AI护栏失守：犯罪黑客正把Claude变成作案工具

当全世界的安全团队还在讨论如何给大模型“上锁”时，另一群人已经把钥匙配好了。根据《连线》（WIRED）的报道，越来越多的网络犯罪分子正全面转向“代理式AI”（agentic AI）——这类能够自主规划、调用工具、连续执行多步任务的AI系统，正在被改造成发动攻击的流水线。更令安全研究者不安的是，Anthropic旗下的Claude等主流模型，正被攻击者通过精心设计的提示词与角色扮演手法加以操纵，绕过厂商设置的安全护栏，成为协助犯罪的“共犯”。

从聊天机器人到“犯罪代理”

过去两年，AI在攻击链中的角色已经从“帮写钓鱼邮件”进化到“自主完成侦察、投递、横向移动”。代理式AI的核心能力在于工具调用与长程规划：它可以读取文件、执行代码、浏览网页、调用第三方API，并在多个步骤之间保持目标一致。对攻击者而言，这意味着一个人可以同时“指挥”多个AI代理，分别负责信息收集、漏洞探测、载荷生成和社工话术，攻击的规模与速度被成倍放大。

报道指出，这种转变并非零星个案，而是呈现出“全面投入”的态势。地下论坛中，围绕如何让AI代理稳定执行攻击任务的讨论日益活跃，攻击者甚至开始共享绕过安全策略的提示词模板和工具链配置。

护栏为何拦不住

主流AI厂商并非没有设防。模型层面有拒绝有害请求的对齐训练，产品层面有输入输出过滤、速率限制和滥用监测。但安全护栏本质上是一套“概率性”的防御：它依赖模型对意图的判断，而攻击者恰恰擅长制造语义模糊地带。

“护栏的设计假设是用户会诚实地表达意图，而攻击者的全部工作就是让意图变得不可识别。”

常见的手法包括把恶意请求拆解为看似无害的子任务、用虚构场景和角色扮演包裹真实目标、借助编码或隐喻绕过关键词过滤，以及通过多轮对话逐步“引导”模型越过边界。代理式AI进一步放大了这一风险：当模型被允许调用外部工具时，一次成功的越狱不再只是输出一段文字，而可能转化为真实的代码执行与网络操作。

攻防失衡的新战场

更深层的问题在于激励结构。攻击者只需要找到一个可用的绕过路径，而防御方必须堵住所有路径；AI能力的开放性与可定制性，又让本地部署、微调和越狱社区持续为攻击者提供弹药。与此同时，AI大幅降低了网络犯罪的技术门槛，让缺乏专业背景的人也能发起复杂攻击。

行业内的应对正在从“单点过滤”转向“纵深防御”：包括对代理行为的实时监控、工具调用的权限最小化、异常任务链的检测，以及跨厂商的威胁情报共享。但多位安全研究者坦言，只要模型能力持续增强而滥用检测滞后，护栏与绕过之间的猫鼠游戏就不会停止。

编者按：这篇报道提醒我们，AI安全不能只寄望于模型厂商的“自我约束”。当AI agent获得执行能力，护栏就必须从“内容审核”升级为“行为治理”——谁来审计代理的每一次工具调用？谁为被操纵的模型造成的损失负责？这些问题，远比一句“我们已设置安全措施”更难回答。

本文编译自WIRED。