AI造出了模块化恶意框架Avalon：黑客也开始玩"插件化"了

7月7日，安全公司Blackpoint丢出了一份让整个威胁情报圈坐不住的报告：他们在实战响应中捕获了一款名为 Avalon 的模块化恶意框架，从代码风格到架构设计，处处透着生成式AI的味道。更麻烦的是，这不是又一个"AI写的勒索软件脚本"那种小打小闹——Avalon是一个能按需加载攻击组件的完整框架，黑客要什么功能就挂什么模块，跟我们平时用VSCode装插件差不多。

AI辅助攻击进入"框架化"阶段，这个信号比过去任何一次"AI写病毒"的新闻都要重。

从"脚本小子"到"框架工程师"，只差一个大模型

过去两年，安全圈见过太多AI生成的恶意样本，但坦白说大多数都停留在"能跑起来"的水平：一个后门、一段信息窃取脚本、一份粗糙的勒索加密器。研究人员甚至能通过代码里那种"过于工整的注释"和"教科书式的try-except"一眼识别出来——这是ChatGPT写的作业。

Avalon不一样。

Blackpoint的分析师在报告里给出了一个很有意思的判断：从Avalon代码的质量参差、命名习惯、以及部分模块间接口的"想当然"式设计来看，作者本人的编程水平其实相当有限，甚至可能连一个中型项目都没独立写过。但就是这么一个"半吊子"，居然把凭证窃取、备份破坏、横向移动、勒索加密等一整套攻击链，用模块化的方式串成了一个可扩展框架。

换句话说，生成式AI把"架构设计"这件事的门槛也拆掉了。以前一个初级黑客最多能改改开源RAT，现在他能让Claude或者GPT帮他设计一个插件系统，然后一个模块一个模块地喂给AI去写。

这才是真正让人后背发凉的部分。

Avalon的攻击链拆解

根据Blackpoint披露的细节，Avalon的实战路径大致是这样的：

1. 入口：钓鱼邮件、伪装安装包，老套路，但足够有效
2. 落地：Avalon核心加载器植入受害者设备，本身体积很小，只负责通信和模块调度
3. 加载凭证窃取模块：抓浏览器保存的密码、Windows凭证、SSH密钥
4. 加载备份破坏模块：删除卷影副本、破坏本地和网络备份，这一步是为勒索做铺垫
5. 加载CrownX勒索模块：对文件系统进行加密，弹出勒索信

注意第4步——主动摧毁备份这件事，是勒索软件从"能不能得手"到"能不能收到钱"的关键分水岭。Avalon把它做成独立模块，意味着攻击者可以根据目标环境灵活开关：打个人用户就跳过这步，打企业就必须加载。

这已经是很成熟的"产品化"思路了。

为什么说"AI痕迹"是核心线索

Blackpoint没有公开完整的样本代码，但从描述里能推断出他们判断"AI生成"的几个依据：

• 模块间的接口过于"规整"：每个模块都用几乎一模一样的入口函数签名、返回值格式、错误码定义。人类程序员写着写着就会开始偷懒或者搞事情，AI不会
• 注释密度异常高且风格统一：包括那种"# TODO: 这里可以优化"式的AI经典占位符
• 部分模块存在明显的"AI思维定式"：比如加密模块里出现了一段完全用不上的密钥派生代码，看起来像是AI"想当然"补上去的最佳实践
• 代码质量在模块之间跳跃：有些模块写得像高级工程师，有些像刚入门的实习生——这种断层非常符合"不同prompt生成不同模块"的特征

这些特征拼在一起，画像就出来了：一个不太懂编程的攻击者，通过反复prompt engineering，让大模型帮他拼出了一个完整框架。

对企业防御意味着什么

先说结论：坏消息比好消息多。

坏消息一：攻击者的技术门槛在断崖式下降。以前想开发一款有模块化能力的RAT，至少得是个中级C/C++工程师加上对Windows内核有基本理解的人。现在只要会写prompt、会调试运行错误，就能拼出Avalon这种东西。地下市场上"AI辅助定制恶意软件"的服务会越来越多。

坏消息二：传统基于YARA规则、静态特征的检测会越来越吃力。因为AI可以为每一次攻击生成风格略有差异的模块代码，特征库根本追不上。Blackpoint报告里也提到，Avalon的多个变种在字符串、函数布局上都有明显差异，但功能完全一样。

坏消息三：模块化意味着攻击者可以快速试错。今天的凭证窃取模块被EDR拦了，明天换一个prompt生成新版本就能重新上线。防御方从"打地鼠"变成"打AI批量生成的地鼠"。

好消息也不是没有：

• AI生成代码的"过度规整"本身也是一种特征。已经有几家EDR厂商开始训练专门识别"AI风格恶意代码"的分类器
• 行为检测（EDR/XDR层面）依然有效——不管代码怎么变，删卷影副本、批量加密文件这些动作是绕不过去的
• 模块化框架的C2通信通常有规律可循，网络层检测的价值反而在上升

我的判断：这只是开始

如果说2024年是"AI辅助写病毒"元年，2025年是"AI辅助漏洞挖掘"元年，那2026年很可能是**"AI辅助攻击框架化"** 的元年。

Avalon不会是孤例。接下来几个月，我们大概率会看到：

• 更多带有"插件市场"概念的恶意框架冒出来，甚至可能出现地下版的"npm install"
• Agent能力被恶意利用——不是让AI写代码，而是让AI直接在受害机上做决策：看到什么文件、要不要提权、往哪里横移
• 攻防双方都在同一批大模型上做文章，最后变成"红队prompt vs 蓝队prompt"的对抗

对开发者和安全从业者来说，值得留意的一个变化是：能不能低成本地调用多家大模型进行代码分析、特征提取、样本聚类，正在变成安全团队的基础能力。这也是为什么现在越来越多的蓝队工具链在接AI API聚合层——单一模型的偏见和幻觉在安全分析场景下代价太大。像 OpenAI Hub 这种一个Key打通GPT、Claude、Gemini、DeepSeek 的聚合服务，在样本交叉验证这类场景下确实能省不少事，但这属于工具选择问题，跟Avalon这个事儿本身关系不大。

真正需要担心的是：当"写一个模块化恶意框架"这件事从"需要一支团队几个月"变成"一个人几周搞定"，整个威胁情报的响应节奏必须重新校准。Blackpoint这次曝光只是掀了盖子的一角，Avalon背后的"作者"大概率已经在用同一套方法在做v2了。

参考来源

• IT之家：安全公司曝光黑客利用 AI 打造模块化恶意框架 Avalon — Blackpoint 报告的中文首发报道，包含 Avalon 攻击链和 CrownX 勒索模块的细节