Minggu ini, pengasas bersama Refi Hub, Numa Lunah, menjelaskan bahawa dirinya telah dikompromi selepas mengikuti pautan muat turun yang dihantar di dalam tetingkap sembang Claude. Amaran itu menjadi panggilan sedar kepada pekerja industri rantaian blok dan kripto, kerana pautan, kemahiran, dan pakej lain boleh membawa kepada kecurian yang tidak boleh dipulihkan.
Jangan Percaya, Sahkan: Pautan AI Beracun Mendedahkan Mimpi Ngeri bagi Pekerja Kripto
DITULIS OLEH
KONGSI
Pengambilan Utama
- Numa Lunah dari Refi Hub berkata 1 pautan yang dibekalkan Claude membawa kepada perisian hasad.
- Microsoft memberi amaran pada 2026 bahawa peracunan LLM boleh mengarahkan pengguna ke pautan berniat jahat.
- Pengguna Claude Code berdepan 1 pengajaran utama: Anggap pautan yang dibekalkan AI sebagai bermusuhan.
Pautan Sembang Claude Bertukar Menjadi Perangkap Perisian Hasad
Kecerdasan buatan (AI) generatif semakin mendapat perhatian setiap hari, dan orang yang bekerja dalam sektor aset digital serta lejar teragih memanfaatkan teknologi ini secara kerap untuk tugas mereka. Masalahnya, demografi ini secara khusus diburu oleh penyerang berniat jahat, dan rahsia yang tidak boleh dibatalkan dengan mudah boleh dicuri. Pada hari Jumaat, pengasas bersama Refi Hub Numa Lunah menjelaskan bahawa dia “telah digodam.”
“Digodam semalam,” tulisnya di X. “Pautan itu datang dari dalam sembang Claude. Saya sedang memasang aplikasi transkripsi. Claude menghantar pautan muat turun, dan saya menampal arahan itu ke dalam terminal. Semuanya kelihatan sah. Tetapi sebenarnya tidak. Ia adalah laman tiruan yang membungkus perisian hasad. Ia berjalan serta-merta, cuba mengambil segala-galanya daripada saya.”
Pembangun itu menambah bahawa tiada apa-apa yang sensitif daripadanya terlepas, dan dia memadam komputer riba yang digunakannya serta membinanya semula daripada pemasangan bersih. Namun isu itu belum berakhir. “Ini bahagian yang menakutkan,” jelas Numa. “Semasa memulihkan daripada sandaran, saya menemui SKILL.md yang diracuni untuk Claude Code. Ia kelihatan tepat seperti panduan gaya penulisan saya sendiri. Tetapi tersembunyi di dalamnya: Ia mempunyai arahan untuk memuat turun semula perisian hasad secara senyap dan mencuri kelayakan saya setiap kali AI memuatkannya.”
Jawapan LLM Membuka Vektor Serangan Baharu, Sementara Pekerja Kripto Berdepan Masalah Keselamatan Tanpa Butang ‘Undo’
Pengalaman Numa bukanlah kes pertama LLM berkongsi jawapan berniat jahat. Beberapa bulan lalu, Microsoft Defender Experts memberi amaran bahawa serangan cryptojacking telah berkembang daripada peracunan SEO yang mudah kepada peracunan jawapan LLM. Serangan seperti ini berpunca daripada model AI seperti Gemini, Claude, Copilot, dan ChatGPT. Serangan termasuk artifak yang dikongsi dalam tetingkap konteks, chatbot yang mengesyorkan pautan muat turun yang dikawal penyerang, pemasang palsu berjenama AI, serta pangkalan kod dan kemahiran ejen yang diracuni.
Pada asasnya, komputer riba pekerja pengetahuan biasa menyimpan rahsia yang boleh digunakan semula dan boleh dibatalkan walaupun selepas digodam, tetapi pekerja kripto boleh menyimpan rahsia yang tidak boleh dibatalkan. Ini termasuk perkara seperti frasa benih, fail xprv/keystore yang dieksport, JSON dompet panas, kunci API bursa dengan hak pengeluaran, kunci deployer, macaroon Lightning, data pengiring dompet perkakasan, dan kuki sesi untuk papan pemuka CEX, antara banyak yang lain.
Kelemahan Paling Berbahaya Mungkin Kepercayaan dan Kemalasan Manusia
Amaran terbaru menunjukkan bahawa perlu ada perubahan asas dalam budaya keselamatan. Daripada sekadar mempercayai alat AI secara rutin, sikap skeptikal yang menyeluruh terhadap automasi itu sendiri mesti diterapkan. Pekerja yang diambil bekerja dalam industri ini lebih baik menganggap setiap cadangan AI sebagai secara inheren bermusuhan, tanpa mengira sumber. Ini bukan terlalu berhati-hati atau paranoid; ia benar-benar soal kelangsungan hidup.
Pengajaran daripada kisah ini bukanlah kod yang terdedah atau output beracun daripada model AI kegemaran kita; ia adalah naluri manusia untuk mempercayai jawapan yang mudah. Naluri itu, dalam landskap ini, adalah liabiliti yang tiada tampalan dapat membaikinya. Apa yang menyelamatkan pengasas bersama Refi Hub dalam jangka panjang ialah hakikat bahawa dia berkata dia “membaca setiap skill, hook, dan fail config sebelum membiarkan AI menyentuhnya.”
Malangnya, kebanyakan pengguna AI hari ini berkemungkinan tidak menyemak semula maklumat yang diberikan AI kepada mereka untuk memastikan kebenarannya, dan mereka sekadar mempercayainya atas sebab-sebab yang masih sukar untuk dijelaskan.
Artikel ini telah diterjemahkan daripada bahasa Inggeris menggunakan AI. Versi asal dalam bahasa Inggeris ialah sumber yang berwibawa; terjemahan automatik mungkin mengandungi ketidaktepatan, terutamanya dalam terminologi undang-undang dan kawal selia.
