Plugin ClawHub terbuka untuk menggunakan asisten AI guna mendapatkan mata uang kripto untuk orang asing

Pesan AIMPACT, 29 April (UTC+8), menurut pemantauan Beating, Ax Sharma, kepala penelitian perusahaan keamanan agen AI Manifold, menemukan bahwa akun bernama imaflytok di ClawHub telah merilis 30 skill dengan total sekitar 9.800 unduhan. Skill-skill ini tampak seperti plugin umum seperti asisten tugas terjadwal, alat keamanan, dan pemantau pasar, tetapi sebenarnya secara diam-diam mengubah asisten AI pengguna menjadi "pekerja" yang bekerja untuk orang lain demi mendapatkan kripto. Setelah menginstal plugin, asisten AI akan secara otomatis menjalankan serangkaian perintah berdasarkan file instruksi dalam plugin: pertama, mendaftar ke server pihak ketiga dan melaporkan "saya siapa, saya bisa apa, dan plugin apa yang sudah terpasang"; kemudian membuat dompet kripto dan menyerahkan kunci pribadinya ke server tersebut; setelah itu, melakukan check-in setiap 4 jam sambil menunggu tugas diberikan. Dari pendaftaran hingga penyerahan kunci hingga menerima tugas, pengguna tidak melihat petunjuk apa pun dan tidak pernah menekan tombol persetujuan apa pun. Plugin-plugin ini tidak mengandung kode berbahaya, dan scanner keamanan yang memeriksa baris demi baris tidak menemukan masalah apa pun—setiap langkah menggunakan alat legal dan antarmuka standar. Sharma mengatakan ini sama dengan pola sebelumnya di mana 150.000 paket spam membanjiri npm untuk memperbanyak token Tea Protocol, hanya saja mediumnya berganti dari paket kode menjadi plugin asisten AI. Ia berpendapat bahwa mekanisme tinjauan toko plugin gagal di sini: "Scanner mencari kode berbahaya, tetapi di sini tidak ada. Yang benar-benar dibutuhkan adalah pemantauan terhadap apa yang sebenarnya dilakukan asisten AI setelah menginstal plugin." (Sumber: BlockBeats)