疑似 AI 中转站投毒：不到一个月，窃取 12TB 数据

10 月 25 日

我发现有人在暗网出售一批约 12TB 的泄露数据，卖家声称这是近期最新泄露的数据。

随后我联系了卖家。对方表示，这批数据最早从 9 月开始被窃取，并向我提供了一部分数据样本。

对样本进行初步检测后发现，泄露数据主要与 IT 、开发者及技术服务相关领域有关。

之后，我与卖家就数据售价进行了多次沟通，但最终没有达成交易。

后续再次联系卖家时，对方表示，这批数据已经完成销售。

10 月 29 日

我获得了一条新的线索：这批数据的泄露来源，与 cloudflare.bz http://cloudflare.bz 有直接关联。

根据目前掌握的样本、访问链路以及相关信息来看，疑似存在针对开发者 AI 开发环境的投毒行为，并进一步向普通用户传播。

目前观察到的一种可能路径是：

AI 中转站 → 开发者使用 AI 开发 → 代码 / 依赖被投毒 → 开发者发布项目 → 普通用户下载或使用 → 恶意代码执行 → 用户设备中毒

在这条链路中，cloudflare.bz http://cloudflare.bz 更像是后续攻击环节之一。

部分用户在访问相关内容时，会被异常引导至该域名。随后，该网站会伪装成类似 Cloudflare 人机验证的页面，并利用近年来比较常见的 ClickFix 社工攻击方式，诱导用户执行页面提示的操作。

一旦用户按照页面提示执行，后续便可能触发恶意程序的下载与执行，导致木马、勒索软件或信息窃取程序进入本地设备，进一步造成设备失陷及敏感数据泄露。

对于 Windows 用户，如果恶意程序成功运行，攻击者可能进一步控制受感染设备，获取完整的控制权限。

对于 macOS 用户，会被窃取浏览器保存的密码、Cookie 、Session 。

另外，经过我自己的测试，目前观察到的这条投毒链似乎不会在移动端正常触发，相关异常行为主要出现在 Windows 和 macOS 桌面环境中。不过，这只是目前测试范围内的结果，还不能据此排除其他移动端攻击方式。

这几天我也一直在持续关注这件事情，但截至目前，还没有看到安全团队针对这条完整攻击链发布公开的分析或调查报告。

OpenClaw 刚开始火起来的时候，我就发现了一个比较异常的现象。

我之前监控的几个灰产团队链上资金流向中，出现了一个新的高频交易对象——AI 中转站。

当时这个现象就比较反常。

现在回头来看，灰产对新兴技术生态的反应速度确实很快。

一个新的开发者工具或者服务刚开始形成流量，灰产可能已经开始寻找其中可以利用的攻击面和变现方式。

AI 生态的发展速度很快，但围绕 AI 形成的灰色产业链，同样也在快速发展。

写在最后

10 月 29 日发现这个域名及相关异常后，我第一时间将情况反馈给了 Cloudflare。

目前，cloudflare.bz http://cloudflare.bz 已经被暂停解析。

如果近期遇到了类似情况，建议不要继续使用已经出现异常的设备处理重要账号或敏感数据。

在确认设备安全之前，可以考虑备份必要文件后直接重装系统；同时尽快修改重要账号密码，并对 GitHub Token 、SSH Key 、API Key 、云平台凭证、Cookie / Session 等可能已经暴露的凭证进行撤销和重新生成。

对于开发者来说，也建议检查近期使用过的 AI 中转服务、项目依赖、构建脚本以及生成后直接复制使用的代码，尤其是近期出现异常的项目和软件，不要因为代码看起来正常就默认它一定安全。

这次事件真正值得警惕的地方，也许并不是某一个恶意域名，而是这种从开发者生态进入软件供应链，再扩散到普通用户的传播方式。

一旦攻击者能够进入开发流程，最终受到影响的，就可能不再只是某一个开发者，而是整个项目背后的用户群体。

我线上也遇到过类似投毒，建议给开发者工具加数据校验机制，这样能提前发现问题。

之前遇到过类似的AI工具投毒，感觉灰产盯上开发者生态的速度确实越来越快了。

老哥，这个投毒链里那个AI中转站具体是啥样的？是开源项目还是自建的？

这攻击链设计得太隐蔽了，普通用户根本察觉不到已经中招，尤其是伪装成人机验证那招很毒。