黑产盯上了你的AI账单

你担心模型被偷的时候，黑客已经在偷你的钥匙了。

过去一个月，三条看似不相关的安全事件被摆上桌面：OpenAI 的 Custom GPT 被当作远控木马的投递诱饵；本地模型工具 Unsloth Studio 曝出漏洞，'检查一下模型'这个动作本身就能被执行任意代码；Google 分析师则明确警告，被盗的 AI 凭证正在地下市场流通，账单由企业埋单。

把三件事放在一起看，结论很清晰：AI 安全的攻击面，早已不是'模型被投毒、被偷窃'这一个维度，而是身份、凭证和信任链。而绝大多数企业，防御预算还压在模型层。

🎣 恶意GPT：大厂域名成了木马的通行证

场景是这样的：一位普通用户在 ChatGPT 里搜索某个'实用工具'类的 Custom GPT，点进去之后被引导跳转到一个页面——页面里弹出的提示和常见的人机验证一模一样，只是多了一句'请按提示执行修复步骤'。

这就是典型的 ClickFix 式社工链路。据安全媒体披露的监测，攻击者在这类活动中滥用了 OpenAI 和 Google 的合法域名来伪装自己。换句话说，用户看到的 URL 属于自己最信任的那几家公司，警惕心在这一刻归零。

整条链路值得拆开看一遍：

注意两个细节。第一，木马投递不再依赖邮件附件这种'老手段'，而是寄生在 AI 助手的使用流程里——用户主动搜索、主动点击、主动'修复'，全程没有一封可疑邮件。第二，滥用的不是漏洞，是信任。OpenAI 和 Google 的域名本身没有被打穿，但它们的存在让钓鱼页面的可信度大幅抬升。

产业逻辑很残酷：平台生态越开放，品牌背书越强，被恶意方'搭便车'的收益就越高。GPT Store 这种分发机制，天然继承了应用商店时代的老问题——审核只能拦住明显越界的，拦不住'上线时干净、更新后变坏'的灰度滥用。业内私下流传一句有点丧气的话：大厂域名是黑产最好用的免费 CDN。

对企业的启示倒是实在的：员工安全教育里，该把'AI 助手里的弹窗'加进 ClickFix 案例库了。

⚠️ 看个模型也能中招：Unsloth Studio 漏洞的另一层含义

第二个事件更让技术圈后背发凉。

Unsloth Studio 是很多研究者和工程师本地微调、检查开源模型时的常用工具。其曝出的漏洞机理并不复杂：通过 trust_remote_code 这个设置项，一个恶意模型可以在被'检查'的过程中执行任意 Python 代码。该漏洞已修复，但暴露的问题值得反复咀嚼——加载和检视一个模型文件，不再是一个只读动作，而是一次潜在的代码执行。

熟悉 Hugging Face 生态的人都明白，trust_remote_code 不是一个新概念——它允许模型仓库携带并执行自定义代码。但在训练和推理工具链里，这个开关的存在感一直偏低，很多使用者的心智模型还停留在'模型就是权重文件，最多是个大号的 zip'。

这个认知已经过时了。模型仓库正在变成新的包管理器，而包管理器历史上发生过什么，开源供应链安全领域早有定论：从 npm 到 PyPI 的投毒事件，本质剧本完全一致——信任传递链上任何一个环节松了，恶意载荷就能顺着下载量抵达开发者本机。开发者本机上有的是比模型更值钱的东西：云密钥、代码仓库权限、内部网络入口。

据多位接近开源社区的人士观察，AI 工具链的安全审计投入与其实际风险严重不成比例。模型安全评测项目很多，但针对'加载器、微调框架、推理引擎'这些工具本身的攻击面研究，仍然是冷门。

一句话判断：AI 时代的供应链安全，主战场不在模型权重里，在加载权重的那个进程里。

💸 LLMjacking：偷你的钥匙，刷你的账单

第三条线，直接打到钱上。

Google 分析师发出的警告很直白：被盗的 AI 凭证正在地下市场被出售，而企业正在为这些黑产消费买单。这套玩法业内有个专门的词——LLMjacking。

攻击链路看一眼就懂：

这笔账为什么值得黑产做？因为 AI 推理是实打实的算力成本。一套顶级模型的 API 调用费用，高负载下每月可以烧掉数万美元；而攻击者拿到的只是一串密钥，边际成本为零。传统云凭证泄露，受害者还能靠账单告警及早发现；但 AI 用量天然波动大、按 token 计费、各部门用量口径不一，异常消费很容易被当作'业务增长'糊弄过去。

更麻烦的是归因和追责的模糊地带。密钥是从哪个部门的哪个项目里泄露的？是代码仓库里的硬编码，还是离职员工的残留权限？很多企业的 AI 密钥管理，成熟度大概相当于十年前的数据库密码水平。

三种攻击方式放到一张表里，共同点一目了然：

三个场景、三类受害者，失守点却是同一个：对'合法外观'的无条件信任。合法域名、合法模型文件、合法 API 调用——每一环单看都没问题，串起来就是一条完整的黑产流水线。

🛡️ 防御重心该挪了：从保模型到保凭证、保人

如果只能记住一个判断，那就是这个：2025 年之后，AI 安全预算的大头，应该从'模型层'挪到'身份与运营层'。

具体怎么挪？给几条可以直接落进 SOC 工单的动作：

第一，把 AI 密钥当作最高等级的云凭证来管。全部密钥入库登记、强制轮转周期、最小权限绑定到具体项目、禁止硬编码进代码仓库。预算允许的话，统一走密钥网关或企业代理，让每一次模型调用都留痕。

第二，给 AI 账单设告警。在云账单体系里为 AI 服务单设预算线和异常检测阈值，环比突增即触发人工复核。这是对抗 LLMjacking 成本最低、见效最快的一招。

第三，管住 trust_remote_code。默认关闭，确需开启时放进一次性容器里执行，容器无密钥挂载、无内网路由。企业内部可以建一个'模型白名单仓库'，从源头收敛员工随手拉取未知模型的习惯。

第四，把 ClickFix 案例更新到 AI 场景。员工培训里加上'AI 助手内弹出要求执行命令的验证提示，一律视为攻击'这一条。规则简单，但省掉的可能是整台终端的沦陷。

有一点要说清楚：这三起事件没有一起涉及模型本身被'攻破'。没有越狱，没有权重窃取，没有对抗样本。黑产对 AI 的兴趣，和学界对 AI 安全的兴趣，几乎不在同一个平面上——前者只关心入口和利润，越普通、越信任、越没人盯的地方，越好做。

这也解释了为什么'AI 安全'这个词在采购语境里容易被带偏：企业以为在买'防止模型出格回答'的产品，实际风险敞口却在密钥、工具链和员工的一次点击上。

恶意 Custom GPT 借大厂域名投毒，Unsloth Studio 漏洞把模型检查变成代码执行，LLMjacking 让地下市场直接消费企业的 AI 账单——三条线殊途同归，指向 AI 时代真正的软肋：信任链与身份治理。

往前看，随着 Agent 逐步拿到工具调用权限和支付能力，AI 凭证的失窃将不再只是'账单变大'的问题，而是直接等于业务系统权限的失守。趁现在把密钥治理和工具链沙箱补上，成本还是白菜价；等 Agent 时代全面铺开再动手，代价就不是账单能衡量的了。