風向判讀｜連「真的 claude.ai 網址」都能拿來釣魚

最近一個釣魚手法很陰——它不架假網站，直接借「正牌 AI 網站」的信任來騙你。資安公司 Trend Micro 抓到這波，而且台灣是重災區。

手法拆給你看：

  • 壞人先買 Google 廣告，假冒 Claude、ChatGPT、Cursor 這些 AI 工具。
  • 你點進去，連到的是「真的 claude.ai 分享對話」頁——網址是真的，瀏覽器、Safe Browsing 全都放行。
  • 對話裡有人假扮「官方客服」，一步步叫你「打開終端機、貼上這段指令」。
  • 那段指令解開後，就是去下載病毒。

為什麼難防？因為你看到的是貨真價實的 claude.ai 網址，「看網址真不真」這招完全失效——這是「借信任」攻擊。（4/8–6/14、106 個惡意網址，亞太占 67%，光台灣就吃下 30.5% 流量。）

記一條保命規則就好：
👉 任何網頁或「客服」叫你打開終端機貼指令，直接關掉，別懷疑。

（Anthropic 已關掉那些惡意分享、封了帳號、加強防護。）

看風向：AI 越紅，壞人越會拿「正牌 AI 平台」當工具。以後別再用「網址是真的」當安全依據——網址真，不代表內容安全。

—

A clever phishing wave (found by Trend Micro) abused Claude's real "share conversation" links to push ClickFix malware — no fake domain, so browser and Safe Browsing checks all passed. Fake "support" chats told victims to open a terminal and paste a base64 command that downloaded malware. Taiwan took 30.5% of the traffic. One rule: if any page or "support" tells you to open a terminal and paste a command, close it. A real URL doesn't mean safe content.

📄 研究：Trend Micro（malvertising / ClickFix 報告）
📖 整理／重現：《Claude 分享對話被濫用於 ClickFix》

留言

張貼留言

這個網誌中的熱門文章

AI 懶人包｜不會寫指令？讓 AI 幫你寫

圖片
老實說，指令（prompt）寫不好，多半不是你不會用 AI，是你自己還沒想清楚要什麼。與其自己硬擠，不如叫 AI 先幫你把需求想清楚——這招叫 meta-prompting，白話說就是「用 AI 幫你寫出更好的指令」。 先搞懂：什麼叫「好指令」？ 只有一種解讀，別讓它有第二種理解方式 講得出「怎樣算成功」，要具體、能檢查 給背景：你是誰、講給誰聽、什麼情境 框住格式跟長度 明講「不要做什麼」 難題目，叫它「先想再答」 最偷懶的一招（複製就能用） ，把這句貼給 AI—— 「這是我的需求：＿＿。請先幫我改寫成一個清楚、只有一種解讀、能檢查成敗的指令，並反問我還缺哪些資訊。」 一個提醒：好指令很少一次到位，都是「寫 → 試 → 改」磨出來的。與其怪 AI 不懂你，不如先讓它幫你把話講清楚。 — Can't write good prompts? Let AI write them for you. A bad prompt usually means fuzzy thinking, not bad AI. Meta-prompting = asking AI to turn your vague ask into one clear, single-interpretation, checkable prompt — and to ask what's still missing. A good prompt has: one reading, a defined "success," context, format, boundaries, and room to think first. It's draft → test → revise, rarely one shot. 📖 整理自《Meta-Prompting》 github.com/jason3e7/ai-101 → 05-notes/meta-prompting.md
閱讀完整內容

風向判讀｜AI 打破知識門檻：卡在中間的人最尷尬

圖片
以前「懂得比較多、做得比較熟」就能養活自己。現在 AI 幾乎有問必答——你會的它也會，還更快、更便宜。 誰得利、誰受傷，其實很清楚： 新手最開心：以前要學好久才敢碰的事，現在問一句就有人教。 真高手還是穩：懂得「什麼時候該信、什麼時候別亂用」，這種判斷 AI 學不來。 最尷尬的是中間那群人：一直靠「我比你多會一點」吃飯的。 還有個反差：AI 讓原本比較弱的人進步最多，強的反而沒差多少。等於把地板墊高，大家越來越像。 所以往後拼的不是「你知道多少」，是「你判斷得準不準、有沒有品味、敢不敢扛」。會查資料不稀奇，會做決定才值錢。 — AI is making "knowing stuff" cheap. What still pays: judgment, taste, and owning the call. 📖 靈感：《AI Breaks Knowledge Barriers》 github.com/jason3e7/ai-101 → 05-notes/ai-and-knowledge-barriers.md
閱讀完整內容

風向判讀｜AI 離開聊天框，進入「會做事」的時代

圖片
過去我們問 AI「答得對不對」，接下來要問的是「敢不敢把事交給它做」。 軟體 AI 開始跑完整流程：自己分析業績、比對數據、做成簡報、寄給主管，一條龍搞定。光 Zapier 一家公司內部就用了 800 多個 AI 代理。 機器人也長出「語言腦」：NVIDIA 開源新模型，讓機器人聽得懂人話、看著現場自己完成多步驟任務。 連寫程式都給 AI 做：Claude 生成機器狗的控制程式，比去年最強的人類團隊快 20 倍。 兩條腿一起走：螢幕裡的軟體代理、現實中的機器人，都在從「示範」走向「上工」。 重點早就不是 AI 聰不聰明，是它做事「穩不穩、貴不貴、會不會出包」。這才是企業敢不敢用的關鍵。下次別看 demo 多炫，看誰真的讓 AI 上工還不出錯。 — AI is leaving the chatbox. Software agents now run real multi-step work inside companies (Zapier runs 800+ internal agents); robots are getting language brains (NVIDIA open-sourced a model that lets them understand speech and act); AI even writes robot control code 20x faster than last year's best human team. The bottleneck isn't smarts anymore — it's cost, latency and error rate. The edge shifts from "whose model is strongest" to "who can make AI reliably do the job."
閱讀完整內容