网络安全威胁情报公司CrowdStrike的研究人员调查了2023年5月至8月期间，由四个此前未被报道的黑客团体发起的攻击，这些团体分别使用中文、西班牙语和英语、印尼语以及俄语进行活动。研究发现，前两个团体展示了复杂的AI“控制系统”，即支持和引导模型执行任务的软件，而后两个团体技术水平较低，但仍成功入侵了多个目标。所有团体都将其AI基础设施暴露在网络服务器上，方便研究人员分析其活动及所用模型，主要是Anthropic公司的Claude系列和开源Deepseek模型的多个版本。所有攻击者都设计了能够让攻击活动在较长时间内自主运行的方案。

CrowdStrike高级副总裁Adam Meyers表示：“在操作中可以针对不同环节使用不同模型，模型的路由和选择非常关键，因为使用最新模型成本高且常常过于复杂。”研究人员观察到攻击者同时使用开源和闭源模型，且几乎都采用了较旧版本，而非最新前沿模型。Meyers指出，合法的AI应用中也常见尽可能使用旧模型以降低成本。

攻击者利用多种模型的防护差异，规避了AI的安全限制。Meyers指出：“即使是同一家公司，不同模型的防护措施也不完全相同。”他补充说，这些攻击并未利用新漏洞或新型攻击手法，而是依靠AI的速度和规模优势，针对许多环境中普遍存在的安全卫生问题发起攻击，这些问题本可预防却未被防范。

研究发现，四个威胁团体均绕过了AI安全措施，常用方法是让模型相信其行为是合法且授权的，通常以渗透测试或安全评估为由。许多团体通过向代理程序的工作目录添加文件，试图证明任务已获批准。攻击者还采用传统的“越狱”技术，设计提示语和叙述，将黑客行为包装成授权且无害的操作，主动回应模型可能提出的疑问。技术更成熟的团体在构建故事时更具策略性，而技术较弱的团体则使用更粗暴的提示，试图强迫模型接受其行为的合法性。

使用中文的团体还采用了“运行时补丁”工具ClawGod，增强Claude Code功能，试图移除系统提示中的“CYBER_RISK_INSTRUCTION”，该指令限定Claude Code仅参与授权的安全测试，禁止滥用或破坏性黑客行为。

使用西班牙语和英语的团体针对阿根廷医疗机构，成功攻破至少15家组织。CrowdStrike的研究显示，该团体窃取了部分受害者的凭证和医疗记录。该团体专门构建了渗透测试控制系统，类似组织自测基础设施的工具，利用Claude Opus 4.5、Claude Haiku 4.5和Deepseek V4 Pro等模型，搭建了一个由“监督者”Claude Code代理指挥攻击步骤、“执行者”代理实施攻击的全自动攻击架构。

使用中文的攻击者同样构建了渗透测试控制系统，引导Claude Code进行侦察，并在人工选择行动方案后自主发起攻击。研究人员发现该团体成功攻破了巴西和哥伦比亚的政府目标，并针对巴西和美国的私营机构，涉及生物技术、医疗、食品饮料、零售、科技和旅游等多个行业。

研究指出，中文团体主要使用Claude Opus 4.8，也使用Claude Sonnet 4.6和Deepseek Chat等模型。该团体通过中国的AI代理服务访问Claude，并设置了多个备用AI工具以防代理不可用。

Anthropic未在发布前回应评论请求，Deepseek也未立即回复采访。

研究人员表示，俄语团体主要从事金融驱动的电子犯罪，印尼语团体技术最为基础，均使用公开的技能和控制系统实施攻击，但仍成功入侵多个目标，包括印尼和孟加拉国政府域名及部分私营部门目标。

CrowdStrike的Meyers总结：“我们看到人类在初期进行探测，然后利用AI进行大规模黑客攻击。即使是具备自主能力的攻击，我们依然能发现背后有人类操控及其意图。”