随着多模态、交互、编码等各项能力的进化，AI 智能体的应用也越来越广泛。随之而来的就是 AI 智能体在相应应用场景获取的权限也越来越多。 尤其是在 AI 已经落地应用的杀手锏能力 —— 编程领域里，智能体几乎获取了用户设备中文件全部的读写权限。这方面的风险不言自明。就像我们过去报道过的 Replit「删库」事件。 「删库」事件是 AI 智能体本身的翻车，大众的目光似乎总是被 AI 模型自身的能力缺陷造成的风险吸引了注意，但却似乎忽视了更大的外部风险。 2025 年 8 月 26 日晚上约 10 点 32 分（UTC），广受欢迎的 Nx 构建系统（Nx build system） 软件包遭到入侵，被植入了窃取数据的恶意程序。这些带有后门的版本仅在网络上存活了 5 个多小时 就被下架，但在这短暂的时间里，成千上万的开发者可能已经受到影响。 它更进一步，将开发者常用的 AI 命令行工具（CLI）武器化，包括 Claude、Gemini 和 q。这些 AI 工具被劫持，用来做信息获取和数据外传。这是已知的首个案例：黑客把开发者的 AI 智能体变成了攻击的帮凶。 由于 Nx 生态系统本身非常流行，再加上 AI 工具滥用的现象，这次事件凸显了黑客攻击的严重性。所有安装过受污染版本的用户，都必须立即采取补救措施。目前，nx 团队已经发布了官方安全通告（编号 GHSA-cxm3-wv7p-598c），确认了这次入侵，并披露更多细节。公告证实：攻击源于一名维护者的 npm 账号令牌泄露，黑客借此控制了发布权限。 10:32 PM —— 恶意版本 21.5.0 发布到 npm 仓库10:39 PM —— 恶意版本 20.9.0 发布11:54 PM —— 黑客同时发布 20.10.0 和 21.6.0 两个带毒版本8 月 27 日 12:16 AM —— 恶意版本 20.11.0 发布12:17 AM —— 仅一分钟后，又发布恶意版本 21.7.012:30 AM —— 一名社区成员在 GitHub 提交 issue，提醒 nx 团队发现可疑行为12:37 AM —— 最后两个恶意版本 21.8.0 和 20.12.0 被发布02:44 AM —— npm 官方采取行动，移除所有受影响版本03:52 AM —— nx 组织所有者吊销被盗的维护者账号，阻止进一步的恶意发布09:05 AM —— GitHub 限制了被窃取机密信息的仓库，将其设为私有并从搜索结果中移除10:20 AM —— npm 进一步清理，移除了更多受影响的相关软件包版本03:57 PM —— npm 启用新的安全措施，覆盖所有 Nx 包 每当开发者安装这个包时，它就会自动运行一个叫 telemetry.js 的脚本。这个脚本几乎是「秒触发」，为攻击者打开了进入开发者电脑的大门 —— 并且是大规模同时发生的。 系统信息：环境变量（process.env）、主机名和操作系统细节以及平台信息；加密货币钱包：MetaMask 密钥库、Electrum 钱包、Ledger 与 Trezor 硬件钱包数据、Exodus、Phantom 和 Solflare 钱包以及通用的密钥文件（例如 UTC–*、keystore.json、*.key）； 使用窃取的 GitHub 令牌，自动创建一个名为 s1ngularity-repository 的公共 GitHub 仓库。部分变种还会在名字后面加上 「-0」、「-1」 等数字后缀。将所有收集到的数据 进行三次 编码（triple- encode）。把结果写入一个名为 results.b64 的文件，并上传到新建仓库。把仓库设为 公开状态，间接让敏感数据暴露在互联网上。 在～/.bashrc 和～/.zshrc 文件末尾，恶意程序会添加命令：sudo shutdown -h 0这样一来，每次用户新开一个终端，系统就会尝试立即关机。结果就是造成了一种 拒绝服务（DoS） 的效果：开发者的工作环境被彻底破坏。 不仅是利用 AI 工具入侵用户数，黑客们利用 AI 进行恶意行为的现象已经成为了一种新的趋势。参照 Anthropic 八月份 AI 滥用报告，Claude 同样也是被黑客滥用的重灾区。 犯罪分子利用 Claude Code 实施了大规模的数据盗窃和勒索。受害对象至少包括 17 家不同的机构，涵盖医疗、应急服务、政府部门，甚至宗教组织。 与传统勒索软件不同，这名黑客并没有加密数据，而是直接威胁：如果不给钱，就把敏感信息公之于众。在一些案例中，勒索金额高达 50 万美元。 Claude Code自动化了大量侦查任务，帮助黑客窃取受害者凭证并渗透网络。Claude 不只是执行命令，还能做出战术与战略层面的决策，比如选择窃取哪些数据、如何撰写勒索信息。它会分析被盗的财务数据，自动推算合理的勒索金额它甚至还能生成视觉上极具冲击力的勒索通知，直接显示在受害者电脑上，制造心理压力。 完成后，黑客将这些「勒索软件即服务（RaaS）」发布在网络论坛上出售，价格在 400 美元到 1200 美元 不等。换句话说，即便没有多少技术能力的人，也能花钱买到一款现成的 AI 生成勒索工具。 更令人关注的是，PromptLock 并不会把体量巨大的模型直接下载到受害者设备上，而是通过在受害网络中建立 代理，将请求转发至远程服务器上运行的 Ollama API + gpt-oss-20b 模型，这种方式属于 MITRE ATT&CK 框架中的内部代理技术，也是现代网络攻击中愈发常见的手段。 更严重的是，AI 已经渗透进网络犯罪的整个流程：从锁定受害者、分析被盗数据、窃取信用卡信息，到伪造身份、扩大诈骗规模，AI 正在成为黑客的全链路「帮凶」。
