TeamT5：接入DeepSeek后，中国政府关联黑客的攻击量增加一倍以上

台湾网络安全威胁情报公司TeamT5表示，一些与中国政府有关联的黑客组织在把DeepSeek及其他开源AI模型纳入日常行动后，攻击量增加了一倍以上。报告的核心并不是AI已经独立完成每一次入侵，而是AI接管了足够多的重复性工作，让原有的攻击人员能够以更低成本接触更多目标。457

关键变化：AI成了攻击行动的“倍增器”

TeamT5在多个入侵环节发现了AI的使用痕迹，包括前期侦察、漏洞扫描、漏洞利用代码开发、恶意软件相关工作，以及网络遭入侵后的后续行动。该公司依据近期行动中取得的脚本和日志进行评估，但同时提醒，这些材料并不总能准确确认每起事件所使用的具体模型。47

这一点非常重要。所谓“增加一倍以上”，是TeamT5对其研究对象中相关组织攻击量的判断，并不是对所有与中国有关的网络攻击进行全面统计。现有证据更支持这样的解释：AI正在帮助攻击者分担琐碎工作、压缩部分攻击流程并扩大行动规模，而不是完全取代人工决策。57

为什么DeepSeek被认为更适合黑客行动

按照TeamT5的分析，DeepSeek在网络攻击场景中具有几项现实优势：

• 性能够用：可用于资料搜集、编程和行动执行等任务；
• 运行成本较低：更适合反复使用或大规模部署；
• 便于定制：开源模型通常更容易根据特定任务进行调整；
• 网络安全限制相对较少：攻击者获取或改造有害帮助所需的额外操作可能更少。27

这也解释了为什么“能力最强”的模型未必是攻击者最愿意使用的模型。TeamT5据报道认为，Moonshot旗下的Kimi K3等更强大的系统，由于成本更高、防护措施更严格，对这类行动的吸引力反而较低。现有报道并未证明Kimi K3被用于TeamT5审查的相关事件。7

已披露的几类使用方式

TeamT5指认了多个组织，并称它们在入侵链条的不同环节使用AI：

Grimfengxi：生成漏洞利用代码

据称，Grimfengxi使用DeepSeek生成漏洞利用代码。这意味着模型的用途已经超出简单的信息检索，开始协助编写旨在利用目标系统弱点的程序。7

Teleboyi：自动化目标侦察

据称，Teleboyi使用DeepSeek从互联网收集约1,000个IP地址，并绘制目标组织的域名关系图。这类工作属于侦察，即在尝试入侵前建立潜在受害者网络基础设施的概况。

AI可以加快目标发现和信息整理，但仅仅完成基础设施测绘，并不能证明后续一定发生了成功入侵。7

Huapi：攻击台湾企业的电子邮件系统

据称，Huapi使用一款中国AI模型攻击一家台湾企业的电子邮件系统。TeamT5认为该模型很可能是DeepSeek，但无法作出最终确认。这一案例说明，调查人员并不总能仅凭攻击代码或行为，准确判断攻击者使用的具体模型。7

Slime22：入侵后使用Claude Code进行横向移动

相关活动并不局限于中国的开源模型。与TeamT5相关的报道说，Slime22在入侵一家台湾科技公司并安装Kali Linux后，使用Anthropic的Claude Code协助在网络内部进行横向移动。Kali Linux是一套常用于渗透测试的操作系统和工具平台。攻击者据称将相关活动包装成获得授权的工程测试，以规避安全限制。7

这起事件也说明，防御团队不能只盯着某一个模型或某一国开发的工具。攻击者可能根据任务类型和所遇到的安全控制，组合使用本地部署模型、开源模型以及商业AI工具。

AI辅助网络犯罪正在形成更大的生态

报告还描述了围绕AI辅助入侵行动形成的更广泛市场。据称，一家约有10名员工的中国初创企业，正向至少四个黑客组织出售入侵软件，价格为30万至50万元人民币，约合4.45万至7.4万美元。另有报道称，ChatGPT也曾在一次攻击中被使用。7

与中国有关联的黑客组织并不是唯一在尝试这类技术。据称，与朝鲜有关联的Kimsuky也在测试本地部署的AI模型。本地部署可以让操作者更好地控制模型及其数据，并可能减少对外部服务和滥用检测系统的依赖。不过，现有报道只支持“正在测试”这一判断，并不能说明这些本地模型在实际行动中的效果。7

Anthropic此前也表示，AI能够降低复杂网络犯罪的技术门槛，使技术能力有限的行为者执行过去通常需要更多专业经验的行动。这与TeamT5描绘的情况相互呼应：眼下最直接的风险，可能并非某个“超人级”系统独自发动攻击，而是普通攻击者更快获得编程、侦察和工作流自动化能力。

OpenAI则表示，公司持续努力识别、防止并阻断对其模型的滥用企图。7

这份报告证明了什么，又没有证明什么

TeamT5的发现指向一个具有实际操作意义的变化：AI辅助工作流可以接管重复性任务，从而增加一个组织尝试发动的攻击数量。但这并不等于DeepSeek自主完成了所有被报告的入侵行动。

有三点限制尤其值得注意：

1. 模型归因并不完整。 调查人员无法可靠地将每一段脚本、每条命令或每起入侵都对应到某一个具体AI系统。47
2. 攻击数量不等于成功入侵数量。 尝试次数增加，并不能单独证明成功突破的目标更多，也不能证明损害程度按相同比例上升。
3. 证据范围限于已观察到的组织和行动。 “增加一倍以上”是TeamT5报告的研究结论，并非对所有中国政府关联网络活动的全面测量。7

因此，最明确、也最具行动指导意义的结论并不是“黑客已经实现完全自动化”，而是：低成本、可定制的AI正在帮助成熟的威胁行为者将攻击流程中的部分环节工业化。对防御方而言，应当假设侦察、代码生成和入侵后的工作流都可能被多种模型加速，而不能只防范DeepSeek这一种工具。