黑客成功“欺骗”ChatGPT、Grok与谷歌：诱导用户执行恶意指令

Huntress 的研究人员在追查一起针对 macOS 系统的数据窃取活动时发现，这种新型攻击链始于一个看似无害的搜索查询。

用户在 Google 中输入诸如“清理 Mac 磁盘空间（clear disk space on macOS）”之类常见问题时，搜索结果页面顶部可能显示经过付费推广并链接到真实 AI 平台的对话链接。点击这些链接后，用户看到的是一个完整、看似专业的 AI 技术支持对话内容，其中包含了让用户在终端执行的命令。

值得注意的是，这些链接并非指向恶意站点或伪造页面，而是托管在 chatgpt.com 或 grok.com 等正规域名之下，是由攻击者预先与 AI 对话生成、并通过 SEO 优化推上搜索结果前列的“对话内容”。

一旦用户按照提示操作，将命令复制粘贴到终端执行，恶意脚本就会启动并悄无声息地下载、安装后门或窃取工具。

被利用的“信任链”

在一个确切的案例中，当受害者搜索上述关键词并点击 ChatGPT 的链接时，AI 给出的建议看起来像是在帮助优化存储空间，但其中嵌入的命令却是一个经过编码的 Bash 命令行，这条命令会下载并执行名为 Atomic macOS Stealer（AMOS） 的数据窃取木马。

执行后，AMOS 会悄无声息地收集受害者的系统凭证，提升权限，并建立长久的服务保持机制，将敏感数据传输出去，而整个过程没有任何传统的恶意文件下载提示或系统安全警告。

这一攻击成功的关键在于信任链的构建：用户对谷歌搜索、对 ChatGPT 和 Grok 等 AI 平台有高度信任，而攻击者正是利用这种信任关系进行钓鱼式诱导。

这类攻击不需要用户下载可疑文件、不需要点击明显可疑的 URL，也不会触发常见的安全警告。用户只要按照看似合理的技术建议操作，就可能在不知不觉中完成自我感染的全过程。

Huntress 的报告强调，这种方式是目前观察到的最危险的攻击之一，因为它完全规避了传统的安全防护。既利用了 AI 的自动生成能力，也结合了搜索引擎付费推广（SEO/SEM）机制。

根据 Huntress 的分析，这波攻击并不依赖直接入侵 AI 系统或搜索引擎本身，而是在外部构造对话环境引导 AI 生成带有终端命令的内容。这类命令通常包含对恶意脚本的 base64 编码下载链接或同样具备危险行为的指令。

由于这些命令本身是文本形式，且看上去像是合乎逻辑的技术步骤，因此 AI 在缺乏有效上下文审查时会生成这些内容，最终被保存为可通过链接访问的对话页。

当用户执行这些命令时，恶意脚本会在系统内完成进一步操作。例如，它可能使用系统自带的工具（如 curl）下载并执行脚本，用 dscl 收集用户凭证，在获得 root 权限后安装持久化组件，并悄然运行窃取数据的进程。

AI 内容的安全隐患

虽然目前观察到的案例主要发生在 ChatGPT 和 Grok 平台，但安全研究界认为，这类攻击的核心在于 AI 内容本身的可信性与语境生成能力，而非特定工具的漏洞。

这意味着任何能够生成可执行技术建议的 AI 都可能被滥用。如果没有对生成内容的安全审查机制，攻击者可以通过多种手段诱导系统生成具有危险行为的建议。

目前 Huntress 报告中重点提及的是 macOS 平台上的 AMOS 木马，但业内分析认为，这种方法并不局限于单一平台或单一恶意程序。攻击者一旦掌握了“搜索结果排序 + AI 生成内容”的方法，就可能在更大范围内滥用这类渠道。

事件曝光后，业内安全专家纷纷呼吁加强对 AI 内容生成系统的安全审查机制，要求平台提供更严格的输出过滤与风险提示。

AI 服务提供商和搜索引擎公司也应加强监测机制，及时发现并移除具有潜在风险的搜索结果链接，同时提高用户教育力度，让更多非专业用户理解随意执行命令可能带来的危险。

此次事件的出现提醒我们：技术的便捷不应成为攻击者利用的弱点。人类对 AI 的信任，需要通过更加完善的安全措施和使用常识得到保护。用户即便在信赖的环境中，也应始终保持警觉，避免因过度信任而执行可能威胁系统安全的操作。

参考资料：

https://www.huntress.com/blog/amos-stealer-chatgpt-grok-ai-trust?utm_source=chatgpt.com

https://www.engadget.com/cybersecurity/hackers-tricked-chatgpt-grok-and-google-into-helping-them-install-malware-185711492.html?utm_source=chatgpt.com

https://www.ithome.com/0/904/202.htm