GTIG AI Threat Tracker：从输入一条提示词到在六小时内获取数千个凭据

Google Threat Intelligence Group 发布了其 2026 年第二季度版AI Threat Tracker，发布日期为 2026 年 9 月 8 日。这份报告所载的案例可以直截了当地简要说明：一名疑似受经济动机驱动的行为者获取了属于受害者的云资源，将一段提示词和一组预先编写的智能体指令输入 AI 编程聊天机器人，并将数千个第三方凭据在不到六小时内窃取到手，该智能体自行管理漏洞扫描、故障排查和 IP 轮换。同一份报告还描述了 PyPI 上的木马化 MCP 服务器、一种凭据窃取器——它窃取构建系统自身的身份，使其后门软件包附带有效且经加密签名的 SLSA Build 3 证明——以及旨在让基于 LLM 的安全扫描器拒绝读取其下方代码的对抗性文本。所有这些都是 Google 对其自身遥测数据的叙述。 本报告连同其置信度评级和引用来源，已被收录于 AI 事件档案，该档案还收录了本系列中其他所有已记录的事件。

没有任何实质性说法已由并非在转述谷歌的一方核实。Help Net Security在发布当天报道了该追踪器，Cloud Security Alliance于次日发布了一份研究简报，而Lineaje于9月17日发布了一份DUSTMAKER分析；它们都只是对谷歌披露内容的摘要或分析性叠加，Lineaje自己也这么说，并指出GTIG“描述的是DUSTMAKER的若干相关能力，而不是单一观测到的端到端执行轨迹”。与这一记录并列引用的第二个来源，是threatops.tech于2026年9月11日发布的一条“威胁脉搏”条目，它只是重述而非第二见证者：它没有增加任何报道，没有对任何数字提出异议，并且提高了严重性标签，却没有解释其衡量基准是什么。就连该版本的名称，各报道也并未完全一致——Help Net Security称其为2026年第三季度追踪器，却将其主要案例定在2026年第二季度——这是编号差异，而非事实冲突。

该档案将其归档为报告而非事件：置信等级为 A，无争议，未记录任何量化的实际危害数字。这一评级描述的是文档记录的质量，而非损害规模。Google 统计的是凭据，而非受害者。该追踪记录未说明有多少组织卷入了这场为期六小时的活动、它们是谁、使用了哪个聊天机器人，也未说明任何被盗凭据后来是否被出售或使用。

GTIG 描述的六个小时，以及该智能体独自完成的三项工作

报告中的攻击序列从访问到产生结果，中间几乎没有人工参与。行为体先入侵了一个云资源，随后使用一个商用 AI 编程聊天机器人，并结合 GTIG 所称的“一个提示词”和“一组智能体指令”——这些如今以 AGENTS.md 文件形式存放在代码仓库中的 Markdown 操作手册——来规划、构建并运行该行动。谷歌自己对结果的表述是“一场由智能体驱动的大规模凭据收集活动”，并在“不到六小时内”完成。

有三项任务被描述为自主任务，而它们正是原本会占用操作员注意力的那三项任务：

• 漏洞扫描流水线，智能体指令让 AI 可以“自主管理”它——这是 Help Net Security 援引 GTIG 时的措辞。

• 实时排查扫描发现的任何问题，这样即使出现故障，也不会让运行停滞以等待决策。

• IP 轮换，因此连续尝试会从不同地址发出，而无需任何人发出该命令。

行动在哪里运行，与它运行得多快同样重要。通过利用受害者自身的云基础设施开展活动，该行为体使流量经由受害者的合法 IP 地址段传输。那些看起来来自组织内部的请求，恰恰是声誉型防御机制最不具备质疑能力的对象，报告将此记录为从受害者自有环境中开展活动所带来的结果。

报告没有包含的内容，与它包含的内容一样能说明问题。报告没有分步骤的时间记录，因此“不到六小时”只是对整个运行过程的单次测量，无法拆解成图表。除了“疑似出于经济动机”之外，报告没有给出行为者的名称，没有受害者信息，也没有说明涉及哪个模型或哪家厂商的聊天机器人。该追踪报告把这个案例当作某一趋势的示例来对待，其撰写所选取的视角服务于这一目的，而不是事件响应人员所期望的视角。

一台暴露在外的服务器，最终演变成了一个展示 23,800 条机密的仪表盘

同一部分中的第二个发现更为具体，而且是一个单独的案例。GTIG 发现了一台暴露的命令与控制服务器，其上托管着一个自动化侦察与凭据管理框架，GTIG 将其称为Recon。目录列表可读，直接暴露了其设计：AGENTS.md、KNOWLEDGE.md、agentic_vuln_research.md，此外还有一个模块化的.openclaw/目录和一个memory/目录。这些文件名是智能体栈的指纹，而非定制植入物——指令、积累的知识和研究计划，全都存放在磁盘上，操作者的工具可以读取它们。

同一个目录后来被用作一个实时前端仪表板，用于整理和验证超过 23,800 个已采集的机密信息，其中包括云和 AI 服务的 API 密钥。GTIG 将其所代表的转变描述为从“被动的、以终端为重点的信息窃取程序”转向“进攻性的智能体式采集”——也就是说，从在一台笔记本电脑上尽可能抓取所能获取内容的恶意软件，转向持续作用于其已触及目标的工具。

这个数字附带两点警示。两万三千八百是对机密数量的统计，而不是对人员或公司的统计，报告并未将两者相互换算。并且，GTIG 并未说明 Recon 服务器与那场持续六小时的活动是否属于同一次行动；它们在报告同一节中被作为彼此独立的观察呈现，因此将它们视为同一条叙事线，会是报告本身并未作出的推断。

DUSTMAKER 以及正确表明该软件包为正品的证明

追踪器的供应链部分涉及UNC6780，Google 也将其追踪为TeamPCP，这是一个出于经济动机的团体，自 2026 年 3 月起一直在 PyPI、npm 和 Docker Hub 上入侵开源基础设施。其利用 AI 工具的手法很直接：使用被入侵的开发者账户发布合法 MCP 服务器的木马化分叉，其中 tiktoken_mcp 被列为 PyPI 上的一个例子，并且恶意代码被注入到官方组织仓库中，包括 azure-functions-mcp-extension。GTIG 指出，只要下载或克隆这些资产，载荷和恶意工作区钩子就会被自动引入——无需单独的诱饵，也无需第二步。

其凭据窃取程序，DUSTMAKER正是报告中最重要的技术要点所在。攻击链很短。该窃取程序会检测到自己运行在 CI/CD 环境中；GTIG 写道，“如果得到确认”，它会从 GitHub Actions 运行器的进程内存中提取 OIDC 令牌。它利用这些令牌将自己认证为受信任发布者。随后，它会发布携带有效且带有密码学签名的 SLSA Build 3 证明的受感染软件包版本。这条链中没有任何环节是伪造的。该证明是真实的，签发给了真实身份，对应一次确实发生过的构建——只不过构建的是攻击者编写的代码。对于任何依赖来源证明的人来说，GTIG 的结论才是关键的一句：“使用有效令牌发布的软件包将通过 AI 编码代理的自动信任检查。”

DUSTMAKER 的其余行为针对的是防守方不会关注的位置。它会在 AI 编码助手和 IDE 工作区目录内投放并修改文件—— .claude/、.vscode/、.cursor/——在这些地方，它会混入开发者的正常噪声，并避开端点检测实际监控的位置，例如 Windows 注册表项或 /etc/cron.*。它会写入配置，使 IDE 或 AI 扩展运行诸如 setup.mjs 这样的脚本（当工作区打开时），从而把打开文件夹变成代码执行。它会创建带有 AI 主题名称的流水线任务，例如 "Copilot Setup"，以搜寻令牌，并发出 API 调用删除工作流执行日志，使该次运行不出现在 GitHub 界面中。

请求扫描器移开视线的恶意软件

最后一种机制是三者中最少得到验证的。DUSTMAKER 的 JavaScript 加载器脚本以作为注释嵌入的对抗性提示文本开头——在_index.js等文件中——提及生物武器和核武器，并包含一项请求，要求提供 20 千吨内爆型裂变装置的技术规格。GTIG 的评估是，这“很可能意在导致 LLM 安全扫描器因安全或政策拒绝而失败或跳过对下方恶意 JavaScript 代码的分析”。

那句话上的标签很重要。它是关于意图的陈述，是从加载器所携带的文本中推断出来的，而不是任何扫描器实际拒绝该文件的证明。报告没有点名哪个扫描器跳过了该文件，没有报告绕过率，也没有说该技术奏效。已经确定的是，有人编写了诱饵并将其封装在凭据窃取器中——这本身就证明攻击者预计基于 LLM 的分诊会处于处理路径中。

UNC6508、MIDNIGHT NEPTUNE 和 CALANQUE ION 出现在同一份报告中

该追踪器的国家关联材料比其犯罪材料范围更广，且大多自动化程度较低。UNC6508是一个与中国有关联的团体，已针对北美学术、医疗和军事研究开展了长达数年的间谍活动，如今专门瞄准专有 AI 研究；GTIG 怀疑该团体攻陷云环境以部署本地开放权重模型，从而避开商业 API 监控，并让受害者自身的算力为其所用。

在其他地方，这一模式则是现成模型在规模化地从事普通工作。朝鲜的MIDNIGHT NEPTUNE（原UNC1069）使用DeepSeek-Coder编写具备跨平台持久化和进程注入能力的Python远程访问木马，利用大语言模型编写Bash横向移动脚本，运营社会工程学人设和技术诱饵，污染内部代码库配置，篡改Claude CLI钩子，并在开发者与代码库发生交互时部署SOMBERMEME后门。伊朗的CALANQUE ION（原APT42）利用模型识别目标电子邮箱地址、开展OSINT、本地化诱饵、汇总窃取的数据，并尝试对许可代码进行逆向工程。与中国有关的BASIN CASTLE使用Gemini进行目标画像、将中文材料翻译为正式的英文政治报告，以及PowerShell故障排查；RAVINE CASTLE则用它研究VMware vCenter SAML绕过和Active Directory后渗透；俄罗斯的SANDWORM RELIC让Gemini编写其密码喷洒代码。出于经济动机的UNC6240（也被追踪为ShinyHunters）使用Claude Code提示词编写混淆代码、绕过Cloudflare，并通过自定义MCP工具解析窃取的目录。

本节中有一个案例比其他案例更进一步。一个具有中国背景的团体使用 Gemini 设计了一个动态自动化渗透测试框架，旨在观察目标状态、推理下一步行动，并执行端口扫描和服务解析。Google 表示，已对识别出的相关活动采取更广泛的行动，停用了相关资产、项目和账户。另外，2026年6月，Google 打击了"Outsider Enterprise,"一家总部位于中国的网络犯罪服务，该服务提供钓鱼工具包，并将此描述为其首次就 Gemini 滥用采取法律行动。这是两项不同的陈述，若摘要将二者合并，就会比报告本身表达得更多：渗透测试框架属于“停用资产”这一表述，法律行动则属于 Outsider Enterprise。

LLMJacking，以及如今一个被盗 AI 账号值多少钱

该追踪器还给出了围绕被盗 AI 访问权限的市场价格。地下需求集中于 Claude 和 Gemini 凭据，以及自主编码 IDE Cursor Pro和Devin，后者由 Cognition 开发，且 2026 年每个账户的市场平均价格翻了一倍多。进行收集的信息窃取程序——LUMMAC.V2、STEALC.V2、VIDAR和ACRSTEALER——已更新为针对 AI 开发者配置。2026 年 5 月，ACRSTEALER 的控制者推送了针对 Cline 的 secrets.json和 Continue AI 的 config.yaml的文件抓取规则，这两个文件都可能保存明文 API 密钥和自定义模型路由端点。

GTIG 描述的一起入侵事件表明，AI 账户一旦被攻陷，其价值有多大。2026 年 4 月，一个泄露的 GitHub 个人访问令牌就足以启用 Gemini Enterprise、配置高性能计算资源、为 LiteLLM API 部署和 Manus 智能体框架创建 Docker 仓库，并启动暴露给 allUsers 的 Cloud Run 服务，通过 IAM 调用方绑定。同一会话还创建了一个具有 Editor 权限的恶意服务账号并导出其密钥，查询 BigQuery 以获取环境变量和凭据，试图将项目所有权移交给外部地址，并使用 Cloud Quotas API 申请 NVIDIA RTX 6000 容量和额外的 48-vCPU 实例。

模型提取的整体情况，本质上是同一套经济逻辑在更大规模上的体现。GTIG 表示，蒸馏活动如今经常发生，“有些超过 1 亿条提示”，查询会在数千个被入侵和欺诈性账户之间轮换，并通过代理基础设施路由；Google 已部署反制措施，这些措施可以削弱学生模型的性能，也部署了通过来源信息识别 Gemini 蒸馏模型的方法。

哪些是已确认事实，哪些是评估判断，以及GTIG表示尚未看到的内容

已得到确认，这里的含义是 Google 在描述其自身的第一方遥测数据和自身的账号操作：报告及其日期；它声称观察到的各项产物，包括包名、加载器文件名、目录名以及包含 23,800 个密钥的仪表盘；以及 Google 所称采取的干扰措施——这些措施它可以证实，因为禁用账号是它所做的行为，而不是它推断出来的。Help Net Security、Cloud Security Alliance 和 Lineaje 都报道了这些内容且没有相互矛盾，尽管它们中没有任何一方提供了自己的独立证据。

评估，就其是谷歌作出的判断而言：报告中的每一项国家行为体归因；将拒绝诱饵解读为蓄意；以及关于被盗令牌将通过“AI 编码代理自动信任检查”的说法，这一说法描述的是这些检查通常如何构建，而不是对某个特定产品未能通过其中一项检查的测量。

尚未确定：这个“六小时行为者”的身份、受害者及其人数、所涉及的聊天机器人和模型，以及 Recon 服务器是否与该行动有任何关联。

而报告自身设定的上限也比其标题所暗示的更低。GTIG 表示，它尚未在现实环境中观察到完全自主的利用流水线，并评估对手的使用“可能正在向这一用例演进”。这种分野存在于攻击内部，而非围绕攻击：人类提供目标、提示词和指令文件；智能体提供扫描、故障排查和轮换，并且不会停下来请求许可。仔细阅读便会发现，这场六小时的行动并不能证明自主性已经到来。它证明的是，人类在其中的工作份额已收缩到只剩下必须由人完成的部分——决定要做什么——而从决策到结果之间的一切都由系统自行运转。

谷歌声称改动了什么，以及报告实际指向的控件

Google 所声明的应对措施分为两条线。在滥用方面，它表示这些活动“触发了 Gemini 的安全响应”，并称基于相关行为者的运营安全失误，它对这些行动采取了“额外、更广泛的行动”，禁用了相关资产、项目和账户，而且 Google DeepMind 利用这些发现强化了其分类器和模型本身，使其拒绝这些请求。在防御方面，它已部署 Google AI Threat Defense，该方案将 Gemini 和前沿模型与 Wiz 的风险优先级排序、Gemini 和 CodeMender 的修复能力以及 Mandiant 的情报相结合，使用较轻量模型进行持续扫描，并使用前沿模型处理高风险发现；它还推出了 Gemini 3.8 Flash Cyber用于漏洞检测和自动修补，并发布了开源供应链加固指南。

DUSTMAKER 案所需的具体修复方案比那一整套技术栈更窄，而外部分析也正一致指向它。SLSA 证明回答的是某个包是否由其声称的身份构建。它并不回答该身份是否仍属于你原本想要信任的一方，而 DUSTMAKER 的整套方法就是借用身份，而非伪造身份。Lineaje 对这一深层转变的总结最为简洁：“仓库内容成为执行权威。”如今，包名、MCP 服务器名、认证徽章以及仓库内的指令文件都带着某种要求被遵从的主张出现，而被窃取的 OIDC 令牌正是让这一主张看起来经过验证的东西。