AI 代理篡改：伪造 AI 技能注入恶意代码

骗谁

多数受害者为中小型技术团队与独立研发人员，他们在追逐模型性能优化时，盲目采入第三方 AI 技能包；更有企业平台工程师因缺乏严格的依赖管理和代码审计，错将隐藏后门植入生产环境；同时不熟悉安全检索手段的业余程序员也可因下载恶意插件而成为攻击工具，易受诈骗组织利用。共性是缺乏依赖审计与签名校验流程，对外部技能包过度信任（来源口径归纳，未验独立复核）。

骗局怎么运作

• 创建假 AI 技能项目：诈骗者在知名的 AI 技能共享平台（例如 GitHub）发布一份声称能显著提升模型效果的“劣化 AI 技能”，并提供完整源码与试验报告，诱导生态开发者下载。
• 供应链投毒：在该项目内部嵌入恶意脚本，利用 CI/CD 流程将恶意代码自动注入到负载依赖的子模块或其他项目的依赖链中，使后续使用者在不知情的情况下直接执行恶意代码。
• 引导传播与社交诱骗：通过技术社区、Telegram 讨论组、技术博客等渠道宣称该技能可“一键”提升模型精度，抵消人工调参成本，鼓励团队将其集成至生产项目，形成信息共振。
• 后门植入与数据窃取：恶意脚本在后台以加密方式连接到远程控制服务器，窃取项目凭证、敏感配置或直接执行指令，隐蔽地收集、上传用户信息，甚至启动其他矿池程序。
• 逃逸与清除：攻击者上线后可即时变更源代码文件或删除项目，利用仓库删除或改名等方式逃避安全扫描；与此同时，社区响应速率低导致后续发现时往往已造成损失。

红旗信号（看到这些快跑）

• 🚩 项目宣称性能大幅提升，但缺乏公开可重复的评测报告或与主流模型的对比数据。
• 🚩 发布者要求注册后即可直接使用或在发布时即要求提交 API Key 以获取更多功能，出现异常权限请求。
• 🚩 仓库链接被频繁转载到技术论坛、Telegram 组，且宣传语气夸大、急促，强调“限时免费”“仅限邀请用户”。
• 🚩 源码中隐藏匿名网络请求、Socket 连接或常见后门程序（如反向 shell）且日志被压缩、加密。
• 🚩 项目发布后短期内变黑或作者突然失联、更新频率骤降，且沟通渠道被强制转移到不常用的即时通讯工具。

真实案例

• 另有借助技术社群与博客导流的仿冒技能包案例，以限时免费与邀请制话术诱导集成，实际行为与上述投毒链路同类（来源口径归纳，未验独立复核）。
• 2025年9月，自复制蠕虫Shai-Hulud席卷npm软件供应链：至少187个经JavaScript仓库NPM分发的代码包被植入可自我复制的蠕虫，开发者安装受感染包后，恶意软件会搜寻环境中的npm令牌并窃取开发者凭证发布至GitHub，连安全厂商CrowdStrike的多个代码包也短暂中招；美国网络安全与基础设施安全局（CISA）为此发布预警。（来源：https://krebsonsecurity.com/2025/09/self-replicating-worm-hits-180-software-packages/）
• 2025年9月，安全公司Socket披露另一起npm供应链投毒事件：40多个分属不同维护者的npm包被植入bundle.js恶意代码，下载包文件、篡改package.json并重新发布，实现下游包的自动木马化；攻击者用TruffleHog凭证扫描器搜刮开发者机器上的密钥并回传至外部服务器，Windows与Linux系统均受影响。（来源：https://thehackernews.com/2025/09/40-npm-packages-compromised-in-supply.html）

官方态度

• 2026年7月22日，Tempest《800个假AI Skills与MCP服务器》披露AI代理扩充生态被变成恶意软件供应链（媒体披露口径，截至2026年7月）。来源：https://blog.jiayun.info/2026/07/tempest-deep-dive-2026-07-22-d1c434e53d12/
• 2026年7月28日，CN-SEC《AgentBaiting与7600个恶意仓库背后》披露伪装AI Skill或MCP服务器仓库超800个、Release下载超1400万次（媒体披露口径，截至2026年7月）。来源：https://cn-sec.com/archives/5365663.html
• 2026年8月7日，80aj《警惕AI账号交易骗局》转引Linux.do曝光：Telegram广告群500元Claude 20X Max黑充服务为空壳钓鱼（媒体转引口径，截至2026年8月）。来源：https://www.80aj.com/2026/08/07/ai-scam-telegram-claude/

怎么防护

• ✅ 仅信任官方或权威平台的 AI 技能包，核对作者信息以及项目审核状态；避免使用未经签名的第三方仓库。
• ✅ 在 CI/CD 流程中加入代码审计和静态扫描工具，对新增依赖执行完整性校验与合规性检查。
• ✅ 参考Island披露的核查清单：检查Skill目录与MCP配置文件的近期变更，确认无未经评审的新条目后再安装运行。来源：https://cn-sec.com/archives/5365663.html