文章总结： CheckPoint披露首个利用AI开发的恶意软件VoidLink，开发者使用国产AIIDE仅用一周编写出8.8万行代码的复杂框架。因OPSEC失误泄露的源码证实了AI辅助开发流程，显示单人攻击者已具备构建高级威胁的能力。
综合评分： 85
文章分类： AI安全,恶意软件,威胁情报
AI一周开发出高级恶意软件，网络犯罪一人产业链开始出现？
安全内参编译
安全内参编译
安全内参
2026年1月22日 17:55
北京
关注我们
带你读懂网络安全
首个利用国产AI IDE开发的高级恶意软件曝光！利用AI编码，一人一周即编写出可运行版本。
据悉，该恶意软件正处于积极开发状态，附带大量文档，且目前尚未发现任何存活感染，这代表它很可能是用于对客户销售用途的。
前情回顾·AI网络攻击能力动态
- 奇点降临？OpenAI宣布新模型将达到高阶黑客水平
- 高中生利用ChatGPT绕过企业防护系统，窃取超700万条个人数据
- 全球多个AI集群遭AI恶意软件劫持，被改造成挖矿僵尸网络
- AI驱动漏洞挖掘！利用智能体发现57个安卓APP未知漏洞
安全内参1月22日消息，近期曝光针对云环境的恶意软件框架VoidLink，很可能是在AI模型的辅助下，由一个人独立开发完成的。
上周，安全厂商Check Point研究部门发布VoidLink披露研究报告，将其描述为一个先进的Linux恶意软件框架，具备可定制加载器、植入物、用于规避的rootkit模块，以及数十个用于扩展功能的插件。
研究人员重点介绍了该恶意软件框架的高度复杂性，并评估认为它很可能出自一名“在多种编程语言方面具备深厚能力”的开发者之手。
一周内开发出可运行版本
本周二，Check Point的研究人员发布更新报告称，有“明确证据表明，该恶意软件主要通过AI驱动的开发方式生成”，并且在一周内便达到了可运行的迭代版本。
这一结论源于VoidLink开发者在多项运维安全（OPSEC）方面的失误，这些失误导致源代码、文档、冲刺计划以及内部项目结构被暴露。
其中一次失误是威胁行为者服务器上存在一个暴露的开放目录，用于存储开发过程中的各类文件。
Check Point向外媒BleepingComputer表示：“VoidLink的开发很可能始于2025年11月下旬，当时该开发者开始使用TRAE内部的AI助手TRAESOLO，TRAE是一个以AI为核心的集成开发环境（IDE）。”
尽管研究人员无法访问该集成开发环境中的完整对话历史，但他们在威胁行为者的服务器上发现了来自TRAE的辅助文件，其中包含“提供给模型的原始指导中的关键部分”。
Check Point研究组经理Eli Smadja表示：“这些由TRAE生成的文件似乎与源代码一同被复制到了威胁行为者的服务器上，并由于一个暴露的开放目录而被发现。这种泄露让我们得以异常直接地洞察该项目最早期的指令内容。”
开发者熟练掌握AI开发技巧
分析显示，威胁行为者采用了规范驱动开发（SDD）来定义项目目标并设置约束条件，并让AI生成了一份涵盖架构、冲刺以及标准的多团队开发计划。
图：生成的开发计划之一
随后，恶意软件开发者将这些文档作为执行蓝图，用于生成由AI编写的代码。
这些生成的文档描述的是一个为期16–30周、由3个团队协作的项目，但根据Check Point发现的时间戳以及测试工件的时间戳，VoidLink在一周内便已具备运行能力，并在2025年12月初达到了8.8万行代码。
图：VoidLink项目概览
在这一发现之后，Check Point验证了冲刺规范与恢复出的源代码几乎完全一致，研究人员也成功复现了这一工作流程，证实单个智能体即可生成在结构上与VoidLink高度相似的代码。
Check Point表示，对于该代码库的来源“几乎不存在任何疑问”，并将VoidLink认定为首个有文档记录的、由AI生成的高级恶意软件实例。
研究人员认为，VoidLink标志着一个新时代的到来：一名具备强大技术能力的单一恶意软件开发者，便能够实现过去只有资源充足的团队才能完成的成果。
参考资料：bleepingcomputer.com
推荐阅读
点击下方卡片关注我们，
带你一起读懂网络安全 ↓
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全内参 安全内参编译
安全内参编译《AI一周开发出高级恶意软件，网络犯罪一人产业链开始出现？》