幻影抢注利用 AI 幻觉域名进行钓鱼和恶意软件攻击

大语言模型不断编造出不存在的网址。攻击者已开始抢在其他人之前注册这些虚构域名，然后在上面托管钓鱼页面，以截获 AI 工具引导过来的流量。
Palo Alto Networks 的 Unit 42 将这种技巧称为"幻影抢注"，其新研究表明这已在野外发生。
其重要性在于信任。开发者和 AI 助手越来越倾向于将模型返回的链接视为真实的。当模型编造出一个尚不存在的域名时，第一个注册它的人就继承了所有这种错位的信任，无需钓鱼邮件，也无需恶意广告。
为了衡量这个问题，Unit 42 向两个 AI 模型提出了 685,339 个问题，涉及技术、金融、医疗、政府、博彩等领域的 913 个知名品牌。
这些模型生成了 210 万个链接。威胁情报已标记其中 13,229 个为直接恶意，这意味着 AI 正在分发已知的恶意地址。大约 25 万个被编造的域名尚无所有者，每个都是先注册者的现成目标。
幻影抢注的工作原理
这种攻击之所以有效，是因为一个全新的域名没有声誉。阻止列表、威胁情报源和信誉评分都需要一个网站先作恶一段时间，然后才会标记它。
一个刚注册的幻影域名没有这样的记录，因此这些过滤器没有任何可标记的东西。等到它们反应过来，受害者已经被他们信任的工具引导到了该网站。
有两个细节使情况更糟。这些虚假域名并不在训练数据中：两个模型都在真正的恶意网站存在之前就已发布，因此这些地址来自模型自身的语言模式，而非记忆。而且这些模式是一致的。
不同的模型通常会对同一个问题编造出相同的虚假域名，这使得攻击者很容易猜到下一个目标。调高模型的"创造力"设置只会产生更多被编造的域名。正如 Unit 42 的研究人员所说，这个攻击向量"利用了 LLM 架构的结构性属性，该属性本质上是无法修补的。"
两个观察到的案例
有两个案例展示了完整的攻击链条。2026 年 3 月 8 日，Unit 42 的系统预测 AI 模型将编造一个类似于某国家邮政服务在线市场的域名。两个模型在所有温度设置下都生成了该域名，这是一个强烈的信号，表明它们将虚假网站视为事实。
23 天后，也就是 3 月 31 日，一名攻击者注册了那个确切的域名，并搭建了一个名为 Montana Empire 的钓鱼工具包。该工具包实时复制了真实的在线商店界面。它窃取了卡号、银行转账详情和国家 ID 数据。
一个 Telegram 机器人让操作者手动批准受害者的一次性密码。暴露的痕迹是：遗留的项目文件和会话日志显示，犯罪分子使用 AI 编码助手构建了这个工具包。攻击者和防御者通过询问 AI，以同样的方式到达了同一个虚假域名。
在第二个案例中，Unit 42 在攻击者注册域名前整整 51 天就标记了一个被幻觉出来的邮政服务域名。攻击者随后将其包装成一个像素级完美的品牌克隆，添加了虚假的 4.8 星评级和超过 200 万用户的声明，并用它来推送一个恶意 Android 应用。
其他被检测到的域名冒充了一家阿联酋主要银行（攻击者已滥用该银行近一年）、一家欧洲银行，以及针对孟加拉国用户的体育博彩网站。
针对新目标的老把戏
幻影抢注是域名版的"垃圾抢注"，即攻击者注册 AI 编码工具编造出的虚假软件包名。这并非假设。
一项大型 USENIX 研究发现，代码生成模型通常会建议不存在的包名，而 PhantomRaven 活动正是将这种行为转化为隐藏在 126 个 npm 包中的恶意软件，安装量超过 86,000 次。
这指向一个更大的转变：模型输出正在变成输入。开发者、代理和安全团队在任何人验证之前就对 AI 生成的链接和名称采取行动，而 AI 不断缩短防御者的反应时间。
这也发生在品牌冒充钓鱼已成为付费服务的世界里，像 Lucid 和 Lighthouse 这样的工具包在 74 个国家针对 316 个品牌建立了 17,500 个虚假域名。
应对措施
由于模型一致性地产生幻觉，安全团队可以映射出模型可能产生哪些虚假域名，并监视是否有人注册它们，通常会有数周的预警时间。对于其他人来说，实际步骤很简单：

• 不要仅仅因为 AI 给了链接就信任它。在输入密码或将其粘贴到代码中之前，确认该域名是真实的官方域名。
• 让 AI 代理在未经检查的情况下，不要自动打开或下载模型生成的链接。代理没有人类可能有的那种犹豫本能。
• 将模型写的任何内容视为未经验证的草稿，而非权威。
  这个窗口期是敞开的，奖励先行动的人。正如 Unit 42 所概括的，真正的问题很简单：是防御者还是攻击者能更早地到达这些域名。