一个被盗开发者令牌，三小时拿下整片云环境

一个被盗的开发者令牌，大约三小时就能变成受害者云环境的完整管理员权限。这是Anthropic在2026年9月10日发布的第四份威胁情报报告里记录的场景，报告名为《检测与反制AI滥用：2026年9月》，覆盖其团队在2025年12月至2026年8月间处置的行动，横跨七类危害领域，并附可下载的IOC集合。

报告的网络行动章节把一条犯罪AI供应链摆上了台面：它建立在被盗的API密钥和会话令牌之上。一支黑客活动组织的行动整整跑了一个月，全程用的都是偷来的密钥；与ShinyHunters有关联的团伙则在入侵过程中，把自己的攻击负载切换到了受害者的密钥上。

被盗的AI凭证一次性给攻击者三样东西：可以通过中间商转卖的“库存”、记在受害者账上的攻击算力，以及指向密钥合法持有者的归因线索。报告自己的表述就是标题：“操作者把AI供应链本身同时当作目标和资源。”报告明确写到，在它记录的每一个案例中，密钥都来自Anthropic客户的环境，Anthropic自身系统并未被攻破。

没人盘点过的那一层

安全团队花了三年时间编目提示注入、模型幻觉和智能体权限问题。这份报告把注意力挪到了一个更容易被忽略的层面，因为它在产品内部是隐形的：API密钥。密钥和会话令牌如今本身就是多个犯罪团伙的目标——它们是赃物，中间商买进卖出；同时也是基础设施，攻击者用受害者的密钥发动攻击，算力免费，归因指向别人。

最干净的样本是GTG-50021，一个说俄语和乌克兰语的团伙，经营着一家提供廉价Claude访问的欺诈性转售商，报告的原话是“既不便宜，也不是Claude”。客户以为自己买到了折扣的前沿模型访问，流量却被悄悄代理到另一个模型，而转售商的工具里装了一个凭证收割器，偷走客户的Anthropic账户凭证，再转卖给其他代理转售商。这套路数并不新奇，就是披着AI外衣的网络钓鱼，它能规模化，是因为折扣模型访问如今已是个人和小团队的常规采购。

供应链既是目标也是资源

安全从业者用“就地取材”形容那些只用受害者环境中已有工具发动的攻击。报告追踪的机会主义操作者把同样的原则用在了AI上：“操作者把AI供应链本身同时当作目标和资源。”对这些团伙来说，那套已被环境信任的合法基础设施，就是AI技术栈本身。

机制直接得让人不安。多个操作者攻陷了AI包装服务对LiteLLM的实现——这是位于应用与模型提供商之间的开源网关层——用提示注入把运行在包装服务云容器里的生产API密钥偷了出来。其中一个被追踪为GTG-50020的操作者，先攻陷了一家AI厂商的评估沙箱并拿走其生产密钥，随后在大约四天内把同样的手法用在了约三十家AI公司身上：一条成功的攻击路径，被改编、被重复，其宣称的目标是触达一个尚未发布的Claude模型。密钥始终是客户的密钥，从客户环境偷来，再换成攻击者自己的算力。

这恰恰是多数AI治理项目至今没有触及的一层。一家典型的中型企业能说出自己用了哪些模型提供商，却列不全密钥都躺在哪儿：包装服务、评估沙箱、CI流水线、Jupyter笔记本、智能体运行框架、内部工具，偶尔还有共享文档。报告里的案例显示，攻击者一旦进入，上述每一处都是取件点；有些甚至是从外部取件，靠对持有生产密钥的网关发起提示注入。

会盯着检测的恶意软件，会自己入侵的智能体

报告把自主性阶梯写得很具体。一端是操作者把Claude当工程助手，用来造恶意软件、钓鱼工具包和监控工具。中间是操作者指挥Claude执行操作——对受害者网络跑命令、收割凭证、外传数据——每一个目标决策仍由人来做。最远端则是极少人工介入的行动：多智能体框架并行地对多个受害者做侦察、利用和窃取；一支按预设时间表运行的采集集群，没有人在环，自动续期被盗访问令牌并收割受害者云存储。

对防守方来说，有一条升级路径格外扎眼：一个被盗的开发者令牌，大约三小时就变成了受害者云环境的完整管理员控制权；另一起案例中，AI智能体几乎完成了全部工作，提取出认证数据以及横跨40多个企业租户的2100多套Azure AD令牌集。

报告明确指出，这些都不依赖新技术。攻击用的是被盗凭证、未打补丁的边缘设备、暴露的服务、SQL注入和网络钓鱼——还是那些老TTP。变的是经济账：AI抹平了过去把国家支持的行动与个人操作者隔开的劳动力与工具差距，一个拿着偷来密钥的黑客活动分子，如今能维持多受害者的行动，而这在一年前需要一支团队。

把密钥当生产凭证对待，因为攻击者就是这么干的

Anthropic的建议是这一切具体而枯燥的版本：“组织应当以对待生产凭证的同等严肃程度，对待AI密钥和智能体集成。”落到实处是四项操作变更，没有一项是新奇的。

• 像盘点密码一样盘点密钥。暴露在公开代码、GitHub仓库、Docker容器和网站里的API密钥，是团队发现的最常见来源，所以针对模型提供商密钥模式的仓库扫描，应当和云凭证的密钥扫描进同一条流水线。
• 限定范围并轮换。密钥应按项目限定，按计划或在有怀疑时轮换，绝不通过聊天窗口、共享文档或截图传递。
• 关掉转售商的门。只通过授权渠道购买模型访问——一个承诺前沿访问打六折的页面，要么是代理到另一个模型，要么是凭证收割器，要么两者兼有。
• 把网关层当作安全关键组件。LiteLLM、代理、智能体集成，任何持有生产密钥的东西，距离一次提示注入交出密钥只差一步，因此它需要和保险库同等的隔离与监控。

在智能体的世界里，某人装的那个包和某人粘贴的那串密钥，是同一个攻击面。凭证这条边，是攻击者最先下手的那条。盘点密钥、约束网关、关掉转售商的门——经济账变了，修法没变。