工具输出暴露。攻击链还包含跨平台恶意软件投递和凭据窃取。
· SHA256（节选）： 985829083f3937df6c82419216f7697afae0caac8efca6257a756066fe2c0abb, 5ee7145061f05779f7f6f9b72e216713d17d53e183a92f408bfbbc44f2bfb95d, 42a760b15fea7c9af718ee45386c1c3ea1bec9e30c95d16c287bcc8b2efdc72e, 127ae4cad80b6605157ca2a1feada8a235e16aacc5d2119337a98115a4e13274, 20f0a401676292d4ae34932e61f34afa97bcfc47ee517cda2afeb7222264a193
· Domain（节选）： apexaccs.org, arena.apexaccs.org, token.apexaccs.org, vrf.apexaccs.org, arena.apexfdn.xyz
· URL（节选）：
───────────────────────────────────
（三）疑似AI辅助间谍活动攻击政府Linux基础设施
事件名称： AI驱动的间谍活动针对政府Linux基础设施
发布机构： Palo Alto Networks Unit 42
Unit 42披露了一起针对政府及关联基础设施的Linux间谍活动。攻击者利用Web shell、SysGoRAT及反向Shell收集凭据、横向移动和窃取数据库信息。研究人员在脚本中发现对话式注释和推理痕迹，认为存在大模型生成代码或AI代理参与的迹象；这些线索不能单独证明攻击全程自主执行。
· IP（节选）： 45.88.188.140, 198.23.185.234, 138.68.244.146, 185.21.136.6, 72.61.89.179
· IP:Port： 104.194.158.65:443
· Domain： magento.ink, solidmonpe.com, wibu-bau-bawang.online, beraskencur.site
· SHA256（节选）： 2bf7992e6260c1a98c709fa98ec766fb9f27692f338b30b43ac821b824fd849e, 27d799ceadb570bfca890d4c2572314afe57eecf14083d30409da15afdfc4704, d73186cea6cf2cf3d48c09139a9d15521365aab675787b4e7a6f81767331c9fd, 9e45830171eb607cf2c0fc80f5cc9cc3db39bb937032136990383a595f6f151e, c527b94e3d21824a674face4cd9d862e536b60ccbf54573839e3360f99188343
· CVE： CVE-2025-55182, CVE-2021-4034
───────────────────────────────────
（四）攻击者滥用ARTEX框架入侵韩国金融机构
事件名称： 威胁者滥用AI渗透测试框架 | ThreatLabz
发布机构： Zscaler ThreatLabz
Zscaler ThreatLabz披露，攻击者滥用开源智能体渗透测试框架ARTEX，对韩国金融机构的互联网应用开展侦察和漏洞利用。框架将任务上下文交给大模型选择后续动作，再由工作节点执行工具。报告描述了SQL注入、身份验证绕过及个人信息窃取，表明合法AI测试工具可能被用于未授权入侵。
───────────────────────────────────
（五）LiteLLM授权缺陷可导致账户接管与代码执行
事件名称： 当LLM网关出错时：来自LiteLLM的发现
发布机构： Check Point Research
Check Point Research披露，LiteLLM的/config/update端点缺少管理角色校验，低权限已认证用户可修改运行时配置，进而读取服务器文件、接管管理员账户，或借远程Python模块执行代码。另一问题允许通过user_config控制请求转发目的地，造成API密钥泄露及SSRF风险，涉及CVE-2026-35029和CVE-2026-59823。
· CVE： CVE-2026-35029, CVE-2026-59823
───────────────────────────────────
（六）Warden窃取AI Agent令牌及MCP配置
事件名称： 窃密木马盯上 AI Agent：Warden Stealer 三个月蹿红，专偷 Claude、Cursor 的"钥匙"
奇安信威胁情报中心披露，Warden Stealer窃密木马针对Claude、Cursor等AI编程助手，收集访问令牌、MCP配置及会话数据，可能泄露连接服务的密钥与项目上下文。该木马通过破解软件、恶意广告等渠道投递加载器，结合内存注入和代码变形规避检测，并将窃取的数据回传至C2服务器。
· SHA256（节选）： 006510ce1da2b7410376f0788c19e55616eb4bcc30072d25b7d0871dc32aa11c, 0d727a4ef1178e767afdd0080ba1ebda0f24ac52b639f0501021affd8f88d26a, 63959ef6309cd01b5d3c7262a3a41394dca2db2dc74bd030a517b7e23a2c3fef, 77c8266935bc040c992ab70abd402bd203b9c12e7548c80b84fd21308c250f0e, 77cc246272f2af21b64bbc6c6173d57affee97eb0ccf747d89492d06d4c52865
· Domain（节选）： backtoblack7.com, berff3788.com, bobroviysmex.shop, bomboclat.rest, brodyagup.com
───────────────────────────────────
（七）仿冒AI工具钓鱼与恶意安装链路持续活跃
事件名称： 伪造的人工智能工具以美国公司为目标：Claude、ChatGPT和Copilot
ANY.RUN分析了假冒Claude、ChatGPT、Copilot等AI工具的攻击链。攻击者通过搜索广告、仿冒下载页面或共享对话诱导用户安装恶意程序、复制执行命令，或在伪造登录窗口输入凭据，最终投递窃密软件、盗取会话或接管业务账户。此类活动利用AI品牌作为诱饵，不能据此认定恶意代码由AI生成。
· Domain（节选）： claudecode.us.com, setup-code.com, use-code.com, code-setup.com, claude-setup.com
· SHA256： 882b1aa5432509df9b1ac29b6f987a5dd70c8f46009237de956275a58536f470, e86f7ba0413a3a4b1d7e1a275b3d1ef62345c9d3fd761635ff188119b8122c85
· URL：
───────────────────────────────────
（八）Ollama Pull API存在服务端请求伪造漏洞
事件名称： CVE-2026-108836：Ollama 软件中的服务端请求伪造漏洞
发布机构： SecurityVulnerability.io
公开漏洞报告显示，Ollama的Pull API模型组件中IsValid函数存在服务端请求伪造问题CVE-2026-108836，影响0.34.1及之前版本，攻击者可能远程操纵服务器发起请求。报告建议升级至0.34.2。本条属于漏洞披露与风险提示，所用素材没有提供具体受害机构或确认在野利用的证据。
· CVE： CVE-2026-108836
───────────────────────────────────
AI身份资产正与传统凭据共同成为窃取目标。AI助手令牌不仅关联模型调用，也可能连接代码仓库、外部服务和开发上下文。应将其纳入统一凭据盘点与失陷响应。
AI工具供应链风险延伸到请求转发和MCP配置。恶意开发包可能改变模型连接目的地、增加不可信工具，导致开发数据经正常工作流程流向攻击者。
AI辅助攻击的证据强度应分别判断。ARTEX报告描述了工具被滥用的具体链路；Linux间谍报告中的AI参与判断依赖代码与操作特征，不应扩大为已证实的全自主攻击。
LLM网关和模型运行服务仍需落实应用安全边界。低权限配置修改、远程模块加载和服务端请求验证缺陷，都可能把AI应用权限扩展成主机或网络访问能力。
───────────────────────────────────
处置AI开发身份泄露：将Aoki、Warden相关指标纳入终端和日志排查；发现感染后隔离设备，吊销并轮换受影响的AI API密钥、OAuth及会话令牌，同时检查MCP配置和已连接服务。
核验AI工具与依赖来源：使用经过审核的AI工具目录和安装渠道，审计npm包、模型API目的地址及MCP服务器配置；对安装后新增的网络连接、敏感文件读取和不必要工具权限进行监控。
降低AI辅助入侵的影响：收敛互联网应用暴露面，强化身份验证与出站访问控制，监测异常交互式Shell、数据库导出及凭据访问；对政府和金融等敏感业务加强相应检测。
修补AI服务组件：依据素材所述将LiteLLM升级至1.83.9及以上版本、Ollama升级至0.34.2，并核对所用版本与厂商公告；限制管理接口、配置变更及服务出站权限。
防范AI品牌诱饵：培训用户识别假冒登录窗口和安装命令，不从广告、共享对话或陌生邀请中直接执行脚本；监测异常脚本执行、恶意安装程序及浏览器会话访问。
───────────────────────────────────
本期AI安全风险同时涉及身份、工具链与运行服务。窃密木马关注AI助手的令牌和本地配置，恶意开发包可改变模型请求与工具配置，仿冒AI品牌活动则将员工安装和登录操作转化为入侵入口。
AI也在改变攻击执行方式。ARTEX被用于未授权渗透，而针对Linux基础设施的间谍活动出现疑似AI参与线索。服务端方面，LiteLLM和Ollama的缺陷说明AI网关与模型服务仍需严格管理权限、配置和网络边界。
组织可优先盘点AI开发身份、核验依赖与MCP来源、收敛服务暴露并更新受影响组件，再结合终端检测、出站审计与凭据轮换形成闭环。风险观察和建议为基于本期素材的分析归纳。
───────────────────────────────────
本报告由360威胁情报中心基于2026年10月10日至10月16日公开威胁情报整理形成，重点分析Aoki与Warden凭据窃取恶意软件、Apex Accelerator恶意软件包与AI链路劫持、疑似AI辅助的Linux间谍活动、ARTEX智能体渗透框架滥用、LiteLLM高危漏洞、仿冒AI工具钓鱼及Ollama服务端请求伪造等事件，为企业AI应用、Agent开发环境、软件供应链与身份认证安全防护提供参考。
情报时效性： 2026年10月10日—10月16日 威胁评估等级：高风险（多源情报验证）