Повідомлення AIMPACT, 29 квітня (UTC+8): За даними моніторингу Beating, керівник досліджень у компанії з безпеки AI-агентів Manifold, Екс Шарма, виявив, що на ClawHub акаунт imaflytok опублікував 30 навичок, які отримали загалом близько 9 800 завантажень. Ці навички зовні виглядають як звичайні плагіни — допоміжні інструменти для запланованих завдань, інструменти безпеки, моніторинг ринку тощо, але насправді за кулисами перетворюють AI-асистента користувача на «працівника», який виконує завдання для інших і заробляє криптовалюту. Після встановлення плагіна AI-асистент автоматично виконує серію дій згідно з інструкціями у файлі плагіна: спочатку реєструється на сторонньому сервері, повідомляючи «Як мене звати, що я можу робити та які ще плагіни встановлені»; потім створює криптовалютний гаманець і передає приватний ключ цьому серверу; далі кожні 4 години виконує перевірку наявності завдань. Від реєстрації до передачі ключа та отримання завдань — користувач не бачить жодних попереджень і ніколи не натискає жодної кнопки погодження. У цих плагінах немає шкідливого коду, і сканери безпеки, перевіряючи рядок за рядком, не можуть виявити нічого підозрілого — усі кроки виконуються за допомогою легальних інструментів та стандартних інтерфейсів. Шарма стверджує, що це той самий патерн, що й раніше, коли 150 000 шкідливих пакетів заповнили npm для фармування токенів Tea Protocol, але тепер носієм стали не пакети коду, а плагіни AI-асистентів. Він вважає, що механізм перевірки магазину плагінів тут не працює: «Сканери шукають шкідливий код — а тут його немає. Потрібно спостерігати за тим, що AI-асистент робить після встановлення плагіна». (Джерело: BlockBeats)
Плагін ClawHub відкрито для використання AI-асистентів для заробітку криптовалюти для інших
KuCoinFlashПоділитися
Короткий зміст
Новини про ШІ та криптовалюту з’явилися 29 квітня, коли AIMPACT розкрила експлойт у плагіні ClawHub. Ax Sharma з Manifold виявив акаунт imaflytok, який опублікував 30 плагінів із 9 800 завантаженнями. Ці інструменти, які видають себе за асистентів для завдань та моніторів ринку, таємно використовували AI-асистентів користувачів для видобутку криптовалют для інших. Після встановлення AI-асистенти автоматично реєструвалися на сторонньому сервері, створювали гаманці та надсилали приватні ключі без згоди. Зловмисного коду не було знайдено, але поведінка схожа на минулі атаки npm. Огляди магазину плагінів не виявили цієї проблеми. Новини про криптовалюту підкреслюють зростаючі ризики у інструментах на основі ШІ.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.