一起涉及 Web3 项目联合创始人 Numa Lunah 的安全事件揭示了一种新兴攻击技术：恶意代码可以被隐藏在用于配置人工智能工具的文件中。这起事件差点让 Lunah 失去对其数字资产的控制，起因是一个由 AI 推荐的下载链接导致信息窃取型恶意软件被安装。

攻击开始时，Lunah 正在搭建工作环境，他向 Anthropic 的 Claude 请求一个语音转录应用程序的下载链接。据报道，该 AI 系统提供了一个与该应用程序官方网站极为相似的钓鱼网站。Lunah 从推荐地址下载了软件，在不知情的情况下让一个信息窃取程序进入了他的工作笔记本电脑。

众所周知，大型语言模型有时会产生错误或虚构的信息，安全研究人员此前也记录过聊天机器人引用或展示指向仿冒或恶意网站链接的案例。这一事件表明，当用户直接依照 AI 生成的下载推荐行事，而不是对照官方供应商来源验证 URL 时，这种失败模式可能直接转化为恶意软件的分发。

该恶意软件旨在收集敏感信息，包括密码、加密货币交易所凭证以及与热钱包相关的私钥。此类信息可以让攻击者直接访问数字资产，这使得此次入侵对经常将金融凭证和开发工具保存在同一台机器上的 Web3 从业者来说尤为严重。

后门在操作系统重装后仍然存在

Lunah 察觉到设备已被入侵的迹象，随即隔离了这台电脑，并进行了完整的操作系统重装。然而，威胁仍通过其备份环境中一个不那么显眼的部分持续存在。

在恢复文件时，Lunah 发现一个用作个人 AI 风格与配置指南的 SKILL.md 文档已被篡改。攻击者修改了该文档的结构，使其内容在被引入另一个环境时能够执行恶意功能。

据报道，这个被篡改的配置文件能够连接攻击者控制的服务器、再次下载信息窃取程序，并在该文件被连接到干净的电脑后重新开始窃取敏感账户信息。

这一事件表明，如果恶意指令或被篡改的配置文件在恢复的备份中留存，重装操作系统可能无法彻底消除入侵。因此，当之前受信任的文件被重新引入时，干净的机器可能再次被感染。这种持久化途径超出了大多数传统恢复建议的范畴，后者通常将干净的操作系统重装视为充分的补救措施。

AI 配置文件成为安全隐患

此案引发了关于开发者和其他用户如何处理被 AI 系统读取的文件的更广泛担忧。配置文件通常使用 Markdown 或 JSON 等格式，一般被视为文档而非可执行软件。然而，该事件表明，当 AI 工具自动解释并根据这些文件中包含的信息采取行动时，这种区分可能不再提供足够的保护。

Security for your agent is not an option. Give @IronClawAI a try to secure your data and your machine. — Illia (root.near) ( , ⋈) (@ilblackdragon) August 30, 2026

安全观察人士越来越多地警告，攻击者可能通过操纵提供给自主或半自主系统的上下文来利用 AI 工作流程。此类技术可能使 AI 代理遵循恶意指令，而无需在机器上保留传统的可执行恶意软件。

Near Protocol 联合创始人 Illia Polosukhin 也关注了这一事件。他强调了对自主 AI 代理所使用的基础设施进行安全防护的重要性，并指出涉及上下文投毒（context poisoning）的攻击活动正变得越来越普遍。

Web3 用户面临更高的风险敞口

该事件对 Web3 开发者尤为重要，因为他们的工作站往往集中了极具价值的各类凭证。交易所登录信息、钱包密钥、API 凭证和开发资源可能都存储在同一台设备上，或通过同一台设备访问。

此案凸显了开发者在恢复 AI 相关配置文件或将其移动到另一台电脑之前，需要检查这些文件是否存在意外的结构性修改和外部网络连接。将私钥保持离线状态的硬件钱包在行业内被广泛推荐，正是因为此类信息窃取程序主要针对被入侵机器本身上可访问的密钥。

这一事件还说明了 AI 助手在软件和办公环境中日益广泛的使用所带来的更大挑战。用户越来越依赖 AI 系统获取软件推荐、配置说明和自动化，这为攻击者操纵这些系统所读取的信息创造了新的机会。

随着 AI 辅助开发和自主代理的普及，安全实践可能需要超越传统的应用程序和操作系统防护。备份文件、配置文档和 AI 技能定义可能越来越需要接受与可执行软件同等程度的审查。

对于 Web3 开发者而言，这一事件是一个警示：恢复被入侵的环境需要的不仅仅是重装操作系统；之后使用的每一个受信任文件和 AI 配置也可能需要被检查是否存在隐藏的持久化机制。

本文《AI Malware Attack Targets Crypto Wallets Through Claude Download》首发于 CoinTrust。