勒索团伙把AI助手玩成了遥控器

勒索软件的下一代 C2，可能就藏在你电脑上那款 AI 编程助手里。

CloudSEK 的研究员在一次针对暴露基础设施的例行排查中，发现了一个自称 Azazel 的操作者。这个人有两重身份：一是俄语系勒索软件 Gentlemen 的附属（affiliate），二是一个独立泄露站 LEAKNED 的运营者。真正让研究员停下来的是前者——Azazel 在真实入侵活动中，把 Model Context Protocol（MCP）当成了命令与控制通道，让 AI 编程助手的工具调用接口，替他执行攻击命令。

这不是 AI 被攻击，而是 AI 被征用。这两个字的区别，值得整个安全行业重新掂量。

⚠️ 一条藏在 AI 工具箱里的控制链

最难防的通道，永远是那些看起来人畜无害的通道。

根据 CloudSEK 披露的信息，Azazel 所在的 Gentlemen 附属团伙在活体入侵（live intrusion）过程中，通过 MCP 协议下发并执行命令。MCP 本来是给 AI 编程助手连接外部工具设计的一套协议：模型可以调用文件系统、终端、网络请求等各种“工具”。安全设计里，这叫 Agent 的能力边界；攻击者眼里，这是一台已经拿到合法执行权限的傀儡机。

从攻防视角把这条链路拆开看，逻辑其实相当朴素：

这条链路的可怕之处在于三点。第一，指令流量的形态与正常开发者的助手调用几乎无法区分——谁的工作站上没有几条 AI 助手的请求在跑？第二，执行主体是“工具调用”，落地的往往是本机合法进程，终端检测（EDR）看到的是一次“看起来正常”的本地操作。第三，MCP 生态目前以开源与第三方服务器为主，供应链信任模型还很粗糙，谁在托管工具、工具在做什么，多数企业并没有台账。

换句话说，攻击者没有利用任何 CVE。他们利用的是一套协议的“设计初衷”。

据多位接近威胁情报圈子的人士透露，这类手法在流出的攻击讨论中已被反复提及，真正落地到活体入侵并留下完整证据链的，CloudSEK 这次披露是少数公开案例之一。

🔀 为什么偏偏是 MCP？攻击者的成本账

安全圈流传一句老话：攻击者永远选最便宜的杠杆。

要理解 Azazel 的选择，得先看勒索产业的分工现实。现代勒索软件早已是 RaaS（勒索即服务）模式：核心团伙写加密器、管谈判平台，附属负责打点进去，按分成结算。附属的专业能力参差不齐，越省事的工具越受欢迎。C2 通道恰恰是附属最头疼的环节之一——自建基础设施要钱、要运维、要扛封堵。

把主流 C2 通道放到“技术门槛—隐蔽价值”两个维度上看，MCP 滥用的位置非常扎眼：

MCP 通道的技术门槛并不算最高——它不需要攻击者掌握协议漏洞，只需要会写一条让模型“顺手”调工具的指令。但它的隐蔽价值极高：流量混在 AI 助手的正常调用里，目标本身是合法开发工具，甚至很多企业刚刚花预算把 AI 助手铺进研发团队。对附属来说，这是一笔“用目标公司的合规投入，给攻击行动打掩护”的好买卖。

更微妙的是责任链条的模糊。AI 助手是厂商的产品，MCP 服务器可能是社区的，部署是 IT 部门做的，被滥用执行的命令是模型“理解”出来的——出了事，边界在哪里？这种模糊正是攻击者的舒适区。

🕳️ Gentlemen 生态：连泄露站都开始内卷了

勒索生意卷到什么程度？连“晒数据”这一环都有人另立山头。

CloudSEK 的调查还揭示了 Azazel 的另一面：他运营着 LEAKNED，一个独立的泄露站点。按照披露的说法，该站点涉嫌对勒索受害者的相关信息进行分流运营——也就是说，即便不走 Gentlemen 官方的泄露与谈判体系，附属也有自己的曝光渠道。这在勒索生态里是个值得玩味的信号。

传统 RaaS 的权力结构是这样的：核心团伙掌握加密器、支付通道和官方泄露站，附属是“打工的”，数据曝光权、谈判权都归平台。而独立泄露站的出现，意味着头部附属开始攫取环节主权——我可以自带曝光渠道，谈判时多一张牌，甚至可以绕开平台直接施压受害者。生态从“平台雇员制”滑向“承包商制”。

对受害者来说，这个变化很现实：威胁行为体可能不再只有一张面孔。你拒绝了 A 平台的谈判，B 泄露站可能转头就把数据挂出来；防护方做勒索情报归因时，也不能再默认“一个泄露站等于一个团伙”。LEAKNED 这类独立站的存在，让归因与威胁狩猎都多了一层噪声。

顺带一提，CloudSEK 之所以能挖出这批活动，起点是暴露基础设施——攻击者自己的服务器配置不当被研究员摸到了。勒索产业链的专业化是表，纪律性差是里，这一点短期内不会变。

🛡️ 防御侧怎么办：把 AI 助手当“高危员工”管

新通道的解药，往往不在新的检测规则里，而在旧的权限纪律里。

MCP 滥用真正暴露的短板，是企业对 AI 工具的治理缺位。绝大多数组织引入 AI 编程助手时，按“生产力工具”走采购流程，却没按“能执行代码、能出网的软件”做同等管控。一旦把 MCP 看作一条真实的控制信道，防御清单其实并不神秘：

这里要克制一下焦虑：MCP 本身不是漏洞，协议设计也谈不上“错误”。真正的问题是任何高权限自动化接口，在勒索产业高度分工作业的背景下，都会被当成便宜的杠杆来用——就像当年攻击者滥用合法远控工具、云存储 API、甚至 SaaS 通知渠道一样。MCP 只是最新一个排队进场的。

判断很简单：协议无罪，权限有价。 每多给 Agent 一分能力，就要同步多一分管控成本，这笔账必须在部署之前算，而不是在应急响应之后。

📌 结语：AI 供应链安全的第一课，来得比想象中早

回头看 CloudSEK 这次披露，最大的价值不是又一个 IOC 包，而是它验证了一件事：AI 工具链已经从“攻击目标”变成了“攻击基础设施”。Gentlemen 附属用 MCP 当 C2，Azazel 用独立泄露站 LEAKNED 分流施压，两条线索拼在一起，指向的是同一个趋势——勒索产业正在把企业数字化进程中的每一个新接口，都改写成自己的弹药库。

下一阶段的攻防焦点会很清楚：Agent 的能力边界管理、MCP 生态的供应链审计、AI 流量的独立观测，会从“前沿话题”变成采购清单上的硬性条目。谁能先把 AI 助手当“高危员工”管起来，谁就少一个深夜被叫起来应急的理由。