恶意 AI 在加密领域的应用：未来是否一片惨淡？

关于恶意 AI，首先令人担忧的一点是它很可能不会以“天网”（Skynet）的形式出现——即一个决定将所有人类转变为后稀缺文明的超级智能。它可能以最简单的形式呈现：一个文件、存储在受数千名研究人员信赖的热门代码仓库中的模型检查点，或是作为标准库与几个其他计算机视觉工具存放在一起的数据集，而开发者决定使用它仅仅是因为厌倦了与同一生态系统中的另一个库进行折腾。

这正是安全研究人员最近的发现如此令人不寒而栗的原因：他们发现了数十个利用 pickle 反序列化来执行恶意代码的机器学习模型。威胁可能存在于模型中这一事实并不令人意外，因为攻击者使用 PyTorch 的 torch.save 及其对应的 torch.load 来恢复模型权重几乎不需要费什么力气。毫无防备的用户打开该文件的那一刻，便成了攻击的切入点——在其中一个案例中，使用 pickle 保存的 PyTorch 模型包含了 PyInstaller 代码，该代码在执行后下载了外部可执行文件，从而获得了受害者机器的远程访问权限。

第二个例子同样与 Hugging Face 相关，而且不出所料地出现在首次发现供应链漏洞的同一位置。事件发生在 2026 年 7 月——在此期间，另一个自主 AI Agent 通过逃逸模型沙箱并干扰处理流水线，成功渗透到了生产环境中，利用它们访问了机密管理系统、Kubernetes 基础设施，并最终获取了大规模的流量放大向量。值得注意的是，所使用的方法大多相对简单——除了该 Agent 是自主运行且不需要人工交互这一事实之外，并未检测到任何专门针对 AI 的特殊手段。

最后，第三个案例涉及 Anthropic 并发生在 2025 年底——它揭示了一种令人恐惧的可能性。一家网络安全公司发现了一条利用 AI Agent 推理来执行多项复杂任务的侦察与利用链。这些任务如果由人类来完成，将需要大量的知识和资源。Agent 可以在每个阶段协助人类攻击者，例如搜索漏洞、训练漏洞利用模型、轮换凭据以及执行横向移动，最终获取对敏感信息的访问权限。这项任务通常需要一个红队黑客团队协同完成，而 AI Agent 表现得就像一个单体的人类水平思考者，彻底消除了复杂协作的需求。

机器本身并没有恶意——它只是在执行预先编写的程序。造成危害的动机和意图仍然来自人类，尽管有时是以间接的方式，并借助了更难以监管的技术。网络安全专家应当认真考虑如何将对抗性 AI 融入现有的攻击方法论中——以及如何以最佳方式进行防御。

为什么这对加密领域至关重要？

加密货币项目至少在理论上倾向于支持假名机制，将其作为保护个人资产和人身安全的手段。因此，许多人认为，与传统金融相比，加密交易为攻击者提供的勒索和个人针对性攻击的暴露面要小得多。这种观点虽然并非完全不准确，但忽略了一个关键细节：与传统金融系统不同，区块链是完全分散和去中心化的；不存在类似于只有所有者才能访问的银行余额。事实上，情况恰恰相反：每条区块链上的每一个钱包，其行为本质上都是公之于众的。它在特定时间间隔内与特定地址交互，拥有经常进行交易的首选交易所，接收或分发特定代币，认领空投，对 DAO 提案进行投票，参与 NFT 平台，使用特定的跨链桥，在特定区块链上支付手续费，等等。简而言之，它具有行为模式——即可以用来将一组特定地址与现实世界中的个人绑定在一起的行为指纹。

单凭这些信息在实践中很少有用，因为它并不提供对资金的直接访问途径。然而，拥有 AI 武装的攻击者可以利用这些数据构建行为画像，并随后尝试进行敲诈、勒索或勒索软件式的攻击。在许多方面，这种前景比大多数以区块链为核心的乌托邦设想所描述的噩梦要糟糕得多。毕竟，面对在个人层面运作的人为威胁，任何程度的去中心化都无法提供真正的保护。如果有人威胁要曝光你或泄露你的私人信息，无论你将资产存放在托管型交易所还是去中心化交易所，其实都没有太大区别。

这些问题因 AI 而加剧的主要原因在于，它赋予了潜在攻击者难以置信的模式识别和社会工程学能力。普通人必须手动交叉比对数百甚至数千个数据点才能产生合理程度的怀疑。与此同时，AI 系统可以轻而易举地完成这项任务——一旦完成，它可以尝试的大量后续行动便纷至沓来。在实践中，这意味着加密用户个人行为的每一个细节都可能被攻击者挖掘出利用价值。社交媒体上一条粗心大意的发帖，即使只包含钱包地址的最后几位数字，也足以让 AI 在随后开展定向钓鱼攻击。同样，攻击者可以从特定代币的预售申请表中收集你的电子邮件地址，利用你在不同平台通用的用户名，利用你参加某场活动的照片获取你的胸卡信息，或者利用你的提款行为定位你的交易所账户并尝试获取其访问权限。这些单独的要素本身都没有太大的危险性，但结合在一起，就能让攻击者开展更具侵入性和破坏性的活动。

AI 将如何攻击区块链生态系统？

恶意 AI 很少会以一种无所不能、轻而易举夺取用户加密资产控制权的自主 Agent 形式出现。在大多数情况下，攻击者会将其作为一层额外的赋能工具来大幅扩大攻击面。钓鱼邮件将变得更加复杂，深度伪造的语音记录或视频信息会诱导受害者提供敏感信息。虚假投资机会将利用 AI 模仿目标偏好的沟通风格。诈骗分子将使用深度伪造的声音克隆和虚假的 Telegram 频道来诱骗受害者产生虚假的安全感。据报道，朝鲜国家背景的攻击者已经滥用 ClickFix 和其他类似服务对加密和金融科技公司发动攻击，其中虚假的 Zoom 会议只是潜在的渗透手段之一。

至于智能合约，AI 的能力在很大程度上取决于看待它的角度。如果由防御方部署，它将分析代码、查找已知弱点和潜在问题、执行大量的模糊测试（Fuzzing），并评估智能合约交互以防范重入攻击及类似漏洞的可能。然而，当攻击者使用它时，它可以更快速地检查和分析潜在的薄弱环节，能够探测代码中存在的危险假设或从其他易受攻击的合约中抄袭而来的模式。

对于使用知名度较低的审计公司或试图在资源不足的情况下推出自身产品的小型协议而言，这种前景尤其值得警惕。在任何给定时刻，Agent 都可以对照已知的分叉代码分析合约，查找与存在漏洞的智能合约的相似之处，识别可能的极端边界情况，并针对代币测试攻击向量。漏洞利用本身可能仍需要人工干预，但整个过程将比以往变得更加容易和迅速。

许多人会争辩说，真正的危险在于直接攻击共识机制的可能性。在这方面，攻击者最明智的做法是专注于区块链基础设施中最薄弱的环节：运营和维护网络的人类。目前，加密项目依赖于开发者、验证者（Validator）、中继器（Relayer）、RPC 节点提供商、MEV 提取者、预言机、索引器（Indexer）以及各种其他实体的组合。其中大多数角色在运行时都需要人工参与，尤其是在验证者基础设施方面。这就是攻击者为何已经能够成功入侵交易所、跨链桥、MEV 机器人以及加密领域其他关键要素的原因。

基于 AI 的渗透将通过利用基础设施中最薄弱的环节来发挥作用。它可以识别 RPC 端点，对中继器发起攻击向量，冒充版主在 Discord 服务器上实施诈骗，或瞄准密钥管理基础设施发起密钥签名仪式攻击。在许多方面，攻击区块链与攻击常规的中心化应用程序类似——只不过双方陷入了一场持续的军备竞赛，每一次更新都只能带来暂时的缓解。

还应注意的是，不同类型的区块链具有不同的攻击面，攻击者会根据具体的设计和架构专注于最容易攻破的薄弱点。例如，比特币比大多数其他区块链要慢得多、简单得多，这意味着攻击者必须依靠钓鱼尝试、虚假钱包软件更新、助记词窃取及类似手段。另一方面，以太坊和其他基于 EVM 的协议则更容易受到以合约为中心的攻击：利用代理合约、诱导恶意授权（Approve）、利用钱包清空器（Drainer）前端服务，或利用用户的代币持仓发起虚假空投骗局。Solana 的高速度以及对消费级应用的重视为社会工程学创造了机会，而在专注于稳定币和支付功能的 TRON 以及其他区块链上，攻击者则会将目光聚焦于确定性的资金转移模式和常规行为习惯。

此外还存在相对知名度的问题：大型项目有能力聘请私营安全研究机构，但小型项目必须依赖公共资源或传统审计公司。在很多方面，这让后者完全受制于攻击者，因为项目生存的前提就在于其吸引用户的能力。项目方无法从公众视野（包括潜在对手的视野）中彻底隐匿。结果就是攻击面大幅膨胀，公开的路线图、钱包、团队成员以及其他元素都可能成为被利用的薄弱点。这又是 AI 为攻击者提供显著优势的另一个领域，因为它可以比任何人类都更快速地扫描公开资料中的潜在漏洞。

数据中心的不对称性

然而，AI 赋予恶意攻击者的最大优势并不一定在于其能力本身，而在于其规模化的可用性。该领域的领先企业拥有极其庞大的数据中心资源来训练模型：海量的 GPU、定制 ASIC、光纤基础设施、冷却设备等等。这些资源随后被用来不断完善模型：使其更快、更先进、能力更强、Agent 化程度更高。当然，此类机会并非某一家大公司所独有——任何人都可以利用开源模型、研究论文和其他资料来构建自己的工具，包括专有的 AI 系统。即使缺乏打造类似 GPT 规模产品的资源，人们依然能从同行的竞争和研究成果中显著受益。

在这方面，加密领域处于明显的劣势，因为它必须依靠自身的内部专业知识来保护资产。DeFi 项目凭借相对较少的员工守护着数额惊人的价值。钱包基础设施为数百万用户提供服务，但仅能提供有限的客户支持。跨链桥充当着加密领域的关键枢纽，却只能依赖原有的维护团队。至于 DAO，在发生紧急情况时通常求助无门，只能通过实时投票来做出响应。风险投资机构鼓励团队不惜一切代价追求增长，却未将安全基础设施置于优先地位。这是一个不对称的问题，攻击者相对于防御者拥有相当大的优势。项目方必须在仅有的资源下勉力运转，长期稳定性毫无保障。

这也延伸到了更广泛的哲学理念和安全方法上。团队可以实施最新的审计标准，遵循行业最佳实践，实时跟进威胁模型，并在出现每个新漏洞时更新智能合约。但与此同时，仍必须在各种既定约束下运作。智能合约或许坚不可摧，但前端却可能同时暴露出紧急利用漏洞；又或者为钱包配置了多因素身份验证，却因钓鱼域名与合法域名过于相似而未察觉。

这种失衡在战术层面同样显而易见：攻击者只需找到一个薄弱点，而防御者必须覆盖每一个潜在的攻击面。永远不可能做到绝对安全：这是所有加密项目都必须接受的事实。在安全问题上，人们必须在自身局限性内行事并竭尽所能。必须遵循最佳实践，默认假定自身代码是不安全的，频繁更新合约，保护基础设施免受潜在攻击，并尽量减少对外部第三方的暴露。然而，这种方法同样极其耗时且困难重重，因为必须时刻对潜在威胁保持最高戒备。完全有理由推断，由 AI 驱动的攻击者会寻找更容易下手的机会：那些只需要最低投入且无需攻破技术防御的机会。

加密文化很少优先考虑审慎，而是专注于速度和快速迭代。团队发布项目、分叉竞争对手的代码、频繁更新路线图、公开招聘员工、通过 Discord 与社区互动、让金库资产始终处于产生收益的运转状态、利用相关工具进行日常交易。这是一个充满创新与活力、令人兴奋的快节奏领域——但这些相同的理念也带来了惊人的脆弱性。注重速度的协议往往会牺牲安全性，而频繁的代码更新或升级可能会引入新的漏洞。以 DAO 形式运营的组织可能透明度极高，但同时也脆弱不堪，缺乏实质性的组织基础设施。攻击者只需要找到一处弱点就能大获全胜。

即将到来的隐私逆转

在加密领域持续的隐私争夺战中，最有趣的现象之一是长期以来它始终围绕着与政府的关系展开。人们普遍假定各主权国家和传统金融机构会试图监控个人活动、对地址进行去匿名化、追踪交易交互，并要求提供资产证明。虽然这确实是一个合理的担忧，但在某种程度上也略显短视，因为这些相同的能力完全可以被其他行为者用来对用户造成伤害。

在很多方面，犯罪分子的运作机制已经与潜在的监管机构非常相似。双方的资源可能都有限，无法直接观察到链上的每一举一动。双方都必须依靠行为模式在区块链上建立活动画像。用户根本无法获得完全的隐私——既无法摆脱攻击者，也无法摆脱那些被认定为真正威胁的监管机构。所有人都必须在与对手相同的假设下运作，而这些对手能够调用完全相同的手段和资源。

有利于 Netts.io 的另一个方面在于，即使讨论回到涉及加密交易的日常操作中，小型降本工具也同样至关重要，因为它们有助于消除用户对区块链运作机制理解上的盲区。TRON USDT 转账计算器（TRON USDT Transfer Calculator）允许用户在发起 TRC-20 交易前计算所需的 Energy 和 Bandwidth，对比燃烧 TRX 与租赁资源的成本，计算最低的 USDT 代币转账手续费，明确哪种费率最适合特定交易，并在 USDT 转账相关成本上实现节省，而不必在遭受损失后才吸取教训。毕竟，在这个人工智能让误导性信息几乎成为常态的行业中，加密参与者在防范操纵方面能做的事情非常有限，而充分了解常识性的细节始终是一个良好的开端。