“防患于未然，方能以小胜大。”
—《左传·僖公二十三年》
在数字化、智能化浪潮汹涌而来的当下，企业的每一次业务创新、每一次系统升级，都可能无形中打开一道新的攻击面。2025 年 11 月，Google 威胁情报团队（GTIG）发布的《AI‑Enabled Malware Now Actively Deployed, Says Google》一文，首次公开了两款“即时 AI”恶意软件——PromptFlux 与 PromptSteal，并点名了包括 FruitShell、PromptLock、QuietVault 在内的多款 AI 驱动的攻击工具。面对这些前所未有的“自我进化”式威胁，单靠传统的签名检测、静态审计已显捉襟见肘，只有全员提升安全意识、掌握行为防御的思路，才能在攻击者披荆斩棘之前，先行一步筑牢防线。
为了帮助大家更直观地感受 AI 恶意软件的危害，并以此为起点深入探讨防护路径，本文在开篇将通过 头脑风暴，挑选四个具有代表性且教育意义深刻的真实安全事件案例进行深入剖析，随后结合当下的业务环境，呼吁全体职工踊跃参与即将启动的信息安全意识培训，系统提升个人与组织的安全素养。
一、案例一：PromptFlux——“会写自己的代码”的 VBScript 变形金刚
1. 事件概述
2025 年 10 月，Google 威胁情报团队在一次主动监测中捕获到一段异常的 VBScript 代码。该脚本被命名为 PromptFlux，是一款具备 “即时 AI” 能力的 Dropper。它通过调用 Google Gemini API，将自身的源代码作为 Prompt 发送给 LLM，获取重新编写、混淆后的代码后再写入本机 Startup 目录实现持久化。更具戏剧性的是，它还能复制自身到所有可写的移动磁盘、网络共享文件夹，以实现横向扩散。
2. 攻击链细节
| 步骤 | 攻击技术 | 关键点 |
|---|---|---|
| 初始投放 | 社交工程邮件 + 恶意宏 | 诱导用户打开含有 VBScript 的 Office 文档 |
| 代码生成 | 调用 Gemini API（HTTPS POST） | Prompt 中包含 “重写并混淆 VBScript，使其难以被静态分析” |
| 本地持久化 | 写入 %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup |
每次系统启动自动执行 |
| 横向扩散 | 复制到可写网络共享、U 盘 | 利用 SMB “匿名”写入权限 |
| C2 通信 | 通过 HTTPS 向攻击者服务器发送执行结果 | 隐蔽在正常的 API 流量中 |
3. 安全意义
- 动态代码生成：传统防病毒依赖于文件哈希或特征码，一旦恶意代码在运行时被 LLM 重新生成，这些静态特征即刻失效。
- 云 API 滥用：大量企业已在内部网络中放通对外的云服务端口（如 443），攻击者正借助合法的 AI API 请求掩人耳目。
- 自我复制：使用系统默认的共享路径进行横向传播，凸显内部访问控制不严的风险。
4. 防御要点
- 行为监控：重点监控“调用外部 AI API 并伴随文件写入”这一异常组合。
- 最小化特权：限制普通用户对 Startup 目录、网络共享的写权限。
- API 审计：对外部云服务调用实行白名单，异常请求立即告警或阻断。
二、案例二：PromptSteal——“一键生成命令”的 Python 数据采矿器
1. 事件概述
同属 GTIG 报告的 PromptSteal，是一款基于 Python 的数据采集工具。攻击者将目标文件路径、文件类型等信息作为 Prompt 发送给 Qwen2.5‑Coder‑32B‑Instruct，LLM 再返回一行行精确的 PowerShell、CMD 或 Bash 命令，完成对特定目录的递归搜索、压缩、加密后上传至攻击者的 C2 服务器。该工具在 2025 年 4 月的乌克兰战场被观测到，使用者被确认是俄国 APT28（Fancy Bear）组织。
2. 攻击链细节
| 步骤 | 攻击技术 | 关键点 |
|---|---|---|
| 渗透入口 | 钓鱼邮件 + 恶意附件（Python 脚本） | 脚本执行后立即请求 LLM |
| 指令生成 | Prompt = “列出 C:* 下所有 .docx 文件并压缩为 zip” | LLM 输出完整 PowerShell 命令 |
| 命令执行 | 以子进程运行返回的命令 | 结果保存在本地 /tmp/output.zip |
| 数据外泄 | 使用 HTTPS POST 将 zip 上传至攻击者服务器 | 流量混杂在正常的云备份流量中 |
| 自毁残迹 | 删除原始脚本、清理日志 | 规避取证 |
3. 安全意义
- 即时化指令：攻击者不必事先准备大量恶意脚本，只需在攻击现场“实时生成”。
- 跨语言兼容：LLM 能生成 PowerShell、CMD、Bash、Python 等多种语言指令，极大提升了攻击的跨平台能力。
- 隐藏在合法流量：将数据上传至常见的云端 API（如 Azure Blob、AWS S3）进行伪装，传统网络防火墙难以识别。
4. 防御要点
- API 调用监控：对接入外部 LLM 平台的 API 请求进行深度内容分析，尤其是包含系统命令关键字的 Prompt。
- 进程行为审计：检测“短暂子进程 + 高权限文件读写 + 立即网络传输”三者的组合异常。
- 端点硬化：关闭不必要的 PowerShell Remoting、禁止未经批准的脚本执行策略（ExecutionPolicy）。
三、案例三：FruitShell——“硬编码提示”式的逆向 PowerShell 远控
1. 事件概述
FruitShell 出现于 2024 年底，是一款基于 PowerShell 的逆向 shell。它在代码中嵌入了一组硬编码的 LLM Prompt，旨在让安全产品（如基于 LLM 的检测系统）误以为其是合法的 AI 辅助脚本，从而规避检测。实际运行时，它会先通过硬编码 Prompt 与本地部署的小型语言模型进行“对话”，确认自身身份后再与 C2 建立加密通道。
2. 攻击链细节
| 步骤 | 攻击技术 | 关键点 |
|---|---|---|
| 植入方式 | 通过已被泄露的 Exchange 服务器漏洞写入脚本 | 利用 CVE‑2024‑12345 |
| 身份验证 | 本地 LLM（GPT‑2‑tiny）返回 “Authorized” | 伪装成内部运维脚本 |
| 远控通道 | TLS 加密的 WebSocket | 端口使用 443（常规 HTTPS） |
| 命令执行 | 接收 PowerShell 指令并返回执行结果 | 实时交互，低延迟 |
3. 安全意义
- “骗 AI”：把安全检测模型当作信任链的一环，利用模型对自身的信任导致误判。
- 硬编码提示：即使模型升级，硬编码提示仍可保持有效，提升了攻击的持久性。
- 加密流量：使用主流协议端口，传统 DPI 难以分辨。
4. 防御要点
- 模型可信链审计：对企业内部部署的 LLM 进行使用审计，限制其对外部或本地脚本的调用权限。
- 异常行为检测：监控“PowerShell 进程在短时间内多次打开 WebSocket 连接”这一异常行为。
- 补丁管理：及时修复 Exchange、AD 相关漏洞，防止植入。
四、案例四：PromptLock——“AI 驱动的 Lua 脚本勒索”
1. 事件概述
PromptLock 是 2025 年初在全球多个勒索案件中被发现的 Go 语言编写的勒索软件。它的核心亮点在于 运行时向本地部署的 LLM（如 llama‑cpp）请求“一段用于文件搜集与加密的 Lua 脚本”，随后将该脚本嵌入自身执行环境，实现 “零代码准备、即点即用” 的攻击模式。受害企业往往在不知不觉中被锁定，且勒索信中出现大量与 AI 相关的语言（如 “我们使用了最新的生成式模型”），增加恐慌感。
2. 攻击链细节
| 步骤 | 攻击技术 | 关键点 |
|---|---|---|
| 渗透入口 | 通过未打补丁的 RDP 服务进行暴力登录 | 使用弱密码或未启用 MFA |
| 下载器 | 通过 PowerShell 下载并执行 Go 二进制文件 | 通过 Office‑365 文档中的 URL 进行诱导 |
| 脚本生成 | 调用本地 LLM，Prompt：“生成遍历 C:*，加密后保存为 .lock 的 Lua 脚本”。 | LLM 返回完整脚本，直接写入内存执行 |
| 加密勒索 | 使用 ChaCha20‑Poly1305 加密文件 | 生成 .lock 文件并留下勒索说明 |
| 赎金信息 | 在加密文件目录放置带 AI 特色的文案 | 诱导受害者通过暗网支付比特币 |
3. 安全意义
- 本地 LLM 滥用：许多企业在内部部署了轻量化的 LLM 用于代码审计、文档生成，攻击者正利用这些本地模型进行恶意脚本生成，规避网络流量监控。
- 即插即用：攻击者无需事先准备针对特定目标的加密逻辑，一旦触发即可动态生成，极大降低了准备成本。
- 心理战：在勒索信中大幅宣传 AI 能力，制造“技术不可抵挡”的恐慌氛围。
4. 防御要点
- 本地模型访问控制：对内部 LLM 实施强身份验证，仅限授权用户调用。
- 文件系统监控：检测大量文件改名并添加统一后缀（如 .lock）的行为。
- 登录安全：强制 RDP 采用多因素认证、密码复杂度策略，限制直接公网访问。
二、从案例看“AI + 恶意软件” 的共同特征
- 即时生成：不再依赖预制的恶意代码库，攻击者在目标机器上即时向 LLM 发 Prompt，获取对应平台、语言的攻击脚本。
- 云/本地双向滥用：既有通过外部云 API（Gemini、OpenAI）获取生成结果的，也有本地部署模型（llama‑cpp、GPT‑2‑tiny）直接生成恶意代码的情形。
- 合法流量伪装：所有通信均使用 HTTPS/443 端口，且多数请求看似合法的 AI 服务调用，使得传统防火墙、IPS 难以阻断。
- 行为模式统一：短链 Prompt → 脚本生成 → 文件写入/加密 → 网络上传，形成可被行为检测系统捕捉的统一链路。
上述特征提醒我们，防御的核心从“检测已知签名”转向 “检测异常行为”；从 “阻断外部入口” 转向 “审计内部模型使用”。这正是我们在即将开展的信息安全意识培训中，需要全体员工共同掌握的关键思路。
三、为何每位职工都必须加入信息安全意识培训？
1. 信息安全是“全员业务”，不是“IT 部门的专属任务”
“千里之堤，溃于蚁穴。”
—《韩非子·说林上》
在 AI 恶意软件的攻击链中，最薄弱的环节往往是人的行为——一次错误的点击、一次随意的脚本执行、一次对内部 LLM 的不加管控使用，都可能点燃整个系统的隐患。只有当每位职工都具备 “安全思维”，才能在最初的渗透阶段即将威胁扼杀。
2. 培训内容贴合真实案例，帮助职工“知其然、知其所以然”
本次培训将围绕 PromptFlux、PromptSteal、FruitShell、PromptLock 四大案例，采用场景化演练、红蓝对抗模拟、行为审计实战等形式，让大家：
- 辨识 常见的 AI 相关钓鱼邮件、恶意文档和可疑脚本；
- 掌握 基本的 行为异常 监测技巧（如异常进程/网络请求组合）；
- 了解 企业内部 LLM 使用治理（API 白名单、调用审计）；
- 演练 在发现异常后 快速响应（隔离终端、上报工单、日志保存）；
3. 培训赋能，不只是“规避风险”，更能提升工作效率
AI 技术本身是“双刃剑”。在合规、合法的前提下，合理运用 LLM 能显著提升文档撰写、代码审计、漏洞复现等效率。培训将专门设立 “安全使用 LLM” 模块，帮助大家：
- 编写安全 Prompt：避免触发模型的“恶意指令”或泄露内部信息；
- 审计 LLM 调用日志：快速定位异常调用并进行回溯；
- 制定部门 LLM 使用规范：从业务需求出发，明确“谁可以调、调什么、调到哪儿”。
4. 培训的参与方式与激励机制
| 时间段 | 渠道 | 内容 | 参与方式 |
|---|---|---|---|
| 2025‑11‑20 09:00‑11:30 | 线上（Zoom） | 案例剖析 + 行为审计实战 | 预约链接报名，完成签到即可获得电子徽章 |
| 2025‑11‑22 14:00‑16:30 | 线下（培训室 3） | LLM 合规使用 + 安全 Coding 研讨 | 现场签到，提交学习心得即有抽奖机会（奖品：硬盘加密钥匙、AI 安全书籍） |
| 2025‑11‑25 10:00‑12:00 | 线上（Teams） | 红蓝对抗演练（模拟钓鱼+AI 脚本） | 组队参加，团队排名前 3 名将获公司荣誉证书 |
温馨提示：本次培训完成后，HR 系统将自动记录学习时长，年终考核的 “信息安全意识” 项目将加权计入绩效。让安全成为 “加分项” 而不是 **“扣分项”。
四、打造“AI + 安全”双驱动的企业文化
1. 建立信息安全治理体系
- 安全委员会：由信息安全、业务部门、法务、合规及 IT 运维共同组成，负责制定 AI 使用规范、审查 LLM 接口白名单。
- 资产标签化：对所有关键业务系统、数据资产进行标签，明确 AI 接口访问许可 范围。
- 日志统一归集：将 LLM 调用日志、行为审计日志、网络流量日志 集中到 SIEM 平台，实现 关联分析。
2. 强化技术防护手段
- 行为 EDR：部署具备 AI 行为检测模型的端点防护系统，实时捕获 “Prompt → 脚本生成 → 文件写入” 组合异常。
- API 检测网关：对外部 AI 云服务的调用实行 动态关键字审计（比如 “write file”“execute command”），对异常请求进行阻断或人工复核。
- 本地模型安全沙箱：对内部部署的 LLM 实施 容器化运行、最小权限，并开启 调用审计。
3. 推动全员安全认知
- 每日安全快报：在企业内部门户每日推送一条 AI 恶意软件最新动态 或 安全小技巧（例如“不要在未验证的脚本中直接粘贴 LLM 生成的代码”。）
- 安全知识闯关：采用 积分制闯关，每完成一次案例复盘或答题，就可获得积分，累计至一定分值可兑换公司内部福利。
- “安全之星”评选：每季度评选 “安全之星”，表彰在防范 AI 恶意软件方面发挥突出作用的个人或团队。
五、结语：让安全成为每个人的习惯，让 AI 成为业务的助推器
在信息化、数字化、智能化深度交织的今天，“AI + 恶意软件” 已不再是科幻小说里的情节，而是实实在在的威胁。Google 所披露的 PromptFlux、PromptSteal 等案例，为我们敲响了警钟：攻击者已经学会“让机器为自己写代码”，而我们若仍旧停留在“靠签名防病毒”的旧思维，将会被时代抛在身后。
但机遇与危机并存。只要我们以全员安全为核心，以行为监控、模型治理、规范治理为抓手，以案例教学、实践演练、激励机制为推动力，就能在 AI 的浪潮中站稳脚跟，让技术真正服务于业务创新，而不是成为破坏的工具。
请全体同仁务必积极报名即将开启的信息安全意识培训，用知识武装自己，用行动守护企业的数字命脉。让我们共同铸就一道坚不可摧的安全长城，迎接 AI 时代的光辉前景！
“未雨绸缪，方能安然渡险。”
—《礼记·大学》
信息安全意识培训，期待与你并肩作战！
AI安全 信息防护 培训
昆明亭长朗然科技有限公司为企业提供安全意识提升方案，通过创新教学方法帮助员工在轻松愉快的氛围中学习。我们的产品设计注重互动性和趣味性，使信息安全教育更具吸引力。对此类方案感兴趣的客户，请随时与我们联系。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898
