ClawHub eklentisi, yabancılar için kripto para kazanmak için yapay zeka asistanlarını kullanmaya açıldı

AIMPACT mesajı, 29 Nisan (UTC+8), Beating izleme sistemine göre, AI agent güvenlik şirketi Manifold'un araştırmalarından sorumlu Ax Sharma, ClawHub üzerindeki "imaflytok" adlı hesabın 30 adet beceri yayınladığını ve bu becerilerin toplamda yaklaşık 9.800 kez indirildiğini tespit etti. Bu beceriler, görünürde zamanlanmış görev yardımcıları, güvenlik araçları ve piyasa izleme gibi yaygın eklentiler gibi görünüyor, ancak arka planda kullanıcıların AI yardımcılarını başkaları adına çalışarak kripto para kazandıran bir "işçi" haline getiriyor. Kullanıcılar eklentiyi yükledikten sonra, AI yardımcıları eklenti içindeki komut dosyalarına göre otomatik olarak bir dizi işlem gerçekleştiriyor: Önce üçüncü taraf sunucuya kaydoluyor, "Ben kimim, ne yapabilirim, hangi eklentileri yükledim" bilgilerini bildiriyor; ardından bir kripto para cüzdanı oluşturuyor ve özel anahtarını da bu sunucuya veriyor; ardından her 4 saatte bir giriş yapıyor ve görev bekliyor. Kayıt, anahtar teslimi ve görev alma süreçleri boyunca kullanıcı hiçbir uyarı görmüyor ve hiçbir onay düğmesine tıklamıyor. Bu eklentilerde zararlı kod bulunmuyor ve güvenlik tarayıcıları satır satır incelediğinde herhangi bir sorun tespit edemiyor; her adım yasal araçları ve standart arayüzleri kullanıyor. Sharma, bu durumun önceki 150.000 kötü amaçlı paketin npm üzerinden Tea Protocol token'larını dolandırma yöntemine benzediğini, ancak taşıyıcının kod paketlerinden AI yardımcı eklentilerine geçtiğini ifade ediyor. Sharma, eklenti mağazalarının denetim mekanizmasının burada başarısız olduğunu söylüyor: "Tarayıcılar zararlı kod arıyor, burada böyle bir kod yok. Gerçekten gereken, AI yardımcılarının eklenti yükledikten sonra aslında ne yaptığını izlemek." (Kaynak: BlockBeats)