2月2日，密碼管理工具1Password的安全團(tuán)隊揭露了一起針對macOS用戶的安全威脅。攻擊者利用了近期流行的AI智能體OpenClaw，通過其“技能”文件散播惡意軟件。這些文件原本用于指導(dǎo)AI學(xué)習(xí)新任務(wù)，但被黑客偽裝成合法的集成教程，誘導(dǎo)用戶執(zhí)行Shell命令，從而在后臺下載惡意腳本并修改系統(tǒng)設(shè)置，繞過macOS的安全檢查。

此次攻擊中，植入的惡意軟件被確認(rèn)為“信息竊取類（Infostealer）”軟件，它專注于靜默竊取高價值數(shù)據(jù)，如瀏覽器Cookie、活躍登錄會話、自動填充密碼等。對于開發(fā)人員而言，攻擊者可能借此滲透至源代碼庫、云基礎(chǔ)設(shè)施及企業(yè)CI/CD系統(tǒng)，造成嚴(yán)重的數(shù)據(jù)泄露風(fēng)險。盡管有開發(fā)者依賴“模型上下文協(xié)議（MCP）”來限制AI權(quán)限，但此次攻擊顯示該協(xié)議在面對此類攻擊時效果有限，因為攻擊本質(zhì)上是利用文檔進(jìn)行社會工程學(xué)欺詐，而非直接調(diào)用工具接口。

q1.v8v6.org.cn

https://www.zhihu.com/pin/2002537546496898098