資安威脅調查平台業者 Any.Run 本週發布報告指出，駭客正大量冒用 Claude、ChatGPT 與 Codex 等熱門 AI 工具名義散布惡意程式。該公司在六個月內於其平台分析的事件中，共有 1,258 起可追溯至假 AI 工具攻擊，
其中 60% 冒用 Anthropic 的 Claude，33% 冒用 OpenAI 的 ChatGPT 與 Codex。這些攻擊多半要求員工自行執行關鍵步驟，可能導致原始碼、雲端與 AI API 金鑰外洩。
誘餌形式多元，從 SEO 毒化到假下載頁
外媒報導指出，網路上充斥以假亂真的 AI 工具仿冒品，這些產品並未提供使用者想要的功能，而是把資訊竊取程式（infostealer）、遠端存取木馬（RAT）等威脅帶進企業網路。Any.Run 分析的攻擊誘餌形式多元，包括 SEO 毒化（SEO poisoning）、惡意廣告（malvertising）、假下載頁面，以及與 AI 相關的成果物（artifacts）。
Any.Run 研究團隊發言人表示，1,258 起事件顯示此類攻擊正在增加。考量全球有超過 16,000 家企業的資安團隊使用該平台調查可疑活動，這個數字反映問題已相當普遍。不過，發言人也坦言無法確認實際感染數量，只能從數據推測這些活動觸及了相當數量的使用者。
近半數攻擊結合 ClickFix 手法
ClickFix 是一種誘使受害者自行複製、貼上並執行惡意指令的手法。Any.Run 報告顯示，這類手法占其研究的 AI 主題攻擊近半。其中，假命令列介面（CLI）安裝程式的 InstallFix 攻擊占 27%，從假下載頁面開始的傳統 ClickFix 攻擊占 17%，另有 25% 的攻擊鏈始於遭濫用的 AI 對話或惡意成果物。
發言人指出，45% 的分析案例中，攻擊者會要求受害者把指令複製貼到介面中，顯示假 AI 與 ClickFix 手法已高度結合。
開發者因工作習慣特別容易受騙
這些誘餌多以 GitHub 頁面上的假 CLI 安裝程式，或複製自官方文件的內容呈現，並託管在 Cloudflare Pages、GitLab Pages、Google Sites、GitHub，甚至 AI 平台本身等可信平台上，主要針對開發者。至於假廣告與遭 SEO 毒化的搜尋結果，則多半鎖定行銷人員。
Any.Run 指出，AI 主題的 InstallFix 與 ClickFix 變種，目的在入侵開發者工作站，取得目標組織的原始碼、SSH 金鑰、CI/CD 權杖，以及雲端與 AI API 金鑰。發言人說明，安裝合法的 AI 程式設計工具本來就常需要在終端機執行指令，因此惡意指令更容易偽裝成正常安裝步驟。行銷人員雖然對駭客的吸引力較低，但這類攻擊仍可能導致高價值商業帳號的憑證外洩。
惡意內容藏在合法網域，偵測難度提高
資安業者 Push Security 則觀察到名為 LLMShare 的手法：攻擊者在 AI 平台上建立共享對話，內容看似提供安裝指引或服務更新，實際含有惡意程式，再透過惡意廣告與 SEO 毒化導流。共享成果物的手法類似，攻擊者直接把惡意內容發布在 AI 平台上。
Push Security 研究員 Dan Green 表示，共享對話、成果物，以及最近出現的自訂 GPT 變種特別棘手，因為網域是真正的 Claude、ChatGPT，使用者不會預期在那裡遇到惡意連結。他並指出，AI 版 InstallFix 約占 Push Security 每月偵測量的 5% 至 10%，且數字逐月成長。
防護建議
Any.Run 指出，報告中的每種攻擊模式，都始於員工自行尋找 AI 工具。該公司建議企業採取以下做法：
- 公布核可的 AI 工具清單與官方來源（供應商網站、winget、Homebrew 或供應商套件），並透過行動裝置管理（MDM）或軟體入口網站安裝
- 限制一般使用者貼上並執行指令的能力
- 教育員工以供應商官方文件核對安裝指令，不要依賴第三方連結、廣告或共享對話
本文轉載自 DarkReading。