黑客这辈子没见过这么听话的受害者！ 10 月 18 日，一群研究员翻 OpenAI 官方 skill 的时候，翻出一个地址：一个从来没人注册过的域名。 这个… · @chenYijl · TwKit

@chenYijl

黑客这辈子没见过这么听话的受害者！ 10 月 18 日，一群研究员翻 OpenAI 官方 skill 的时候，翻出一个地址：一个从来没人注册过的域名。 这个 skill 是干嘛的？教 Codex 这类智能体，把应用一路部署到生产环境。 所以照着官方教程部署的应用，会把线上真实的认证 token，寄到这个不存在的地址。 研究员干了件完全合法的事：把这个域名买了。 然后坐在服务器前面，看着货真价实的线上生产凭证，自己送上门。 不是测试 token。是能进生产系统、调 API、摸基础设施的那种真钥匙。 最黑色幽默的是攻击链：没有钓鱼，没有漏洞利用，没有社工。 受害者全程守规矩：官方怎么写，他们就怎么配。 钓鱼邮件骗的是疏忽，这个坑卖的是信任。 官方 skill，官方文档：你照做是美德，你不照做是异端。 现在这份美德明码标价：你的生产密钥。 讽刺的是，挨板子的是谁？英国 ICO 早写明白了：数据泄露，责任归数据控制方，不归工具厂商。 OpenAI 官方教程里出的错，账算在你的头上。 说真的，以后谁再问你「听官方的话有没有错」。 听话的孩子，先挨板子。🔑

曝光 9 · 评论 1 · 点赞 0 · 书签 0