利用规避技术攻击Claude Code和Codex的恶意技能

首页 阅读 安全资讯 安全知识 安全工具 活动 社区 学院 安全导航 内容精选 专栏 精选专题 安全KER季刊 360网络安全周报 恶意Skills利用扫描规避技术攻击Claude Code和Codex 阅读量 14381 发布时间 : 2026-07-07 16:59:30 x 译文声明 本文是翻译文章 译文仅供参考，具体内容表达以及含义原文为准。 一类新型恶意软件可绕过主流 AI 代码助手配套安全防护工具，隐蔽实施攻击。 研究人员发现，藏匿于 代理技能包 （Claude Code、OpenAI Codex 等工具所用小型扩展插件）内的恶意程序，可通过变形改造规避自动化安全扫描检测，同时完整保留全部恶意执行逻辑。 代理技能本质等同于插件，能为 AI 代码智能体按需拓展功能；这类技能包一般以文件夹形式分发，内含自然语言配置指令、执行脚本及配套资源文件。 该类技能包编写门槛低、传播便捷，自 2025 年末该格式正式推出后，短短数月内某公开平台上架技能总量便突破 4 万款。庞大的存量规模使其成为攻击者重点目标。技能包运行时将继承加载它的 AI 智能体全部权限，可直接访问开发者本地文件、保存的账号密码、各类第三方关联账户。 已有攻击者利用该权限漏洞投放伪装成实用工具的恶意技能包，窃取浏览器登录凭证、SSH 私钥，甚至加密货币钱包数据。 Arxiv 研究团队向《网络安全新闻》（CSN）发布专项报告，详细披露相关威胁实测过程：团队自研工具 SkillCloak，用于验证现有技能扫描工具能否识别经过伪装的恶意程序。 实测结果警示性极强：研究采集超 1600 份野外真实恶意技能样本，搭配 8 款主流扫描工具开展测试，经伪装处理后的恶意样本几乎全部成功绕过检测。 团队同时证实，恶意代码伪装操作不会破坏其原有功能；将伪装后的恶意技能包接入真实代码智能体环境运行，恶意载荷可完整执行预设窃取行为，攻击者采用伪装规避手段不会产生任何功能损耗。 攻击规避两大核心手段 该类恶意软件的扫描规避技术依托两种核心手段实现： 第一种为 结构混淆混淆 针对高危特征内容（可疑系统指令、恶意域名、密码相关调用语句等）做等价改写，改写后程序执行逻辑不变，但扫描工具无法识别出风险特征。 第二种规避手段名为 自解压技能封装 规避效果更强，不再仅对恶意代码做文本混淆，而是将完整恶意载荷藏匿于扫描工具默认忽略目录、加密乱码数据块等扫描盲区；仅当 AI 智能体实际启动技能包时，才动态还原并释放恶意代码。 扫描工具在静态检测阶段无法读取真实攻击载荷，几乎不存在可标记的风险特征。 实测数据显示：封装规避手段对所有被测扫描工具的绕过成功率超 90%；仅使用结构混淆手段，也能骗过超 80% 的检测工具。 该漏洞暴露现有检测体系底层缺陷：当前主流扫描工具仅基于技能包静态文本特征做判定，无法识别其安装运行后的真实恶意行为。 真实野外攻击实例警示 该威胁并非仅存在理论推演，名为 ClawHavoc 的攻击团伙已在公开技能市场投放数百款恶意技能包，相关统计显示受污染程序包数量超 300 款，跨生态统计的受害样本规模更高。 开发者一旦不知情安装此类恶意技能，设备将后台静默运行信息窃取程序，批量盗取本地登录记录、密钥串密码、加密钱包文件。 复盘同类安全事件的研究人员统一给出防护建议：严禁允许 AI 智能体自动执行技能包内置配置脚本，务必人工审阅脚本内容；对待来源不明的技能包，需等同于互联网陌生第三方程序，保持高度警惕。 为弥补传统静态扫描工具的短板，本次研究团队同步研发检测工具 SkillDetonate。该工具摒弃静态文本特征判定逻辑，将技能包投放至隔离沙箱环境动态运行，实时监控文件读写、网络外联、数据外传等行为轨迹。 实测中，这套基于行为分析的检测方案可拦截绝大多数恶意技能包，包括所有能绕过静态扫描的伪装恶意样本。 面向 AI 代码工具使用者的核心安全结论 所有使用 AI 代码辅助工具的开发者需牢记核心防护准则：安装前人工审阅技能源码仍有必要，但仅靠源码审查已不足以抵御新型攻击。 将陌生技能包置于隔离环境预运行、持续监控异常网络外联行为、严格限制 AI 智能体可访问的本地目录与凭证权限，已从可选防护措施转变为必备安全操作规范。 信息来源：cybersecuritynews.com 本文翻译自 原文链接 。如若转载请注明出处。 商务合作，文章发布请联系 anquanke@360.cn 本文由 安全客 原创发布 转载，请参考 转载声明 ，注明出处： https://www.anquanke.com/post/id/315737 安全KER - 有思想的安全新媒体 本文转载自: 如若转载,请注明出处： 安全KER - 有思想的安全新媒体 分享到： 供应链安全 +1 0赞 收藏 安全客 分享到： 发表评论 您还未登录，请先登录。 登录 安全客 这个人太懒了，签名都懒得写一个 文章 16 粉丝 0 TA的文章 【FDE前沿部署工程师】全国百城上岗计划二期来啦！ 2026-07-07 23:19:12 RedAmon：串联侦察、漏洞利用与后渗透的 AI 安全工具 2026-07-07 22:58:08 SecSuite—— 搭载人工智能的开源情报、Web 与 API 安全综合测试工具 2026-07-07 22:27:24 恶意Skills利用扫描规避技术攻击Claude Code和Codex 2026-07-07 16:59:30 T3MP3ST 安全框架：集成 35 款工具，将 AI 代码智能体转化为零日漏洞挖掘器 2026-07-07 16:53:40 相关文章 国务院令第834号已落地：软件供应链安全，企业欠缺的不是工具，是这三件事 2026-05-20 17:22:05 喜报 | 悬镜安全中标海通证券SCA软件成分分析工具采购项目 2024-12-12 11:28:11 发现针对 Telegram、AWS 和阿里云用户的供应链攻击 2023-10-18 11:22:29 日产汽车再曝数据泄露事件，或因三方服务商配置错误导致 2023-01-19 11:30:01 网络安全 你引用的开源代码，可能夹带了漏洞 2022-11-07 17:30:35 活动 | 字节跳动技术沙龙第六期：《安全守护者：字节跳动的网络安全防御体系》 2022-05-24 17:30:53 你的智能硬件出卖了你的信息—浅谈办公及教育场景硬件供应链安全 2021-11-10 17:00:50 热门推荐 文章目录 攻击规避两大核心手段 真实野外攻击实例警示 面向 AI 代码工具使用者的核心安全结论 安全KER 关于我们 联系我们 用户协议 隐私协议 商务合作 合作内容 联系方式 友情链接 内容需知 投稿须知 转载须知 官网QQ群：568681302 合作单位 Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全KER All Rights Reserved 京ICP备08010314号-66 微信二维码 X