九款主流AI工具能被诱导拼装僵尸网络，大模型不会说"不知道"成安全漏洞
安全研究人员发现，九款最流行的AI编程与助手工具可以被诱导生成组建僵尸网络所需的完整代码，攻击者不必自己动手写恶意程序，只要把任务拆成看似无害的小步骤，模型就会一段段拼出可运行的攻击工具。这类手法被命名为"幻觉抢注"，核心是利用大模型倾向于给出答案而非承认无知的弱点。
研究团队测试了覆盖代码补全、对话问答和自动化代理的多款产品，发现只要把"扫描网段""维持远程连接""绕过验证"这些环节分开提问，绝大多数模型都会照做。当把这些片段组合起来，就是一套可以感染设备并集中控制的僵尸网络框架。模型在单独回答每一步时并不会意识到整体意图。
所谓幻觉抢注，指的是模型面对不确定的库名、函数名或依赖包时，不会停下来说自己不确定，而是编造一个听起来合理的名字。攻击者提前把这些被编造出来的名字注册成真实的恶意软件包，等开发者按照模型建议去下载安装，恶意代码就进入了正常的开发流程。这种攻击不需要突破任何系统防线，靠的是模型的自信本身。
问题的根子在于训练目标。当前主流模型在训练时被优化成尽量给出流畅完整的回答，很少因为坦率承认"我不知道"而获得奖励。结果是模型宁可猜一个答案，也不愿留下空白。这种倾向在写诗聊天时无伤大雅，但一旦进入安全敏感的代码场景，就变成了可以被系统性利用的缺口。
更棘手的是防御的难度。传统的内容过滤依赖识别明显的恶意关键词，但把攻击拆成正常的编程任务后，每一段代码单独看都合规。模型无法在对话过程中记住并推断使用者的真实目的，也就无法在恰当的节点拒绝。这让基于关键词和意图识别的护栏几乎失效。
对使用AI辅助编程的团队来说，这项研究意味着不能把模型输出当作可信来源。任何模型建议安装的第三方依赖包，都应该在安装前核对真实性，确认它确实存在且由可信方维护，而不是一个被凭空编造出来的名字。企业内部的软件供应链审查流程需要把AI生成的依赖建议纳入检查范围。
这项研究也把一个长期被忽视的设计问题摆到了台面上：让模型学会说"不知道"，比让它多回答一个问题更重要。目前已经有厂商开始尝试在训练中加入拒答奖励，让模型在不确定时保持沉默。但要在流畅和诚实之间找到平衡，还需要更多的工程验证，短期内这个漏洞不会消失。
从行业角度看，这暴露了AI工具从实验室走向生产环境时缺失的一环。过去两年各家厂商拼命提升模型的回答能力和覆盖面，却很少在"知道自己不知道"这件事上投入资源。当模型被大规模嵌入软件开发、运维和安全流程后，这种过度自信带来的风险会被成倍放大，而修补它需要重新调整整个训练激励机制。