AI生成脚本劫持Linux sudo窃密 已 targeting 政府与关键设施

近期安全研究披露，攻击者正借助生成式AI能力批量生成高度定制化恶意脚本，专门劫持Linux系统的sudo权限提升机制，在用户无感知状态下窃取明文密码。攻击流程包括：初始入侵后注入AI优化的Bash/Python脚本，监控或替换sudo二进制文件；当用户执行sudo时，恶意程序先记录密码（写入隐藏文件或加密外传），再交还控制权以维持行为一致性；得手后进一步实现持久化、横向移动与C2通信。该手法已在针对政府机构及国有关联关键基础设施的定向行动中被观测到。

AI在此类攻击中作为效率放大器：输入目标OS版本、服务组合等参数即可快速产出适配性强、语法精简且规避静态检测的脚本；支持多轮语义混淆增强反检测能力；并可根据网络隔离程度智能选择数据外泄方式。部分样本甚至内置LLM微调的反分析逻辑，遇调试工具即休眠或自毁。

防御难点在于其伪装合法行为：sudo调用频次高、日志量大，异常密码记录易被淹没；脚本常以普通用户身份运行，规避特权进程监控；无文件落地变种可绕过传统AV扫描。可行缓解措施包括：配置PAM模块审计密码验证事件、定期校验sudo二进制完整性、精细化sudoers授权、启用MFA、基于eBPF/Sysmon建模识别异常密码写入行为。行业已出现‘AI对抗AI’检测尝试，但尚处早期。此次事件标志AI正从防御辅助加速转向攻击倍增器，尤其在系统底层权限环节，对权限最小化、行为可观测性与人员意识提出更高要求。