文章总结： 文章深度解析黑客利用多智能体AI框架实现全自动渗透攻击，6小时内窃取数千凭据。攻击者以LLM为控制中枢，通过Markdown指令集驱动AI代理执行漏洞扫描、实时排错与IP轮换。TeamPCP组织武器库升级为DUSTMAKER，针对CI/CD管道实施AI投毒与提示词注入窃取开发者凭据。黑客通过攻陷云环境部署本地去审查开源模型规避监管。建议加强CI/CD流程中AI编码助手的提示词注入防护。 综合评分： 85 文章分类： 威胁情报,AI安全,恶意软件,供应链安全

当黑客用上无限制开源模型：深度解析全自动AI渗透与供应链黑产

原创

Kit Chung Kit Chung

安全圈动向

2026年9月11日 08:00 广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

大家好，最近我在看 Google 威胁情报组（GTIG）的一份最新报告，说实话，看完觉得背脊发凉。咱们平时用 AI 写代码、查 Bug，黑客也没闲着。他们已经进化到了用多智能体（Multi-agent）AI 框架来发起自动化攻击，不到6个小时就收割了数千个第三方凭据！今天咱们就来硬核扒一扒，这帮人到底是怎么用 AI 对咱们进行“降维打击”的。

核心揭秘：6小时全自动渗透的技术路径

这次攻击最离谱的地方在于它的高度自治性。黑客根本不需要在电脑前手动敲命令。

• 编排大脑

  攻击者利用大语言模型聊天机器人作为控制中枢，输入特定的 Prompt 和 Agent 指令集。

• Markdown剧本驱动

  他们把预先配置好的 Markdown 指令集当成“操作手册（Playbooks）”喂给 AI 代理。

• 全自动流水线

  AI 接管了整个漏洞扫描流水线，不仅能自己执行扫描，还能在遇到报错时实时查漏排错（Troubleshooting），并根据封锁情况自动执行 IP 轮换逻辑，全程不需要人工干预。

武器库迭代：从 SANDCLOCK 到 DUSTMAKER

这次行动背后的黑手是一个叫 TeamPCP 的利益驱动型组织。为了搞定软件供应链和 CI/CD 流水线，他们的武器库完成了关键升级。

• 前辈 SANDCLOCK

  早期这款工具是用 Python 写的，主要针对 Linux 和 K8s 环境，核心绝活是容器逃逸（Container Escape）。

• 新锐 DUSTMAKER

  目前主力已切换为跨平台的 JavaScript 载荷，专门死磕 CI/CD 管道，放弃了容器逃逸功能。

• AI 投毒与提示词注入

  DUSTMAKER 的杀手锏是专门针对 AI 编码助手进行“工作区投毒”，并通过提示词注入（Prompt Injection）来绕过咱们的安全防御机制，直接窃取开发者凭据。

规避监管：黑客的本地开源模型部署术

你们可能会问，用商业大模型搞黑产，账号不被安全策略拦截吗？这就是黑客最狡猾的地方。

• 以 UNC6508 为代表的黑客组织，直接攻陷受害者的云环境，利用窃取的算力部署本地的开源大模型（Open-weight models）。
• 他们特别偏爱经过“去审查（Abliterated）”处理的无限制版本模型，彻底摆脱了安全厂商预设的道德护栏。
• 通过这种本地化、无监控的部署，黑客完美避开了 AI 供应商的 API 监控，大规模批量生成定制化的漏洞利用脚本和绕过 Cloudflare 安全网关的代码。

不得不说，大模型的开源确实推动了技术发展，但也把潘多拉魔盒交给了黑产。咱们平时用大模型写代码的时候，基础设施的安全审查真的不能掉以轻心。

你在日常的 CI/CD 流程中，有针对 AI 编码助手可能引发的提示词注入风险做过专门的安全防护策略吗？

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全圈动向 Kit Chung Kit Chung《当黑客用上无限制开源模型：深度解析全自动AI渗透与供应链黑产》