WORLDTECH网络安全 单一来源
黑客利用Cursor与Claude AI自动化Aur0ra勒索软件攻击
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
Aur0ra勒索软件的AI攻击
2026年5月，Sophos威胁应对小组（CTU）的研究人员披露了一个由AI辅助构建的后渗透框架，用于测试包括Sophos在内的多家厂商的EDR产品。Sophos是一家总部位于泰晤士河畔阿宾登的计算机安全软件公司。
攻击者最初几乎完全依赖Anthropic的模型，之后在从构建工具转向入侵网络的过程中又加入了其他模型。GOLD OGRE网络犯罪团伙正在利用包括Cursor和Anthropic的Claude在内的AI编码代理，为Aur0ra勒索软件（Aurora）自动化入侵行动。Anthropic是一家总部位于旧金山的人工智能公司，其产品和服务包括Claude和Claude Code。
Sophos的研究人员表示，这些代理几乎在没有人工介入的情况下，从凭据获取一路推进到域管理员权限。
随后，Sophos发现同一基础设施还托管着Cobalt Strike，用于支持Aur0ra的行动。根据Sophos发布的技术研究，这个被追踪为GOLD OGRE的团伙使用Cursor来构建和运行其工具。
Cursor的Composer代理式模型（即能够执行多步骤任务、而不只是回答单个问题的AI）驱动了这些入侵行动，同时还使用了Anthropic、xAI和Moonshot的模型。攻击者通过将其活动伪装成经授权的红队工作或“诊断测试”，绕过了AI的安全防护机制。
日志中的俄语提示词和键盘布局痕迹表明，操作者很可能是说俄语的人。