黑客开始偷走AI的记忆

三条看似不相干的威胁情报，拼出了同一张图：一条 Rust 窃密木马把 Claude、Cursor 等智能体的本地数据当猎物，一个勒索软件 affiliate 把 MCP 用成了 C2 信道，还有一支勒索软件在一年前就该关上的 SharePoint 后门前畅行无阻。

结论并不复杂：AI 正在同时成为攻击的目标、攻击的信道，以及被高估信任的那扇门。而三条战线的共同点，都是防御假设没有跟上攻击者的脚步。

🔥 金库换了地方：Warden 把 AI 助手当货架

攻击者从不追赶概念，他们只追赶数据放在哪。

Warden Stealer 是一个用 Rust 写的信息窃密木马，以 MaaS（恶意软件即服务）模式快速扩张。单看技术，它并不惊艳——Rust 写窃密木马这两年已是行业常规。真正值得记住的是它的目标清单：Claude、Codex、Grok、Cursor 这些 AI 助手与编程智能体存在本地的数据。

它是目前首批被观察到系统化收割 AI 智能体资产的恶意软件家族之一，收割范围覆盖五类东西：智能体配置文件、本地令牌、提示词历史、对话数据库，以及 MCP（Model Context Protocol）设置。

想一想一台开发者终端上的 Cursor 工作区里躺着什么：各家模型的 API key、云平台凭据、私有代码库的上下文，还有数月打磨出来的提示词资产。窃密木马的传统货架是浏览器保存的密码和加密钱包，现在多了一层更新鲜、也更难换的库存——密码泄露可以改，密钥泄露要整套轮换，而对话历史里的商业机密，泄露了就是泄露了。

更关键的是 MaaS 带来的杠杆：买家不需要懂 Rust，甚至不需要懂技术，订阅、投放、坐等回传。门槛被摊平之后，「我的终端上没有值钱东西」这条旧假设，在大量开发者机器上已经不成立了。对企业而言，第一步不是买新产品，而是承认 AI 智能体的本地目录就是新的密钥仓库，把它纳入资产盘点和 DLP 的视野——这不是未来命题，Warden 已经动手了。

🕳️ 新信道：勒索软件把 MCP 用成了 C2

最好的 C2，是目标网络自己放行的那一条链路。

第二个故事更让人后背发凉。CloudSEK 在调查一名自称 Azazel 的操作者暴露在外的基础设施时发现，这位俄语系的 Gentlemen 勒索软件 affiliate，在真实入侵活动中通过 MCP 执行命令——把 AI 编程助手的工具接口，直接用成了在线 C2 信道。Azazel 同时还运营着独立泄露站 LEAKNED。

这套手法成立，靠的不是漏洞，而是信任结构。企业网络普遍对 AI 助手、开发工具的流量默认放行——那是「干活用的流量」，走的是合法 SaaS 与 API 通道。攻击者不需要再凿一条隧道，只需要钻进一条本来就被信任的管道。从 RDP 到云 API 再到 MCP，合法管理信道被滥用的剧本一直在重演，变的只是外壳。

据多位追踪勒索生态的研究者私下交流的看法，单看这一个 case 还不足以下结论，但真正让人不安的问题是：MCP 客户端会不会演变成下一个 Cobalt Strike 式的常驻攻击组件？目前这只是担忧，不是定论——但信任模型不改，这个担忧迟早会被验证。

产业判断：把近期几类手法放到「技术门槛—攻击者收益」的坐标上看，分层非常清晰，低门槛高收益的区间永远是主战场。

⏳ 旧账未清：一年前的门还开着

攻击者最有耐心等待的，永远是没人打补丁的地方。

第三个故事没有任何新意，而这正是它最重要的信息。2025 年年中，针对 SharePoint 的零日漏洞链 ToolShell 曾经刷屏；一年多过去，Symantec 追踪到的 Warlock 勒索软件，仍在利用同样的未修补漏洞入侵。受害者名单读起来像一份关键基础设施清单：水务公司、电信、政府机构、大学。

零日变旧洞，旧洞变常态，这就是勒索经济学的算盘：追新洞要拼手速、拼价格，而存量未修补的服务器，是一座座根本没上锁的仓库。关键基础设施环境的补丁窗口天然滞后——怕停机、怕兼容性、要走冗长的变更流程，攻击者对此心知肚明，他们的耐心比管理员的多。

对防御方的判断很直接：比起追逐新的威胁名词，暴露面清点、对关键服务设定补丁 SLA、再叠上网络分段和多因素认证这类补偿控制，才是真正决定你会不会成为下一个受害者的变量。ToolShell 教科书般地证明了一件事——基础功失守时，再先进的安全堆栈也只是成本中心。

🧭 防御清单重写：把智能体当成装满钥匙的笔记本

AI 安全的第一课，是承认每台装了智能体的终端，都是一台装满钥匙的笔记本。

把三条战线放在一起看，指向同一个判断：攻击面在迁移，而防御假设停在了原地。三条战线分别对应三个盲区——

对应到落地动作，清单其实不复杂：

🔑 把 AI 助手与智能体的配置文件、本地令牌纳入密钥管理和终端 DLP 视野；

🚪 对 MCP 及 AI 工具相关流量做出口管控与会话审计，取消「默认可信」；

🩹 对暴露在外的核心服务建立补丁 SLA，补不上的先上分段与补偿控制；

📦 勒索韧性老三样——离线备份、恢复演练、最小权限——依然是最后防线。

小结

攻击者从不关心 AI 治理的宏大叙事，他们只关心两件事：数据放在哪，门开在哪里。当企业还在会议室里讨论 AI 安全框架时，Warden Stealer 已经在市场上出售你的提示词历史。可以预期，智能体安全会很快从新话题变成合规与保险的硬性条目，MCP 的认证与审计规范会被实战倒逼落地；而 ToolShell 则始终提醒我们——最便宜的防御，永远是那件最无聊的事：打补丁。