黑客把 AI 助手用成了遥控器

导语： 勒索团伙Gentlemen的一名附属成员，在真实入侵行动中把 MCP（Model Context Protocol）当成了命令与控制通道——这本是 AI 编程助手用来调用工具的接口。几乎同一时间，Cisco Talos 发现有团伙把 C2 藏进 Google 官方托管的 API 里。攻击者正在把「可信的 AI 与云基础设施」变成自己的行动掩护。这不是概念验证，是已经发生的实战。

🕳️ 一次「顺藤摸瓜」：CloudSEK 撞见了 MCP C2

这个发现有点戏剧性。

CloudSEK 的研究人员本来在调查一批暴露在公网上的基础设施，顺藤摸瓜找到了一个自称 Azazel 的操作者。再往下挖，事情变得有意思了：Azazel 不仅参与勒索即服务（RaaS）生态，还独立运营着一个名叫 LEAKNED 的泄露站点——而这类「独立泄露站」在勒索圈子里一直是个灰色地带，坊间流传的说法是，部分独立站点会「截胡」受害者的赎金谈判，绕开原始团伙直接收钱。

真正让研究者停下来的是技术细节：这名俄语系的 Gentlemen 附属成员，在真实的入侵过程中，通过 MCP 协议下发了执行命令。换句话说，AI 编程助手里那个用来「让大模型帮你调工具」的协议接口，被他改造成了操作型的 C2 通道。

这个思路在技术上并不复杂，但杀伤力在于防御盲区。MCP 的流量特征与正常的 AI 辅助开发行为高度相似——企业里每天都有工程师在用 AI 助手调 API、跑脚本。安全设备很难判断：这是一次合法的工具调用，还是攻击者的远程指令？

“据接近威胁情报圈的人士私下透露，这类「借道协议」的手法此前只在地下论坛零星讨论过，落到实战案例层面，这次几乎是头一回被完整观测到。

产业逻辑很清楚：攻击者的成本结构里，「被发现」是最大的成本项。任何能让流量混进正常业务噪音的通道，都有人愿意试。AI 基础设施的特殊之处在于，它天然自带「业务正当性」的光环——安全团队默认 AI 助手是工具，不是武器。

📊 日本的半年数据：勒索圈子开始「卷 AI」

如果说 MCP C2 是个孤例，那日本市场的数据提供了一个更大样本的旁证。

2026 年上半年，日本勒索软件事件数量同比上升 4.7%。Gentlemen 成为最活跃的团伙，其泄露站上的受害者条目从 1 月到 7 月翻了一倍还多；排名第二的 Qilin 则被观测到疑似使用 AI 辅助攻击的迹象。更扎眼的是受害者的构成：资本金 10 亿日元以下的中小企业，占受害者总数的 80%。

把这组数据放在一起看，趋势就浮出来了：勒索生态的「产能」在快速爬坡，而爬坡的杠杆恰恰来自 AI 与自动化工具。传统勒索攻击的瓶颈在于人——侦察、横向移动、加密、谈判，每一步都要老手花时间。当 AI 辅助工具能压缩侦察与脚本生成环节，同等人力能打的目标数量就上去了，小企业这种「防御薄弱、赎金预期低但胜在量大」的目标，自然成为批量收割的对象。

一位在日本做应急响应的从业者私下说过一句话：中小企业的安全预算，撑不起一台 SOC，但撑得起攻击者的一套自动化流水线。这就是当前攻防成本结构的真实写照。

🧩 另一条战线：C2 藏进了 Google 的域名里

CloudSEK 的发现不是孤立事件。几乎在同一时期，Cisco Talos 追踪到一个加密货币窃取活动，手法同样「聪明」：攻击者把一段混淆后的 JavaScript 挂在一个公开的 Google Sheets 文档里，然后利用 Google Visualization API 作为 C2——受害浏览器会从 Google 官方托管的文档中拉取这段恶意脚本，并注入到受害者的浏览器会话中执行。

这个案例的可怕之处，不在于技术难度，而在于「归责困境」。Google Visualization API 是正规产品，Google Sheets 是正规产品，请求来自合法域名，TLS 证书是 Google 签的。安全团队拦截它，可能误伤自家业务；放行它，恶意脚本畅通无阻。攻击者没有打穿任何一家的防线，他只是站在了两家大厂「都可信」的缝隙里。

把这几个案例串起来，能看到一条清晰的演化路径：

• MCP 当 C2：借道 AI 工具协议，混入正常的 AI 开发流量；
• Qilin 疑似用 AI：用 AI 提升攻击产能，放大对中小企业的覆盖；
• Google Sheets 当 C2：借道头部云厂商的公开 API，享受「可信域名」的掩护。

三者共用同一个底层逻辑——攻击者不再努力隐藏自己，而是把自己藏进大量真实存在的正常行为里。业内有人把这类手法称作「信任即服务」的滥用：你信任 SaaS，攻击者就寄生在你的信任上。

🧭 防御改写：信任边界要重新画一遍

金句先放在这儿：当攻击者把家安在你最信任的基础设施里，基于「黑白名单」的传统防御逻辑就到了失效临界点。

对安全团队来说，至少有三件事现在就该动手做。第一，把 AI 工具的调用纳入审计范围——企业需要清楚知道：哪些 MCP 端点被谁调用过、调用了什么、与哪些主机通信过。AI 助手的「工具调用日志」，应该和 VPN 日志、EDR 日志放在同一优先级上。第二，监控「出站到可信域名」的异常行为，重点看内容而非域名：一个从未出现在业务流程里的 Google Sheets 文档突然被终端高频拉取，本身就是信号。第三，中小企业至少做到基线防御——80% 的受害占比说明，攻击者打的就是最软的那块柿子，备份、最小权限、多因素认证，这三板斧依然是最划算的投入。

对厂商而言，这同样是一条新赛道。检测「AI 协议滥用」「SaaS 寄生型 C2」，靠的不是更多告警规则，而是行为基线建模——这恰好是安全厂商与云厂商、AI 平台方必须联手才能做好的事。值得玩味的是，这次发现 MCP 滥用的正是 CloudSEK 这样的威胁情报团队，而不是某家 AI 平台的自查；平台方对「自家协议如何被武器化」的感知，目前仍然滞后于攻击者的想象力。

小结

MCP 变 C2、Google Sheets 变 C2、AI 变攻击产能放大器——三个案例指向同一件事：攻击者的基础设施正在「隐入正常」。接下来大概率会看到更多协议与平台被以同样思路滥用，而防御方的答案不会是「禁用 AI 与云」，而是把审计、行为分析和信任校验做进每一次调用的路径里。信任不灭，寄生不止；防御的下一仗，打的是「谁更懂正常」。