HackerNews 编译，转载请注明出处： 利用人工智能（AI）能力、代表用户在多个网站自主执行操作的智能代理浏览器，可能被诱导并欺骗，从而落入钓鱼和诈骗陷阱。 Guardio 在提前提供给 The Hacker News 的报告中表示，该攻击的核心是利用 AI 浏览器对自身行为进行推理的特性，并将其反过来用于降低模型的安全防护机制。 安全研究员 Shaked Chen 表示：“AI 现在会在混乱且动态的页面中实时运行，同时不断请求信息、做出决策，并一路叙述自己的行为。不过，用‘叙述’这个词其实相当保守 —— 它会不停地说，而且说得太多了。” “这就是我们所说的Agentic Blabbering：AI 浏览器会暴露它所看到的内容、它认为正在发生的事情、它接下来计划做什么，以及它将哪些信号视为可疑或安全。” Guardio 称，通过拦截浏览器与厂商服务器上运行的 AI 服务之间的流量，并将其作为输入提供给生成对抗网络（GAN），研究人员能够在不到四分钟的时间内让 Perplexity 的 Comet AI 浏览器成为钓鱼诈骗的受害者。 这项研究建立在 VibeScamming 和 Scamlexity 等现有技术之上，这些技术发现，氛围编码平台和 AI 浏览器可能被诱导生成诈骗页面，或通过隐藏的提示注入执行恶意操作。换句话说，由于 AI 代理在无人持续监督的情况下处理任务，攻击面发生了转变：诈骗不再需要欺骗人类用户，而是以欺骗 AI 模型本身为目标。 Chen 解释道：“如果你能观察到代理将哪些内容标记为可疑、在哪些地方犹豫，更重要的是，它对页面的想法和‘唠叨’内容，你就可以将这些作为训练信号。诈骗页面会不断迭代优化，直到 AI 浏览器稳稳地落入另一个 AI 为它设置的陷阱。” 简单来说，其思路是构建一台 “诈骗机器”，迭代优化并重新生成钓鱼页面，直到代理浏览器不再发出警告，并继续执行威胁行为者的指令，例如在为退款诈骗设计的虚假网页中输入受害者的凭据。 此次攻击有趣且危险的地方在于，一旦欺诈者针对某一特定 AI 浏览器迭代出可用的网页，该网页就能对所有依赖同一代理的用户生效。换言之，攻击目标已从人类用户转向 AI 浏览器。 Guardio 表示：“这揭示了我们即将面临的糟糕前景：诈骗不仅会在野外发起和调整，还会针对数百万人依赖的 exact 模型进行线下训练，直到它们在首次接触时就能完美生效。因为当你的 AI 浏览器解释它为什么停止时，它其实是在教攻击者如何绕过它。” 该披露发布之际，Trail of Bits 针对 Comet 浏览器演示了四种提示注入技术，通过利用浏览器的 AI 助手，在用户要求总结其控制下的网页时，从 Gmail 等服务中提取用户私人信息，并将数据外传至攻击者服务器。 上周，Zenity Labs 还披露了两起影响 Perplexity Comet 的零点击攻击，这些攻击利用会议邀请中植入的间接提示注入，将本地文件外传至外部服务器（代号 PerplexedComet）；若密码管理器扩展已安装并解锁，则劫持用户的 1Password 账号。这些问题被统一命名为 PerplexedBrowser，目前已由该 AI 公司修复。 该攻击通过一种名为意图冲突（intent collision）的提示注入技术实现。安全研究员 Stav Cohen 表示，这种情况发生在 “代理将用户的良性请求与来自不可信网页数据的攻击者控制指令合并到单一执行计划中，却没有可靠方法区分二者” 时。 提示注入攻击对于大语言模型（LLM）及其集成到企业工作流程来说，仍然是一项根本性的安全挑战，主要原因是完全消除此类漏洞可能并不现实。2025 年 12 月，OpenAI 指出，此类弱点 “几乎不可能” 在代理浏览器中被彻底解决，尽管相关风险可以通过自动化攻击发现、对抗训练和新的系统级安全措施来降低。 消息来源：thehackernews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 嵌入在可访问客户端代码中的 Google Maps 等服务 API 密钥，可被用于向 Gemini AI 助手进行身份认证并访问私有数据。 研究人员在扫描各行业机构（甚至包括 Google 自身）的互联网页面时，发现了近 3000 个此类密钥。 该问题在 Google 推出 Gemini 助手、开发者开始在项目中启用 LLM API 后出现。在此之前，Google Cloud API 密钥不被视为敏感数据，即使暴露在公网也无风险。 开发者可使用 API 密钥扩展项目功能，例如在网站中加载地图、嵌入 YouTube、使用追踪或 Firebase 服务。 Gemini 推出后，Google Cloud API 密钥同时成为了 Google AI 助手的身份认证凭证。 TruffleSecurity 研究人员发现该问题并警告：攻击者可从网页源码中复制 API 密钥，通过 Gemini API 服务访问私有数据。 由于 Gemini API 并非免费使用，攻击者可利用该权限发起 API 调用为自身牟利。 Truffle Security 表示：“根据模型与上下文窗口不同，攻击者耗尽 API 调用额度可能导致单个受害账户每天产生数千美元费用。” 研究人员警告称，这些 API 密钥已在公开 JavaScript 代码中暴露多年，如今却在无人察觉的情况下突然获得了更高危的权限。 （来源：TruffleSecurity） TruffleSecurity 扫描了 2025 年 11 月的 Common Crawl 数据集（大量热门网站的代表性快照），在代码中发现超过 2800 个公开暴露的活跃 Google API 密钥。 据研究人员称，部分密钥被大型金融机构、安全公司和招聘公司使用。他们已向 Google 报告该问题，并提供了来自其基础设施的样本。 在其中一例中，一个仅用作标识符的 API 密钥至少从 2023 年 2 月开始部署，并嵌入在 Google 某产品公网网站的页面源码中。 Google 暴露的密钥（来源：TruffleSecurity） Truffle Security 通过调用 Gemini API 的 /models 端点并列出可用模型对该密钥进行了测试。 研究人员已于去年 11 月 21 日将该问题告知 Google。 经过多轮沟通，Google 于 2026 年 1 月 13 日将该漏洞归类为 “单服务权限提升”。 Google 在向 BleepingComputer 发表的声明中表示，已知晓该报告，并 “与研究人员合作解决了该问题”。 Google 发言人向 BleepingComputer 表示：“我们已实施主动措施，检测并阻止泄露的 API 密钥访问 Gemini API。” Google 表示，新的 AI Studio 密钥将默认仅限定 Gemini 权限，泄露的 API 密钥将被禁止访问 Gemini，且检测到泄露时将发送主动通知。 开发者应检查项目中是否启用了 Gemini（Generative Language API），审计环境中所有 API 密钥是否公开暴露，并立即轮换密钥。 研究人员还建议使用 TruffleHog 开源工具检测代码与仓库中暴露的活跃密钥。   消息来源：bleepingcomputer.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 一名黑客从 2025 年 12 月开始，历时一个月，利用 Anthropic 公司的 Claude AI 聊天机器人进行攻击，识别漏洞、生成漏洞利用代码，并从墨西哥政府机构窃取敏感数据。 网络安全公司 Gambit Security 发现了此次攻击，并揭示了黑客如何通过持续不断的提示绕过 Claude 的安全防护措施。 据 Bloomberg 报道，此次攻击行动从 2025 年 12 月持续到 2026 年 1 月初。黑客编写了西班牙语提示，将 Claude 伪装成一名“精英黑客”，参与模拟漏洞赏金计划。 Claude 最初以人工智能安全准则为由拒绝了黑客的请求，但在黑客的反复劝说下最终妥协，生成了数千份包含可执行脚本的详细报告，用于漏洞扫描、漏洞利用和数据自动化。 当 Claude 达到极限时，攻击者转而使用 ChatGPT 进行横向移动和规避。 Gambit 的研究人员分析了对话日志，发现 Claude 生成了分步计划，明确了内部目标和所需的凭证。这种“智能”AI 辅助降低了网络攻击的门槛，除了 AI 订阅之外，无需任何高级基础设施。 目标和数据泄露 此次攻击的目标是高价值实体，并利用了联邦和州系统中至少 20 个漏洞。 总共泄露了 150GB 的纳税人、选民、凭证和注册数据，目前尚未有公开泄露报告。 Claude 的输出包括用于网络扫描的侦察脚本、SQL 注入漏洞利用程序以及针对过时政府系统定制的凭证填充自动化程序。 提示信息主要集中在常见的错误配置上，例如未打补丁的 Web 应用程序和弱身份验证，这些错误在墨西哥的旧式基础设施中很常见。 Gambit 指出，人工智能能够将任务串联起来，从漏洞发现到有效载荷部署，这与高级持续性威胁类似，但更易于单人操作。 Anthropic 对此事进行了调查，封禁了涉事账户，并为 Claude Opus 4.6 添加了实时滥用探测功能。OpenAI 确认 ChatGPT 会拒绝违反策略的提示。 墨西哥方面的回应各不相同：哈利斯科州否认存在数据泄露，墨西哥国家统计局 (INE) 声称没有未经授权的访问，而联邦机构则在评估损失。Gambit 排除了国家行为体参与的可能性，认为事件是由一名身份不明的个人所为。 埃隆·马斯克在 X 上发布了一张表情包，强调了人工智能的风险，而 xAI 的 Grok 则强调了其拒绝非法请求的功能。 此次事件凸显了“人工智能策划”的网络犯罪风险，越狱会将消费者模型转化为黑客工具。专家敦促各方迅速采取工程防御措施、行为监控，并在敏感操作中使用物理隔离的人工智能。 面对日益猖獗的智能体威胁，各国政府必须优先修补遗留系统，因为这些威胁不再需要精英黑客，只需要持续不断的黑客。 消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 安全研究公司 LayerX 发现的一处新的严重漏洞，暴露了大语言模型（LLM）在处理信任边界方面的基础架构缺陷。 Claude 桌面扩展（DXT）中存在的零点击远程代码执行（RCE）漏洞，使得攻击者仅需构造一个恶意的 Google 日历事件即可攻陷系统。 该漏洞被 LayerX 评为 CVSS 10.0 分，影响了超过 10,000 名活跃用户和 50 多个 DXT 扩展。它突显了模型上下文协议（MCP）生态系统中一个危险的缺口：AI 代理能够在未经用户同意的情况下，自主地将低风险数据源与高权限执行工具链接起来。 问题的核心在于 Claude 桌面扩展的架构。与现代浏览器扩展（如 Chrome 的 .crx 文件）运行在严格的沙箱环境中不同，Claude 的 MCP 服务器在主机上以完整的系统权限运行。这些扩展并非被动插件，而是 AI 模型与本地操作系统之间的主动桥梁。 根据 LayerX 的说法，这种缺乏沙箱保护的设计意味着，如果一个扩展被诱骗执行命令，它将拥有与用户相同的权限，能够读取任意文件、访问存储的凭证以及修改操作系统设置。 Claude 桌面扩展的零点击 RCE 漏洞 该漏洞利用无需复杂的提示工程或受害者的直接交互来触发有效载荷。攻击载体简单得令人震惊：一个 Google 日历事件。 在被研究人员称为“Ace of Aces”的攻击场景中，攻击者邀请受害者参加一个名为“Task Management”的日历事件（或将其注入到共享日历中）。事件描述中包含克隆恶意 Git 仓库并执行 makefile 的指令。 当用户之后向 Claude 提出一个无害的请求，例如“请查看我 Google 日历中的最新事件并为我处理一下”时，模型会自主地将“处理一下”的指令解释为执行在日历事件中找到的任务的授权。 由于没有硬编码的防护措施来阻止数据从低信任度连接器（Google 日历）流向高信任度的本地执行器（Desktop Commander），Claude 会继续执行以下操作： ·     从日历中读取恶意指令。 ·     使用本地 MCP 扩展从攻击者的仓库执行 git pull。 ·     执行下载的 make.bat 文件。 这整个过程在没有针对代码执行的特定确认提示的情况下发生，从而导致系统被完全攻陷。用户以为自己只是在请求更新日程，而 AI 代理却在无声中将系统的控制权交给了恶意行为者。 该漏洞的独特之处在于，它并非传统的软件漏洞（如缓冲区溢出），而是一种“工作流故障”。缺陷在于 LLM 的自主决策逻辑。 Claude 的设计初衷是提供帮助并自主运行，通过链接工具来满足请求。然而，它缺乏理解以下情况所需的上下文：源自日历等公共来源的数据绝不应直接传输到特权执行工具中。 LayerX 的报告指出：“这在由 LLM 驱动的工作流程中造成了系统级的信任边界违规。将良性数据源自动桥接到特权执行上下文中从根本上是不安全的。” LayerX 将这些发现披露给了 Claude 的创造者 Anthropic。令人惊讶的是，据报道该公司决定目前不修复此问题，可能是因为该行为符合 MCP 自主性和互操作性的预期设计。修复它将需要对模型链接工具的能力施加严格限制，这可能会降低其实用性。 在实施补丁或架构更改之前，LayerX 建议，对于安全敏感的系统，应认为 MCP 连接器是不安全的。 研究团队建议用户，如果他们还使用摄入外部非受信数据（如电子邮件或日历）的连接器，则应断开高权限的本地扩展。 随着 AI 代理从聊天机器人转变为主动的操作系统助手，攻击面已经发生了变化。这个零点击远程代码执行（RCE）漏洞发出了一个警告：授予 AI 代理访问我们数字生活的权限，也使我们暴露在那些能够操纵其数据的人面前。让 AI 处理任务的便利性伴随着巨大的安全风险。   消息来源: cybersecuritynews.com： 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文

如今，有越来越多的恶意行为者开始利用AI大语言模型开发能够绕过 YARA 规则的自我增强型恶意软件。 根据近日Recorded Future 发布的一份新报告：AI可以通过增强小型恶意软件变种的源代码来规避基于字符串的 YARA 规则，从而有效降低检测率。 目前，已经有威胁行为者在尝试使用AI技术来创建恶意软件代码片段、生成网络钓鱼电子邮件以及对潜在目标进行侦查。 这家网络安全公司称，它向一个大模型提交了一款与 APT28 黑客组织有关联的名为 STEELHOOK 的已知恶意软件，同时还提交了其 YARA 规则，要求它修改源代码以躲避检测，这样就能保持原有功能不变，而且生成的源代码在语法上没有错误。有了这种反馈机制，由大模型生成的经过修改的恶意软件就有可能躲过基于字符串的简单 YARA 规则的检测。 但这种方法也有局限性，比如大模型一次可处理的输入文本量，这使得它很难在较大的代码库中运行。 除了修改恶意软件以外，这种人工智能工具还可用于创建假冒高级管理人员和领导人的深度假冒程序，并大规模模仿合法网站开展影响行动。 此外，生成式AI还有望加快威胁行为者对关键基础设施进行侦察和收集信息的能力，这些信息可能在后续攻击中具有战略用途。 该公司表示：通过利用多模态模型，除了航拍图像外，ICS 和制造设备的公共图像和视频也可被解析和丰富，以找到更多的元数据，如地理位置、设备制造商、型号和软件版本。 事实上，微软和OpenAI上个月就警告称，APT28利用LLMs 获取了卫星通信协议、雷达成像技术和特定技术参数，这说明他们正在深入了解卫星能力。因此，微软和OpenAI建议各组织仔细检查可公开访问的描述敏感设备的图片和视频，并在必要时删除它们，以降低此类威胁带来的风险。 就在这项研究取得进展的同时，还有学者发现，有可能通过传递 ASCII 艺术形式的输入（例如，”如何制造炸弹”，其中 BOMB 一词是用字符 “*”和空格写成的），越狱 LLM 驱动的工具并生成有害内容。 这种实际攻击被称为 ArtPrompt，它利用 LLM 在识别 ASCII 艺术方面的低劣性能，绕过安全措施，从而诱发 LLM 的不良行为。   转自Freebuf，原文链接：https://www.freebuf.com/news/395324.html 封面来源于网络，如有侵权请联系删除