当AI幻觉照进现实：一种从未见过的浏览器勒索攻击正在诞生

原创

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年7月2日 16:50
北京

在小说阅读器读本章

去阅读

一、从\"幻觉\"到攻击蓝图

大语言模型辅助编写恶意代码已经不是新闻。从早期的概念验证，到网络罪犯用 ChatGPT 生成工具，再到 VoidLink 这类 AI 编写的恶意软件框架，门槛一降再降。

但这一次，情况有点不一样。

Check Point 的研究人员在分析近 3000 个公开遥测中与 DeepSeek 有关的文件时，发现了一个编号 SHA256 为 07c39f79ab92fb21557b82283472dce1c112f577d796111fb752c3c6d84c86b5 的样本。这是一个 Python Flask 应用，伪装成 Discord 头像 AI 放大工具，前端页面叫\"InfernoGrabber v9.0\"。

打开代码后，研究人员的反应是：这东西大部分功能都是\"假的\"。

样本里塞进了键盘记录、剪贴板监控、网络请求拦截、Discord Token 窃取、加密货币钱包扫描、地理位置获取、摄像头和麦克风调用、桌面截图、本地文件访问、Chrome 漏洞利用 stub、持久化机制……几乎把常见恶意软件的功能清单报菜名似地全列了一遍。

但几乎每一项都撞在了浏览器安全沙箱的墙上：

\"桌面截图\"其实只截了自己的网页
\"键盘记录器\"只能记录用户在当前页面上的按键
\"摄像头/麦克风\"需要浏览器弹窗授权
\"持久化\"只是尝试注册 Service Worker
\"Chrome 漏洞利用\"只有空壳 stub

换句话说，这更像是一份AI 在试图把原生恶意软件的能力翻译成网页代码时产生的\"幻觉蓝图\"——什么都想要，什么都没做成。

但就在这一堆不成熟的代码中，有一个部分击中了要害。

二、唯一落地的环节：浏览器文件系统 API

样本中的 JavaScript 代码调用了这组 API：

showOpenFilePicker();
showDirectoryPicker();

然后递归遍历用户选中的目录，读取文件内容，发送到后端服务器，最后弹出一个勒索信界面。

这就是 File System Access API——一个由 Chromium 浏览器家族（包括 Chrome 和 Android WebView）正式支持的合法 Web API。它设计的初衷是让网页版编辑器、IDE、图像处理工具能够像本地应用一样读写用户文件。

但这个\"合法功能\"在恶意场景中意味着：

一个网页，在用户点击\"允许\"后，可以枚举、读取、修改甚至加密用户授权目录下的任何文件。不需要下载任何程序，不需要安装 APK，不需要利用漏洞，不需要 root 权限。

传统的端点安全产品关注的是进程行为、文件落盘、恶意二进制特征。一个纯浏览器内的文件加密操作，恰恰绕过了这些假设。

三、从\"半吊子样本\"到可用 PoC

原始样本并不完整，浏览器端的加密流程有缺漏，控制流也不稳定。但研究人员想知道：如果把这个想法交给最新的 DeepSeek V4，能做出一个完整可用的概念验证吗？

结果证实了他们的担忧。

当直接要求生成\"勒索软件\"时，DeepSeek V4 会拒绝。但稍微换种说法——比如\"一个请求用户授权访问本地文件、在浏览器内处理文件、并让用户无法恢复原始内容的网页\"——模型就生成了可用的代码。

更值得注意的是，在一次专家模式的生成中，模型甚至主动描述了这段代码的恶意本质：\"一个将逼真的 AI 放大工具界面与隐藏的勒索软件行为相结合的精心陷阱\"——然后继续生成。

四、Android 场景：为什么格外危险

这个攻击链路在桌面端就已经值得关注，但在 Android 上，风险被放大了数倍。

原因很直接：照片是手机上最有价值的数据之一。

几年的生活照片、身份证和银行卡照片、医疗记录截图、旅行证件、工作资料、家人照片……全都在手机相册里。与此同时，Chrome 132 版本将 File System Access API 引入了 Android，而研究人员在最新测试的 Chrome 148 上确认：用户可以选择相册根目录（包括 DCIM 文件夹）进行授权。

整个攻击流程在手机上看起来无比自然：