勒索团伙把AI协议玩成了C2

“当攻击者开始复用开发者的基础设施，攻防的天平就在悄悄移动。

黑客圈的“技术创新”往往比安全产业的布道来得更直接。这一次，被盯上的是 AI 编程助手背后的通信协议。安全公司 CloudSEK 在调查一批暴露的基础设施时发现，一名自称 Azazel 的俄语系攻击者——Gentlemen 勒索软件的附属人员——在真实的入侵活动中，把 MCP（Model Context Protocol）当成了命令与控制（C2）通道。AI 编程助手的工具调用接口，成了下发指令、回传数据的隧道。

这不是实验室里的 PoC，而是正在发生的攻击。这件事的分量，值得每一位安全负责人认真掂量。

⚠️ 一台暴露的服务器，撕开了一角

每一起有意思的攻击活动，几乎都有一个“意外的入口”。

CloudSEK 的研究人员并不是先看到攻击流量，而是先看到一台暴露的服务器——归属于 Azazel 的基础设施。顺着这台机器往下挖，一条完整的活动链浮出水面：Azazel 作为 Gentlemen 勒索软件即服务（RaaS）体系的附属人员参与真实入侵，并在攻击过程中使用 MCP 协议执行命令，让 AI 编程助手的工具接口承担了 C2 的角色。

更有意思的是 Azazel 的“第二职业”。他同时运营着 LEAKNED——一个独立的泄露站点，据披露内容称，该站点涉嫌“截流”本应归属勒索品牌的赎金收益。换句话说，这名攻击者一边给勒索品牌打工，一边自己另开了一个对外曝光受害者数据的窗口。

三个关键词叠加在一起：真实入侵、MCP 当 C2、泄露站内卷。这已经不是单一的战术更新，而是勒索产业链在多个环节同时发生变异的信号。

据多位接近威胁情报圈的人士私下透露，这类“在暴露基础设施上翻出攻击者操作痕迹”的案例，近两年正在变多——攻击者自身的运营安全（OpSec）失误，依然是威胁情报最重要的来源之一。这一点，短期内不会改变。

🔍 机理拆解：MCP 为什么能当 C2

一句话概括这个攻击的本质：攻击者没有利用漏洞，而是滥用了协议设计本身。

MCP 是为 AI 编程助手和智能体生态设计的开放协议，作用是让大模型能够调用外部工具——读文件、执行命令、访问 API。它的通信模式天然适合做 C2：

• 双向交互：客户端发起工具调用，服务端返回结果，一来一回就是天然的指令下发与数据回传；
• 流量伪装：MCP 通信的目标是与 AI 服务相关的端点，在网络侧看，它和开发者日常使用 AI 编程助手的流量几乎没有区别；
• 权限继承：AI 助手进程通常运行在开发者或目标主机的工作环境中，能接触到的文件、凭证、内网接口，往往远超传统应用；
• 审计盲区：多数企业的安全设备还没学会解析 MCP 会话内容，更谈不上对其中的工具调用做策略判断。

把这几个特性拼起来，一条“寄生在合法 AI 流量里”的 C2 链路就成立了：

这里最值得警惕的是信任链的转移。过去我们对“开发者机器上的 AI 助手”的信任，建立在其供应商的信誉之上；而 MCP 的开放性意味着，任何一个被配置进环境的 MCP 服务端，都可能成为攻击者的抓手。安全边界从“应用”下沉到了“协议会话”，而绝大多数企业的检测能力还停留在“应用”这一层。

一个朴素的类比：这就像攻击者不再撬你家门锁，而是穿着快递员的制服按门铃——门禁系统认制服，不认人。协议的合法性，成了掩护。

📉 勒索生态的“内卷”，逼出了战术创新

把镜头拉远，这次事件还有另一层产业含义：勒索生态正在加速“内卷”，而内卷逼出了战术创新。

RaaS（勒索软件即服务）模式的本质是分工——核心团伙开发与维护勒索软件，附属人员负责入侵与谈判，赎金按比例分成。这个模式运转了几年之后，问题来了：附属人员越来越多，品牌方的分成规则越来越苛刻，附属之间还要竞争同一个受害者池。

Azazel 运营 LEAKNED 泄露站这件事，正是这种张力的产物。独立泄露站意味着附属人员可以绕开品牌方的统一发布渠道，直接对受害者施压——据披露信息称其涉嫌截流赎金收益，本质上是把“曝光权”从品牌方手里抢回来，变成自己的谈判筹码。这是勒索产业链内部的利益再分配，也是附属人员议价能力上升的标志。

在这张定位图上，MCP 当 C2 处于右上区域：技术实现有门槛（需要理解协议、搭建服务端），但一旦跑通，隐蔽价值极高——因为它寄生的是企业自己主动放行的 AI 流量。从产业演进规律看，头部团伙先用的新技术，两年内就会通过现成工具下沉到中小团伙手里。今天 Azazel 手工搭建的东西，明天可能就是勒索工具包里的标准模块。

对安全厂商而言，这里有一个必须回答的问题：下一代检测体系，能不能看见协议层？

🛡️ 防御视角：企业现在就该做的四件事

冷静地说，MCP 当 C2 是一个新战术，但它攻击的短板是老问题：出站流量管控、进程权限、配置审计。防御侧不必恐慌，但有几个动作应该现在就启动。

这套思路用一句话概括：把 AI 助手当成一个拥有高权限的“外包员工”来管理，而不是当成一个无害的打字工具。

对照这张冰山图可以看到，水面上的“MCP 被 C2 化”只是症状；水面下的检测断层与权限继承问题，才是决定未来两年 AI 安全攻防走向的根基。企业侧需要补课，厂商侧同样需要——CloudSEK 这类通过暴露基础设施溯源攻击者的情报工作会越来越重要，因为协议层的攻击，很难再靠特征匹配来发现，只能靠行为与情报驱动。

据多位安全从业者反馈，一些红队已经开始在内部演练中复现 MCP 隧道手法，用来测试自家产品的检测盲区。这是正确的姿势——与其等攻击者来验证，不如先把自己打一遍。

结语：信任协议的时代，防守要跟着协议走

把 MCP 用作 C2，不是 AI 安全的终点，而是起点。它标志着攻击者与防守者的争夺焦点，正式从“漏洞”扩展到了“协议与信任链”。

三件事值得持续跟踪：一是 Gentlemen 与 LEAKNED 这类“附属自立门户”现象会不会蔓延，它决定勒索生态的谈判格局；二是 MCP 安全规范与准入机制的建立速度，能否跑赢攻击工具化速度；三是各家安全厂商何时把 AI 协议会话纳入原生检测能力。

没有哪一次战术创新能单独颠覆攻防平衡，但每一次都在重新划界。这一次，边界画到了 AI 协议层——防守方的作业，得跟着搬过去。