AI安全专题周报（20261030）

基于360威胁情报中心对本期公开网络安全素材的整理与分析，本周AI安全风险主要涉及非官方中转服务篡改安全配置、恶意软件直接调用大模型、AI品牌钓鱼与安装诱饵，以及编码助手执行钩子和MCP配置投毒。相关活动可能导致企业对话与代码外流、凭据窃取、恶意代码执行和安全边界削弱。

· AI工具配置与供应链风险： 非官方中转服务可将正版CLI流量转向第三方并关闭沙箱，testmetest活动则利用编码助手钩子及MCP配置触发恶意载荷。

· AI辅助恶意软件与攻击运营： NIK C2将模型调用接入失陷主机，天穹捕获样本尝试让模型选择规避技术；微软报告披露了多个威胁组织采用AI的具体迹象。

· AI品牌与平台共享功能滥用： 假冒Anthropic预览邀请用于凭据钓鱼，伪造AI客户端结合DLL侧加载投递恶意程序，Claude共享页面也被用来承载安装诱饵。

───────────────────────────────────

（一）非官方AI中转服务关闭沙箱并改写企业数据链路

事件名称： 沙箱被切换为“危险全权限”：未授权AI relay服务为企业带来风险

发布机构： Symantec Threat Hunter Team

Symantec披露，非官方AI中转服务在安装正版Codex和Claude Code命令行工具后，改写客户端配置，将请求发送至第三方基础设施，并关闭沙箱等安全限制。用户可能仍在使用真实的工具界面，却已改变模型连接目的地与本地执行权限。研究指出，这种部署会使代码、提示词及敏感业务信息面临额外的数据处理和权限滥用风险；发现相关配置并不等同已确认每家组织均遭数据窃取。

· Domain（节选）： vibe.aiok.me, aiok.me, sorryios.io, nuoda.vip, chat.nuoda.vip

· SHA256： 2a76a28639d896bb41576d0e32d155b78f38b034e052dfe3a7b7e1a478fc0e24, 4bfe5ca73a4b0988586a46f789aeedba5db575257b58291934cddb9faa606fdb

· URL（节选）：

───────────────────────────────────

（二）NIK C2将OpenAI接口接入失陷主机攻击流程

事件名称： NIK C2：新型AI驱动的命令与控制框架

Cisco Talos披露NIK C2框架，其Windows植入程序具备凭据窃取等功能，并通过ai_generate命令集成OpenAI接口。操作员可在失陷主机上提交提示，辅助分析已获取信息、生成诱饵或支持后续攻击。框架还包含锁屏勒索能力。AI接口是攻击工具的一部分，相关功能不代表OpenAI服务本身存在漏洞，也不能据此推断所有能力均已在受害环境执行。

· Domain： total-sitevv.lol

───────────────────────────────────

（三）微软追踪朝鲜威胁组织在攻击手法中采用AI

事件名称： 追踪朝鲜威胁行为者在攻击手法中采用AI的情况 | 微软安全博客

发布机构： Microsoft Threat Intelligence

微软威胁情报报告分析多个朝鲜威胁组织在侦察、社会工程、代码开发和攻击运营中采用AI的迹象，包括批量制作面向目标的诱饵、辅助重构代码及尝试合成媒体。报告还描述智能体渗透测试工具被纳入部分行动的情况。微软对不同活动采用了不同置信度，部分AI生成内容和工具使用仍属研究判断，不能统一描述为已证实的完全自主攻击。

───────────────────────────────────

（四）假冒Anthropic预览邀请诱导用户交出登录凭据

事件名称： 您的员工会参加虚假的Anthropic AI预览吗？

Cofense披露，攻击者发送假冒Anthropic独家AI预览邀请，借用户对新模型和产品的兴趣引导点击。攻击链滥用合法短链接服务并穿插验证码页面，最终转向假冒Google或Microsoft登录界面以窃取凭据。此类活动主要利用AI品牌和预览资格制造可信度；邮件声称来自AI厂商并不意味着邀请真实有效。

· Domain： us968web-zoom.us, goo.gle-access-eventregister.icu, office.com-access-sharepoint.com

───────────────────────────────────

（五）木马向大模型提交环境信息以选择规避方案

事件名称： 【天穹】当木马开始向 AI 请教：一例“LLM 辅助规避”样本的完整剖析

奇安信天穹沙箱报告描述了一例尝试利用大模型辅助规避检测的木马。样本收集运行环境信息，并将结构化结果及候选规避技术发送至模型，要求返回适合当前环境的方案。样本同时包含反向Shell及其他本地恶意功能。模型返回建议与实际成功绕过防护是两个不同环节，报告据此揭示的是恶意程序将模型接入运行决策的尝试。

· MD5： 9b5b0529dba5a43ebd01ba354ee30a25

· SHA1： 5ce104df7cded4ef8439e69887b332b35538d41a

192.168.1.135:4444为样本中的私有网络地址，仅作行为与环境线索，不作为公网恶意基础设施封禁依据。

───────────────────────────────────

（六）假冒ChatGPT和Claude客户端借签名程序侧加载恶意DLL

事件名称： 通过签名的 ChatGPT 和 Claude 二进制文件部署的过往把戏

发布机构： Check Point Research

Check Point Research分析了一组假冒AI桌面应用的GitHub项目。攻击者借ChatGPT、Claude等名称吸引用户下载，将合法签名的安装程序与恶意winmm.dll等组件放在同一目录，通过DLL侧加载启动恶意链路，关联Yoba载荷及后续资源滥用风险。合法签名只能说明被签名文件的来源，不能证明整个压缩包和同目录组件安全。

· Domain： gpt-5-6.github.io, gpt-6-astra.github.io, opus-5-0.github.io, calm-piano-floats-313.dedyn.io

· URL：

· Domain:Port： 3zciedc3enu4muwc5adxciyk6u3juhvhvbv6bfrk2arawlvb7k7ovxad.onion:443

· IP:Port： 51.89.228.250:21668, 51.89.231.85:24526

· SHA1（节选）： 332e3b685e375aa44a5ec98511fc53be821df46a, c2b986704406d47dd88ee4e2fcffebc854ff2ce4, 17e8639a00bb32b10cb9cf0d292e9441456ce4bb, 20238b36645fc63139a76b19a480c6a9166472fa, 4ea5b71202b69fc27b06ef9ee3f6f51d6f7b8586

───────────────────────────────────

（七）Claude共享页面被滥用为恶意安装诱饵

事件名称： 网络犯罪分子如何滥用 Claude 自身网站传播恶意软件

发布机构： Gen Threat Labs

Gen Threat Labs披露，攻击者结合搜索广告与Claude的共享对话、公开Artifact功能，在真实claude.ai域名下承载假冒下载和安装指引。macOS与Windows用户被诱导复制执行命令，分别面临窃密程序或远控载荷投递风险。研究强调，活动利用的是平台可公开分享内容的功能，不意味着Anthropic基础设施被攻陷；真实平台域名也不能替代对页面内容的核验。

───────────────────────────────────

（八）testmetest活动利用编码助手钩子和MCP配置触发载荷

事件名称： 超越 testmetest：原生插件伪装和 42 个被武器化的 GitHub 仓库揭示了一个隐藏的 npm 发布者

发布机构： JFrog Security Research

JFrog调查发现，testmetest相关恶意npm活动通过原生插件伪装、隐藏加载器和被武器化的GitHub仓库延伸供应链攻击。部分仓库在编码助手启动、MCP连接或编辑器打开文件夹时执行隐藏脚本，涉及Claude、Gemini、Cursor及VS Code等工作流。仓库还可能篡改发布配置以盗用凭据和扩散载荷；活动清单中的占位或诱饵包版本不能一概视为恶意版本。

· IP:Port： 43.228.157.68:80

· URL： ,

· Domain： aiarmor.website

· SHA256（节选）： 9d83919bfdb0e14018f1a6f2b8b6586de59b60dfdcfbdb5ae1a1556c23cc4793, 3dc40fc55302664c07c9d9182ffd95910aeb366fcd417fbdad0a90cdeb8ea69e, 8506042b383ab46545c27a402eb2dc973696a93af71181b175b1d87972843a43, 783a4ac906cc9b2eaf5cd13408ea95db6ce52a46d9af11aad1a5b167af69589f, a516dd7867af83f8be0cc3e926fdfd964097f0e7665596b05fe5234be7e2b5e9

· CVE： CVE-2026-41940

───────────────────────────────────

AI开发环境的连接配置与执行权限成为直接攻击面。非官方中转服务和恶意MCP配置都可能在正常工具界面背后改变数据流向或本地代码执行行为。

恶意软件对模型的使用正进入运行阶段。NIK C2和天穹样本分别将模型接入操作员命令与规避建议流程，但功能存在、模型响应和真实攻击成功需要分别判断。

AI品牌和可信域名被反复用于建立信任。预览邀请、假冒桌面客户端以及真实平台上的共享页面，均可让用户在看似熟悉的场景中提交凭据或运行代码。

编码助手扩展机制与既有软件供应链相互叠加。启动钩子、MCP配置和编辑器任务应与依赖包、构建产物及发布凭据一起检查。

───────────────────────────────────

核查AI客户端配置与中转来源：盘点模型API目的地址、第三方中转和凭据替换，监控沙箱关闭及审批策略变更；对未经批准的中转服务开展访问与数据暴露排查。

加固终端行为检测：结合异常模型API调用、敏感文件访问、反向连接和载荷执行识别风险，不仅依赖恶意文件静态特征；发现凭据暴露后及时吊销并轮换。

审核仓库与扩展执行入口：检查编码助手启动钩子、MCP服务器、VS Code任务和包安装脚本，隔离不可信仓库与依赖，限制构建和发布凭据权限。

防范AI邀请与安装诱饵：从厂商官方入口核验预览资格和安装程序，检查实际登录域名，不直接执行广告、共享页面或陌生仓库提供的终端命令。

结合场景使用指标：对本期域名、哈希和连接线索开展历史排查；私有地址、共享服务节点及关联活动信息需要结合进程、时间与访问上下文判断。

───────────────────────────────────

本期风险同时存在于AI工具配置、恶意软件能力与用户交互入口。非官方中转可能改变客户端安全边界，恶意npm活动则把助手与编辑器的自动执行入口纳入供应链攻击。

NIK C2、模型辅助规避样本和微软的威胁组织研究表明，AI已被纳入多种攻击流程；与此同时，AI品牌钓鱼与共享页面滥用仍依赖用户信任和安装行为。

组织应优先核验AI工具的数据链路和扩展来源，保护凭据与执行权限，并结合终端行为监测、安装渠道治理和历史日志排查处置相关风险。

───────────────────────────────────

本报告由360威胁情报中心基于2026年10月24日至10月30日公开威胁情报整理形成，重点分析非官方AI中转配置风险、NIK C2模型接口滥用、朝鲜威胁组织采用AI、Anthropic预览邀请钓鱼、模型辅助规避样本、假冒AI客户端侧加载、Claude共享页面恶意投递及testmetest供应链活动等事件，为企业AI应用、Agent开发环境、软件供应链、身份凭据与终端安全防护提供参考。

情报时效性： 2026年10月24日—10月30日 威胁评估等级：高风险（多源情报验证）