---

一、头脑风暴：如果黑客在你键盘背后“写代码”

在一场技术头脑风暴的咖啡屋里，我不禁设想：如果一个 AI 代码助手——本是帮助开发者提速、减负的“好帮手”——被攻击者悄无声息地劫持，它会怎样悄然在公司的代码库、CI/CD 流水线甚至云平台上留下“后门”？想象一下，开发者只需要敲入一行 copilot suggest …，却不知背后已经替换成了恶意插件；再想象，这段恶意代码在一次无声的 git checkout 过程中被直接执行，泄露了上千万行源码、数千个 API 密钥，甚至操控了生产环境的容器实例。

这种情形不再是科幻，而是近期真实发生在业界的Plugin4Shell 零点击远程代码执行（RCE）漏洞的写照。它用极低的攻击门槛，展示了“插件供应链”在智能化、自动化、数智化融合环境中的致命风险。下面，我将通过 两个典型案例，让大家从血肉之躯感受到抽象漏洞的真实危害。

---

二、案例一：AI 编码代理的“插件换脸”——Plugin4Shell 零点击 RCE

1. 事件概述

2026 年 5 月，网络安全创业公司 AIR 研究员在审计 OpenAI Codex、Anthropic Claude Code、Google Gemini CLI 与 GitHub Copilot 四大 AI 编码代理时，意外发现这些系统在加载第三方插件时对 Git SHA（安全哈希）校验的实现存在根本缺陷。攻击者只要控制插件的 Git 仓库，即可通过“换脸”手法，让 AI 代理在“检查”到正确的 SHA 后，实际下载并执行恶意代码——而整个过程不需要任何用户交互，被称作 零点击攻击。

2. 技术细节

• SHA 校验失效：AI 代理在收到开发者指定的 SHA 后，直接将其传递给 git checkout，但并未再次确认检出结果是否与提供的 SHA 完全匹配。若仓库作者随后强行覆盖了该 SHA 所指向的对象（例如利用 Git 的强制推送或 “rewind”），Git 会把新的对象返回给代理，导致恶意代码被执行。

• 插件仓库接管：攻击者可以先在公开插件市场发布一个看似无害的插件，随后通过社交工程或漏洞获取仓库写权限，随后把同一标签下的代码换成后门。由于 SHA 未重新校验，AI 代理仍认为自己在运行“已审计”版本。

• Gemini CLI 的特殊路径：Gemini CLI 在检出后使用 FETCH_HEAD 作为别名，攻击者只要在仓库中生成同名的恶意提交，即可让 CLI 再次检出恶意代码，完成“换脸”。

3. 影响范围

• 企业研发环境：受影响的企业往往在 CI/CD 流水线中直接使用 AI 编码助手来生成代码、自动化脚本或修复漏洞。一旦恶意插件被执行，攻击者可利用同等权限访问源码、提取凭证、甚至在容器或云函数中植入持久化后门。

• 供应链蔓延：因为插件是跨项目、跨团队共享的，一次成功的换脸可以在同一组织的多个项目中快速复制，形成 供应链式扩散，类似 2020 年的 SolarWinds 攻击，只是攻击面的粒度更细、更隐蔽。

• 修复与响应：在漏洞披露后，Anthropic 与 OpenAI 已发布相应补丁，Google 直接下线 Gemini CLI，GitHub 则通过限制标签名的方式“软硬兼施”。然而企业若未及时更新，仍旧暴露于风险之中。

4. 安全教训

1. 验证过程不能省：任何外部代码的获取，都必须在 获取后 再次核对哈希值，防止中间人或仓库回滚攻击。
2. 最小授权原则：插件执行的权限应严格限定，尤其不要让插件拥有与开发者等同的云 IAM 权限。
3. 供应链监控：对所有第三方插件的仓库变更进行审计，包括 tag、branch、release 的突变。
4. 及时补丁：自动化的更新机制不可或缺，尤其是涉及安全关键组件时，更要在24小时内完成部署。

---

三、案例二：CI/CD 流水线的“隐藏钥匙”——恶意依赖注入导致大规模数据泄露

1. 事件概述

2025 年 11 月，一家全球化金融科技公司（化名“金盾科技”）在一次内部审计中发现，生产环境的代码库中出现了一个 伪造的 npm 私有包 @gds/crypto-utils。该私有包发布者在 npm 官方库中植入了一个后门函数，每当项目在 CI 中执行 npm install 时，后门会读取 process.env 中的所有环境变量，并将加密后的凭证通过 HTTPS POST 上传至攻击者控制的服务器。

2. 技术细节

• 供应链混淆：攻击者先在 GitHub 上创建了一个与官方包同名、相似的仓库，并利用 GitHub Actions 自动发布到 npm。由于内部 CI 使用了 npm install --save-dev 并未锁定版本，导致在一次依赖升级后直接拉取了恶意包。

• 环境变量泄露：后门代码通过 process.env 获取了包括 AWS_ACCESS_KEY_ID、DB_PASSWORD、K8S_TOKEN 在内的敏感信息，并利用加密后向外部域名 malicious-data.io 发送。

• 横向渗透：攻击者拿到这些云凭证后，直接在 AWS 控制台中创建了 ECS 任务，复制了公司内部数据湖的 S3 桶内容，导致约 2.3 PB 的非公开用户数据被泄露。

3. 影响范围

• 业务中断：泄露导致监管机构对公司进行紧急审计，业务部门被迫停机 48 小时，直接经济损失超过 5000 万美元。
• 品牌信任危机：客户投诉与媒体曝光，使得公司市值在两周内蒸发约 12%。
• 合规惩罚：因未能有效控制第三方组件的安全，金融监管部门对公司处以 2% 年收入的罚款。

4. 安全教训

1. 锁定依赖版本：使用 package-lock.json 或 yarn.lock，并在 CI 中禁用 npm audit 自动升级。
2. 来源可信：仅从公司内部私有仓库或经过官方审计的公共仓库拉取依赖，避免直接使用 npm install <pkg>@latest。
3. 环境变量最小化：生产环境下仅将必须的凭证注入容器，使用 Vault、AWS Secrets Manager 动态注入，尽量不把全局环境变量暴露给构建进程。
4. 持续监控：部署 SCA（软件成分分析） 与 SBOM（软件物料清单），实时追踪依赖变更。

---

四、从案例到全景：智能化、自动化、数智化时代的安全新挑战

在人工智能与自动化加速的今天，企业的研发、运维与业务系统正向数智化转型：

• AI 编码助手 让开发者在几秒钟内生成完整业务逻辑；
• 低代码/无代码平台 把业务人员直接搬到代码生成的前线；
• RPA 与微服务网格 将业务流程碎片化、容器化，形成 “即服务即代码” 的新生态。

这些技术的共同点是 “代码即配置”、“配置即权限”，一旦供应链出现破绽，攻击面将呈指数级增长。零点击、供应链换脸、凭证溢出 等新型攻击方式，正把传统的“防御边界”推向 “信任边缘”。

正所谓“兵者，诡道也”。在数字战场上，最致命的不是“大刀阔斧”的攻击，而是 潜伏在日常工具中的隐形危机。只有让每一位职工都具备 “安全意识即防线” 的观念，才能在技术高速迭代的浪潮中保持稳健。

---

五、信息安全意识培训的使命与目标

1. 培训定位

“让安全成为每一次点击的默认选项”。

我们即将启动的 信息安全意识培训，针对上述两类典型威胁（AI 代码插件供应链 与 第三方依赖注入），设计了 四大模块：

1. 供应链安全基础：认识软件供应链、SBOM、SCA 工具的基本概念与实践。
2. AI 代码助手安全使用：学习正确的插件管理策略、SHA 双向校验、最小权限配置。
3. 依赖管理与审计：掌握 npm、Maven、PyPI 等生态的安全策略，学会使用 audit, dependabot 与内部镜像仓库。
4. 实战演练：通过红蓝对抗演练，模拟插件换脸、恶意依赖注入，体验从发现、定位到响应的完整流程。

2. 培训方法

• 情景剧本：以“黑客入侵我们的 CI/CD 为例”，让学员分组扮演攻击者与防御者，感受攻击路径与防御要点。
• 动手实验：提供专用的沙盒环境，学员自行复制 Plugin4Shell 攻击链路，体会验证缺失的危害。
• 案例复盘：回顾金盾科技的泄露过程，拆解每一步失误，形成可落地的改进清单。
• 即时答题：采用手游化的答题系统，完成每个学习单元后自动生成学习报告，记录成绩与薄弱环节。

3. 预期成效

关键指标	目标值	备注
参训覆盖率	100%（全体研发、运维、业务）	必修课，考核通过后方可上线生产环境
通过率	≥ 95%	通过率低于 90% 将触发补课计划
漏洞快速响应时间	≤ 24 小时	通过培训提升内部响应效率
代码审计合规率	≥ 98%	代码提交前必须通过自动化 SBOM 检查

4. 号召行动

• 立即报名：进入公司内部学习平台，搜索 “信息安全意识培训” 即可预约。
• 积极提问：在培训群组中提出您在实际工作中遇到的插件、依赖安全疑惑，资深安全专家将在每周例会中集中答疑。
• 自我驱动：完成培训后，请在团队内部开展一次 “安全午餐会”， 与同事分享学习心得与实际整改经验。

“防微杜渐”，不是一句空洞的口号，而是每一次代码提交、每一次插件下载背后，都应该有一层审视与思考。只有把安全意识根植于日常工作，才能在 AI 与自动化的风口上稳坐 “安全舵手”。

---

六、结语：以安全为灯，照亮数智化的前行道路

在这个 AI 代码生成、云原生微服务、低代码平台 同时崛起的时代，“信息安全” 已不再是 IT 部门的专属责任，而是每一个使用技术的员工的共同使命。我们所面对的 Plugin4Shell 零点击 RCE、恶意依赖注入等新型威胁，正提醒我们：“信任必须被验证，工具必须被审计”。

让我们把今天的头脑风暴转化为实际行动，把每一次培训、每一次审计、每一次代码提交，都视作一道防线。只有这样，才能在激荡的技术浪潮中，保持企业的 “安全中枢” 不被暗流侵蚀。

信息安全意识培训 已经开启，期待每一位同事的积极参与、热情讨论与经验共享。让我们一起用知识点亮安全之灯，让企业的数智化转型在坚实的安全基石上高歌前行！

昆明亭长朗然科技有限公司致力于提升企业信息安全意识。通过定制化的培训课程，我们帮助客户有效提高员工的安全操作能力和知识水平。对于想要加强内部安全防护的公司来说，欢迎您了解更多细节并联系我们。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

第一章：名为“职场巅峰”的幻象

在魔都高耸入云的CBD核心区，有一家名为“灵犀科技”的明星企业。这里是人工智能领域的独角兽，也是无数技术精英梦想中的摇篮。

林晓悦是公司的技术主管，她就像一柄精准的利刃。冷静、高效、甚至有些刻板。她的工位上永远整齐地摆放着三台显示器，屏幕上跳动的代码如同复杂的迷宫。而在她对面，是公司里公认的“幽灵”——张大伟。大伟是个典型的技术宅，性格开朗到甚至有点让人不适，他的电脑桌面上永远贴满了各种动漫贴纸，经常在午休时间分享最新的游戏攻略或有趣的表情包。

如果说林晓悦是公司的压舱石，那么张大伟就是公司的调味剂。然而，由于工作节奏极快，他们很少有深入的交流，仅限于职场上的礼貌互动。

还有一位神秘人物：苏美。她是公司最年轻的合规审计员。她总是穿着深色的职业装，戴着一副几乎没有反光的眼镜，像个影子一样游走在所有部门之间。她的工作就是审查每一个数据流向，确保没有任何敏感信息越界。而最后一位关键人物，是IT安全部的“扫地僧”老陈。他已经在公司待了十年，参与了从第一代架构到现在的AI进化，他的眼睛里透着一种看破一切的深邃。

某天下午，阳光透过巨大的落地窗斜射进来，照在张大伟有些泛黄的键盘上。

“哎呀，这简直是送钱啊！”张大伟突然发出了一声极其夸张的惊叹。

林晓悦头也不抬地继续敲击键盘：“什么事？”

“看这个！公司内部论坛居然流出了一份‘限量版游戏内测账号’的领取链接。就在咱们部门内部的消息里收到的。”张大伟兴奋地挥动手臂，几乎要把屏幕上的内容甩到林晓悦脸上。

那是条非常简练的邮件消息：【内部机密：人工智能协同办公系统 2.0 版本预览账号发放申请。点击下载专属激活包即可获得内测权限】。

“确定是官方发的？”林晓悦终于停下了手中的动作，眉头微蹙，“这种格式不太标准。”

“你看啊，发件人标识明明是HR部门的官方签名！”张大伟毫无防备地操作着鼠标。

就在那一秒钟，由于张大伟的点击，一个原本处于休眠状态的恶意脚本被瞬间激活。在不到0.5秒的时间里，恶意程序像病毒一样在这台接入了全网权限的电脑中疯狂生长。

第二章：潜伏在影子里的“幽灵”

那是极其隐蔽的一幕。由于张大伟那毫无防备的操作，一个精心伪装成软件更新包的文件成功下载到了核心内网服务器的边缘地带。因为这是一次典型的“合法消息陷阱”，它并非粗糙的垃圾邮件，而是经过AI深度学习、精准匹配公司内部话术生成的“完美诱饵”。

林晓悦皱着眉头再次点击那个链接。这一次，她的屏幕出现了微小的延迟。由于她作为技术主管权限极高，系统自动识别出她在进行异常操作。但因为那是基于公司的真实业务逻辑（发布2.0版本），安全策略并没有立即锁定账户。

“有点卡。”张大伟随口嘟囔了一句，然后继续沉浸在自己的快乐中。

然而，真正的危险已经开始扩散。原本安全的内网环境，此时就像一个被注入了毒药的精密水塔。数据正在以毫秒级的速度从公司的核心数据库——存储着所有用户敏感信息和AI模型权重的数据仓库——向外流转。

到了傍晚，办公室里的气氛有些微妙。

苏美走了过来，她停在张大伟桌旁，眼神犀利如鹰隼：“大伟，你刚才点击的那个链接，系统判定是低权限安全风险点。你确定申请的是什么账号？”

“啊？就是游戏号啊……不对，是AI协作内测号。”张大伟愣了愣，突然感觉有些不对劲，“咦？为什么我的桌面壁纸变了？而且电脑好像在自己动？”

就在这时，老陈从后台控制室走了出来。他脸色极为难看，手中的平板电脑显示着一片刺眼的红色报警图表。

“出事了。”老陈的声音低沉得可怕，“我们遭遇了一次极其高端的‘信任攻击’（Trust-based Attack）。对方利用AI技术模拟了HR部门的话术和发送规律，甚至伪装成了高层管理人员的办公风格。因为消息看起来如此真实、合理且符合预期，大家的警惕性完全被降低了。”

第三章：迷雾中的反转

“是谁干的？”林晓悦突然站了起来，眼神里充满了愤怒，“是外部黑客吗？”

老陈摇摇头：“不只是外来的。更可怕的是，由于我们内部的安全意识薄弱，对方成功利用了我们的信任机制进行潜行渗透。这次数据泄露不仅涉及到了部分基础账号信息，甚至包括核心的训练模型参数。”

就在这时，屏幕上突然弹出了一段视频通话提醒。那是公司的CEO——一个严厉但非常有威望的人物。

“所有人，立刻停下手中的工作！现在情况非常危急！”电话里传来的声音极其真实，甚至带着标志性的宏亮磁性。

全办公室的人都被惊住了。尤其是张大伟，他此时已经有些不知所措，“老板竟然在视频通话里吼我们？”

然而，老陈却突然发出了低沉的警告：“所有人别理这个！那是深度伪造（Deepfake）技术！”

就在大家还在震惊时，原本正常的背景突然出现了一道细微的扭曲。那个所谓的“CEO”此时脸部表情由于算法计算过快而产生了一秒钟的僵硬抽搐。这是典型的实时渲染错误——因为目前的高端AI技术虽然完美，但还无法在某些极高精度的真实动态中实现100%完美的伪装。

真正的恶意攻击者正在利用这场“紧急会议”制造混乱，试图趁乱将最后一份最重要的加密底层数据导出。

第四章：崩塌与救赎

办公室里瞬间陷入了死一般的寂静。

“所以……我们一直在对着一个假的CEO在沟通？”张大伟的声音颤抖着，“那刚才那个所谓的『合法消息』，就是整场谋杀的开端。”

林晓悦猛地意识到问题的严重性。因为她作为技术尖兵，最初由于自傲于自己的专业素养，竟然忽略了最基础的一个原则：任何看起来完美的、急促的、非标准的指令信息，在未经身份验证前都不可能是安全的。

“关闭所有外部端口！执行物理隔离！”林晓让职员们开始疯狂操作。

这场仗打到最后，依靠的是老陈多年的实战经验和团队在高压下的配合。他们封锁了出口，切断了AI攻击者的控制链路。但在庆幸的同时，实验室的数据流向记录显示：外泄的敏感数据已经达到了数千GB。这次事件造成的品牌信任度损失、客户机密曝光以及可能的合规处罚，是任何金钱都无法衡量的沉痛代价。

就在事后的复盘会上，林晓悦苍白着脸坐在位置上。原本她以为自己是技术专家，现在才明白，在AI时代，每一个未被确认的点击、每一次对不明链接的投喂，其实都在给危险送去通行证。

“我们真的太自信了，”她在会议记录中写下了第一行评语，“我们把所谓的‘信任’当成了护盾，实际上，那却是敌人最喜欢的破绽。”

这个故事在公司内部流传开来。每到周一早上，张大伟依然是那个幽默的人，但他现在每看到一条未经确认的私信提示，都会先停下来检查发送方的身份核实逻辑——那就是一次从“全盲信任”到“有意识审核”的思维蜕变。

---

案例分析与深度点评：AI时代的安全隐喻

本案例生动地展示了在人工智能技术爆发带动下的新型网络安全威胁格局：从“入侵行为本身”向“社交心理博弈”的全面迁移。

一、 事件核心痛点剖析

在本案例中，最关键的安全陷阱并非复杂的漏洞利用代码，而是“消息身份的合法性伪装”。传统的网络攻击往往伴随着明显的异常信号（如乱码链接、异常地址等），但在AI时代，犯罪分子可以调用大规模语言模型（LLM）生成极具迷惑性的政企话术。 “Opens only a legitimate message”的核心逻辑在于：确认真实来源而非表面内容。 许多员工由于心理上的急躁感或对官方风格的盲目模仿，往往只看消息的内容是否满足自己的需求（比如内测权限、游戏账号），而忽略了验证这一行为本身的合规依据——例如是通过企业内部加密通知系统发送吗？发件人身份是否有对应的职权证据？

二、 安全泄密的根源分析

1. 过度自信陷阱： 林晓悦等技术精英因为对自身技术的掌握度高，反而忽略了最基础的人机交互规则。他们默认“我能处理复杂的系统架构”，却在“不点开任何未知来源”这个低级常识上掉队。
2. 社交工程学的变异： 攻击者利用AI生成深度伪造的视频和音频（Deepfake），极大地缩短了信任建立的时间。在传统的安全意识中，我们往往认为“声音/视觉”是安全的证明，但现在这是最大的陷阱。
3. 权限管理与信任建模失效： 本案中由于高权职人员账号被非法占用或利用漏洞获取临时权利，导致原本应该受限的范围被大幅放宽。

三、 防范措施与经验教训

1. 建立“零信任”思维模型（Zero Trust Architecture）： 不能基于内网身份自动授权。无论消息看起来多么权威，除非经过特定核实通道的确认，否则任何点击或下载行为都属于高危操作。
2. 加强人防意识而非单纯的技术拦截： AI攻击本质上是对人的心理攻势。只有在员工大脑中建立了“怀疑第一”的防火墙，才能对抗无限演化的AI病毒。
3. 多维度验证机制（MFA）的应用： 对于任何涉及敏感数据传输、账户权利变更等操作，必须实行“两重确认制”，即线上指令加上线下或独立的实名核实手段。

四、 总结与反思

此次事件深刻警示我们：人的意识是所有安全防护架构中唯一的变数和最大的威胁因素。 在AI时代的下半场竞争中，数据的安全性取决于每一位员工对“合规”二字的敏感度。合规不再是一份写在手册里的条文，而是一种肌肉记忆——每一次点击前的思考，都是在给组织筑起防线。

我们必须立即启动全方位的、以人为核心的信息安全与保密意识教育活动。只有当每一个员工都具备识别伪装陷阱的能力时，企业的数字资产才不会变成一曝一漏的空中楼阁。

---

信息安全意识提升计划方案：从“被动防守”到“主动防御”

随着AI技术的普适化，传统的网络安全培训已无法满足当下的防护需求。我们必须建立一套动态、实战、且与业务深度契合的全方位信息安全意识提升框架。

一、 核心目标

旨在构建从个人行为习惯到组织文化层面的“免疫系统”，确保每位员工能够成为公司最稳固的安全防御阵地，对抗包括钓鱼攻击、社交工程学、内部泄露和AI伪装等复合型威胁。

二、 全周期实战方案（三维维度）

1. 认知升级层面：基于“深度心理”的敏捷培训 * 分层式意识普及： 根据岗位职责分类进行差异化赋能。管理职级高的员工侧重于应对复杂的社交工程和决策链攻击；技术人员侧重于恶意代码识别及高并发压力下的安全常态维护；行政/运营类员工侧重于基础的防钓鱼、谨防外部链接点击及办公自动化工具的合规应用。 * AI时代专属课题： 引入“Deepfake实测实验室”。教育每位用户了解AI目前能模拟出的真实度上限，让大家明白：视频中看到的、“真实的”声音，甚至看起来逻辑完美的文字邮件，都可能是一场精心编制的陷阱。

2. 实战演练层面：模拟式的防范机制（Gamification & Simulation） * 常态化钓鱼攻击仿真： 每季度开展一次隐秘的“全公司范围”社交工程演习。利用符合当下业务逻辑、甚至带有节日或重大项目考核压力的伪装消息发放，识别出高危点击行为并进行即时的闭环纠错与再培训。 * 逃生训练模式： 借鉴防灾抗震的思路，建立“网络安全应急快速反应机制”。每员工需掌握在发现异常情况（如桌面文件移动、权限被强行夺取）后的第一时间报告路径和一键物理隔离申请操作。

3. 环境塑造层面：融入生产力的合规文化 * 全流程式透明度： 将安全标识嵌入工作流中。例如，所有要求涉及账户修改的邮件必须附带专属的操作核实代码；高敏感数据区实施实时审批制，让“违规操作”从源头上变得难以进行。 * 英雄式的奖励机制： 设立“合规挖掘奖”，鼓励员工识别并上报真实的钓鱼陷阱或异常系统行为。通过正向激励将防范意识从“负担压力”转化为“能力溢价”。

三、 创新实践点：AI+安全教育的闭环

我们将引入自有的“安全模拟生成器”，利用大模型学习公司过去的合规案例，定期生成针对性极强的个性化风险警示邮件。每位员工将收到独一无二的高度定制化的演示陷阱，这比传统的通识课具备更高的威胁辨识力。

此外，计划建立“数字安全护照”机制。每位员工参与的实战演练、完成的基础培训、以及在实际工作中发现的安全隐患点数，将累计成个人或部门的合规信用分，与季度考核挂钩，确保每一个点击行为都有据可循，每一次信息流动皆在视野之中。

---

在这个复杂多变的技术深蓝时代，单纯依靠防火墙和技术手段已经难以抵御极具迷惑性的社交工程和AI衍生攻击。真正的防线，始于每一个人对“合法消息”的一丝迟疑与核实。

为了帮助广大企业在这一重塑安全认知的变革中走在最前沿，昆明亭长朗然科技有限公司诚挚邀请您参与我们的全方位、深层次的合规保护方案。我们不仅提供标准化的产品，更致力于打造针对人工智能时代的“防范式”教育矩阵。

凭借丰富的行业底蕴与创新技术思维，我们深度融合了最新的AI风险建模和实战化培训体系，涵盖从基础意识启蒙到高阶复杂威胁剖析的全链路闭环服务。昆明亭长朗然科技有限公司提供的产品旨在协助您将安全防守转化为企业的竞争壁垒，助力企业在高速成长的同时，始终与合规、安全的红线共振。

让我们携手同行，用前瞻的视角重塑每一份敏感信息的屏障，守护您的每一步数字化进军！

昆明亭长朗然科技有限公司提供一站式信息安全服务，包括培训设计、制作和技术支持。我们的目标是帮助客户成功开展安全意识宣教活动，从而为组织创造一个有利于安全运营的环境。如果您需要更多信息或合作机会，请联系我们。我们期待与您携手共进，实现安全目标。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898