Russian Market是当今地下网络犯罪生态中最具持久性和影响力的平台之一，主要从事被盗凭证、信用卡数据（CVV）以及信息窃取恶意软件（infostealer）日志的交易。该平台自2019年左右开始运营，据称有俄罗斯政府背景，尽管名称中带有“Russian”，但该网站使用英语界面，面向全球用户。截至2026年3月，根据多家网络安全机构的监测报告（如Breachsense、CloudSek、SOCRadar、Rapid7等），Russian Market仍是stolencredentials和stealerlogs的主导市场之一，库存规模庞大，在售窃取日志超过1060万条，信用卡数据超过850万张。
与“暗网下/AWX”多次报道的其他曾被执法部门重创的平台（如Genesis Market于2023年被查封、导致Russian Market交易量激增670%；被查封的RaidForums/BreachForums、XSS等）相比，Russian Market表现出极强的韧性，未遭受平台级取缔，持续活跃。
平台运作模式与商品演变 Russian Market采用“自动商店”（autoshops）模式，类似于正规电商网站：商品分类清晰、可搜索、支持即时购买，买卖双方无需直接接触。这种低摩擦设计大幅降低了网络犯罪的准入门槛。
Russian Market平台的产品线经历了清晰的演变：
2019–2024年初：初期专注于远程桌面协议（RDP）访问权限销售。此类权限常被用于部署勒索软件、进行网络间谍活动，或作为进一步攻击的跳板。RDP访问已高度商品化，直至2024年1月该服务正式终止，不再提供。
2021年起：信用卡数据（CVV）业务迅速崛起，成为当时的主要品类之一，凭借扩张策略和较低的执法压力，一度领先同类平台。
2021年末至今：转向以信息窃取日志（stealerlogs，或称“僵尸程序”/bots）为主导。这些日志是由infostealer恶意软件从受害者设备中提取的数据包，通常包含：
保存的用户名、密码 浏览器会话cookie（可直接用于账户接管，绕过多因素认证） 自动填充数据、系统信息、加密钱包凭证等 2025年上半年，平台每月平均出售约3万个此类日志，上半年累计超过18万条公开出售。当前在售日志数量已达约1060万条，远超竞争对手（如2Easy仅为其约14%；Genesis Market关闭时仅有约42.5万个）。
主要商品详情与统计 信息窃取日志：平台最核心商品。买家可按地理位置、国家、操作系统、所用窃取工具类型、供应商、特定域名或邮箱等条件筛选。每个日志平均售价约10美元（历史价格范围1–100美元，取决于地理位置、数据质量、凭证有效性等）。日志大小通常为0.05–0.3MB，平均0.14MB，常包含多个域名的凭证。
主流窃取工具变种：Lumma Stealer曾占据主导地位（一度约66%，2024年Q4甚至达92%），但受2025年5月全球域名查封影响份额下降；Rhadamanthys（约5%）、Acreed等新兴变种崛起。早期流行的RedLine、Raccoon等因开发者被捕（RedLine2024年、Raccoon2022年相关行动），份额降至不足1%。 地理分布：美国受害者占比最高（约26%），其次阿根廷（23%）、巴西等。 部分数据存在质量问题，如重复、非唯一凭证，或虚假条目（[email protected]等），但整体供应量巨大。 信用卡数据：销量第二大品类，在售约850万张。前20发卡国中，美国银行卡占比高达84%（约716.7万张）。
辅助工具：平台集成BIN验证器（根据卡号前6–8位查询卡片信息，用于筛选高价值目标）；Netscape到JSONCookie转换器（将窃取的cookie转为现代浏览器兼容格式，便于实现会话劫持）。
卖家体系与生态特征 卖家采用积分评级体系，基于销量、买家反馈等计算分数。“钻石”级需超过10,000分，最高卖家分数可达20万以上。截至分析时，“窃取日志”板块仅列出约39家供应商，“信用卡”板块约557家，但许多供应商无实际商品上架。
参与者圈子相对封闭，每年仅新增一两个主要玩家。窃取工具变种也多出自同一小群体。尽管执法行动频繁，核心运营者和活跃卖家持续存在。
执法行动及其影响 自2022年以来，国际执法针对infostealer生态的打击显著加强：
2024年12月：Raccoon Stealer MaaS运营者Mark Sokolovsky被判5年监禁，导致该变种日志份额骤降。 2025年5月：微软、美国司法部、欧洲刑警组织等联合查封Lumma Stealer约2300个域名，基础设施遭受重创。 2025年11月：Operation Endgame行动关闭Rhadamanthys在226个国家/地区的超过1025台服务器，但运营者未公开被捕。 尽管如此，Russian Market平台本身未被整体取缔。竞争对手崩盘后用户迁移、平台的低调运营和快速适应能力，使其在2026年仍被多家报告视为stolencredentials和stealerlogs的主要枢纽。
风险与防御建议 Russian Market已成为凭证滥用攻击链的核心节点：企业员工设备感染infostealer→数据打包出售→买家购买用于初始访问、横向移动、勒索软件部署或账户接管。许多重大数据泄露事件最终可追溯至此类平台购买的凭证。
Russian Market的持续存在凸显了地下凭证经济的规模与韧性。其海量、低价供应降低了攻击门槛，对全球网络安全构成持久威胁。及时监控和强化身份防护，是有效降低风险的关键。
对于企业和个人，“暗网下/AWX”建议采取进一步防御措施加强防范，包括：
启用多因素身份验证（MFA），优先采用基于App或硬件密钥的方式（减少cookie劫持风险）。 使用唯一强密码，并借助密码管理器管理。 加强终端防护，部署端点检测与响应（EDR）工具，监控异常行为。 定期监测暗网暴露情报，检查组织域名、邮箱是否出现在此类平台。 开展员工安全意识培训，防范钓鱼邮件、恶意下载等感染途径。
暗网是听着就让人有点发怵的互联网角落，但它确实是很多人躲避审查、争取隐私的最后一块阵地。有一说一，暗网的风险是实打实的大，非法内容、黑客诈骗、恶意软件到处都是。进去之前把防护做到位，比什么都重要。就像第一次去一个完全陌生的城市，得先把交通地图、防护措施都搞清楚。
本文是“暗网下/AWX”认为访问暗网最该优先掌握的10条基本隐私保护技巧，基本覆盖了大部分实际操作场景。但请记住：法网恢恢，疏而不漏。使用暗网从事违法犯罪行为，最终的结局一定是蹲监狱。
一、把Tor浏览器安全级别调到“Safest”（最安全） Tor浏览器有三级安全设置，默认是“Standard”，但真正想把风险降到最低，直接拉到“Safest”。这个模式会完全禁用JavaScript（很多攻击都靠它）、限制字体加载、图标、数学符号显示，音频视频必须手动点才能播放，把网站能偷偷干的坏事基本全堵死了。网站界面会变得很简陋，有些功能直接用不了，但这是目前Tor自带的最强防护。日常觉得太卡就降到“Safer”，但高风险操作必须用“Safest”。
操作：点击菜单按钮（三条横线），然后依次选择“设置”（Settings ）>“隐私和安全”（Privacy & Security），在“安全”（Security）选项下选择“更改”（Change） 。选择“最安全”（Safest）将 Tor 设置为最高安全模式，然后点击“保存并重启”（Save and restart）。
二、别最大化Tor浏览器窗口，随时随机调整窗口大小 访问暗网时，容易受到指纹识别攻击。从技术上而言，可以利用您计算机的信息（例如操作系统、系统时间，甚至是您安装的字体）来识别您的个人身份。指纹识别中另一个关键信息是显示器尺寸：如果浏览器窗口占据整个屏幕，恶意攻击者就能推断出你使用的显示器或设备。
虽然Tor已经尽力防止指纹识别了，但浏览器窗口大小是个超级容易被忽略的泄露点。全屏打开的话，攻击者通过分辨率就能快速缩小你的设备范围。最好的办法是打开Tor后别点最大化按钮，最好每次用的时候都稍微拖动一下窗口，尺寸随机变化一点。简单一个习惯，就能大幅增加指纹混淆难度。
三、多用“New Identity”功能刷新身份 Tor浏览器有个特别实用的按钮：新建身份。点右上角菜单 → “新建身份”（New Identity），浏览器会瞬间关掉所有标签、断开当前路由线路、重连新的Tor路径，把Cookie、历史、会话全部清空，相当于彻底换了个人。遇到任何可疑页面、准备下载东西、或者连续逛了很久之后，都点一下这个，基本等于重启匿名状态。
四、增加网桥，甚至用可插拔传输来隐藏Tor流量 普通Tor连接走的是公开的中继节点，虽然你的真实IP不会泄露，但运营商或防火墙还是能看出你在用Tor。如果你在Tor被封锁的国家/地区，或者不想让ISP知道你在跑Tor，就必须加网桥。
操作：在Tor浏览器中，点击右上角的菜单按钮，然后选择“设置”（Settings ）>“连接”（Connection）来配置网桥。您可以使用“请求网桥”（Request bridges）功能从官方Tor机器人获取网桥链接，或者使用网页或Telegram链接查找网桥。更高一级的选择内置的可插拔传输桥（obfs4、meek-azure等），这些能把Tor流量伪装成普通HTTPS甚至其他协议，ISP基本看不出来你在用Tor。被墙地区几乎是必选项。
五、连上Tor后第一时间检查IP泄露 IP泄露是指你的实际网络位置被你连接的网站知晓——这是你在暗网访问时需要避免的情况。Tor再强，WebRTC没关干净、DNS配置出错、恶意网站脚本或浏览器扩展程序跑一跑，还是可能泄露真实IP。
建议每次连上暗网前，先打开IPLeak测一测，看它报的出口IP是不是Tor节点的、WebRTC有没有你家宽带信息、DNS服务器是不是Tor的。如果有任何异常，马上停下来排查（Tor默认禁用WebRTC，但多测一次心里踏实）。
六、浏览前把电脑上其他所有程序和后台应用全关掉
如果您通过 Tor 访问暗网，请关闭系统上的所有其他程序：清除内存中的所有应用程序，把不相关的进程全杀掉，即使它们只是在后台运行（Windows 上的任务管理器和 macOS 上的活动监视器可以帮助完成此操作）。
运行的应用程序不仅会帮助识别您的系统以进行指纹识别（比如字体列表、系统调用、插件痕迹），还会使您更容易受到暗网上的恶意网站和恶意软件的攻击。除了 Tor 之外，您运行的程序越多，不法分子可攻击的目标范围就越大。
七、用Tails OS运行Tor，获得系统级的隔离保护 在Windows或macOS系统上通过Tor访问暗网，您可以获得良好的安全保护。如果通过便携式Linux操作系统Tails访问，安全防护将更上一层楼。Tails可以从U盘运行，也可以通过虚拟机运行，这意味着即使恶意软件突破了你的防御，也无法访问你的主操作系统及其上的所有程序。
从U盘启动（或虚拟机里跑），整个操作系统强制走Tor，所有流量都匿名化。即使有恶意软件突破浏览器，也接触不到你主机上的文件和程序。用完自动擦除内存，不留痕迹。配置花点时间，但这是目前最彻底的办法。官网有一步一步指导的教程，新手跟着做基本不会出错。
八、别下载任何文件，必须打开就用Dangerzone 暗网下载东西是高危行为，恶意软件、勒索病毒、木马到处都是。实在避不开（比如可信联系人发来的文件），一定要用Dangerzone处理。它把PDF、图片、Office文档扔进沙箱，转成纯像素重建，彻底清除嵌入的恶意代码、追踪标签，最后给你一个干净安全的文件。Dangerzone软件开源免费，自由新闻基金会做的，用着很靠谱。
九、建立一套完全独立的“暗网身份” 绝对不要把日常用的邮箱、用户名、社交账号带进暗网，哪怕只是登录一下都会让Tor的匿名性大打折扣。这会增加你的凭证被盗的风险，也更容易让你被识别为个人用户。
建议制定一套全新的网络身份规则，以增加暴露真实身份的难度，用Proton、Tutanota、DuckDuckGo这种临时/匿名邮箱，用户名随机生成。最好错开上网时间、用不同设备、甚至换个WiFi热点，避免任何行为模式跟日常重叠。日常身份和暗网身份彻底切割，交叉就是给自己挖坑。
十、额外注意事项 保持Tor浏览器最新版本，及时修复漏洞打好补丁。 Tor浏览器别装任何第三方扩展，加装插件容易被指纹追踪。 可以先使用VPN再开Tor（Tor over VPN），但别把VPN当万能救命稻草，主要还是靠Tor本身和使用习惯。 心态上保持警惕，别乱点链接、别登录任何跟自己相关的账号。 这些是“暗网下/AWX”结合社区经验总结出来的，基本把最关键的防护点都盖住了。安全永远是相对的，没有绝对保险，但把这10条做到位，风险已经降到很低了。自己用的时候多留个心眼，暗网水很深，谨慎永远是第一位的。
一个令人震惊却又微小的细节，让一位暗网调查人员解救了一名遭受多年性虐待的12岁女孩，然而，这个关键线索并没有立即显现，而是需要付出巨大的努力才能破译。
最近一部名为《最黑暗的网络》（The Darkest Web）的新纪录片讲诉了美国国土安全部专业调查员格雷格·斯奎尔及其团队在暗网上追捕虐童者的故事，专业网络调查人员花费数月时间，成功解救了一名被困在性侵犯者手中的12岁女孩。该片近期正在BBC播出。
格雷格·斯奎尔为美国国土安全部调查局工作，专门负责与儿童性虐待有关的案件。在他职业生涯早期的一个案件中，有一个案件尤其引人注目。由于他在调查过程中发现了一个关键细节，他才得以追踪到一个被称为“露西”的女孩。
暗网充斥着各种非法内容，常常是分享儿童性虐待材料的平台 暗网是互联网的一部分，最初由美国国防部创建，旨在确保其间谍秘密行动。暗网经过高度加密，只有使用能够掩盖和匿名化个人身份的软件才能访问，从而确保任何活动都无法追踪到每个用户。
虽然暗网上的内容并非全是恶意的，但很多内容至少本质上是非法的，即便不是在创作过程中就对他人造成明确的伤害。如今，它更像是世界上许多最恶劣的恋童癖者的网络游乐场。
它通常被人们用来购买毒品和武器等物品——唐纳德·特朗普总统最近赦免了暗网最大市场之一丝绸之路的运营者——但它也是臭名昭著的性虐待（通常涉及儿童）恐怖内容的聚集地。
调查人员在暗网上关注到了被虐待的露西 据BBC报道，露西是国土安全部官员拼命想要拯救的孩子，她从7岁起就出现在互联网上那个邪恶的角落里，她遭受虐待的照片和视频在暗网上被分享给了大约40万人。
然而，由于暗网上的帖子不与IP地址关联，导致不法分子能够不留直接痕迹地进行活动，因此警方无法追踪到她。
这意味着由格雷格·斯奎尔领导的团队不得不从其他地方挖掘线索。他们开始仔细查看那些骇人的虐待图片和视频，寻找任何可能泄露露西下落的信息。
“寻找缺失的拼图碎片时那种焦灼的感觉很难形容，”斯奎尔说。“它成了你每天的负担。你肩负着这份责任。我和我的搭档皮特可能一天要谈论这件事100遍。”
斯奎尔一直在试图追踪露西的下落，但他和他的团队几乎毫无进展。他们根据插头和插座推断出她身处美国某地，但这并没有缩小他们的搜索范围。他们无法确定她的具体位置，甚至无法确定她的身份。任务陷入了僵局——直到一条线索将他们引向了她。
一条细微线索成为关键突破口，成功侦破案件 九个月的时间里，斯奎尔和他的团队仔细检查了小女孩房间里的所有东西：床罩、衣服、毛绒玩具，甚至随意摆放的水瓶，直到他们取得了一项出人意料的突破。
然而，当他们发现照片里的一款沙发有些不寻常之处时，一切开始变得清晰起来。他的团队意识到，这款沙发只在区域内销售，而不是在美国全国范围内销售，这使得潜在客户群限制在4万人左右。
从那里开始，他仍然面临着巨大的挑战，但他同时也注意到了房间里裸露的砖墙，于是咨询了砖瓦行业协会，该协会能够提供重要的帮助。
斯奎尔在纪录片中说道：“我一开始只是在谷歌上搜索砖块，没搜几次就找到了砖瓦行业协会。电话那头的女士非常棒。她问我：‘砖瓦行业能提供什么帮助？’”
在砖商约翰·哈普的帮助下，他们发现这种砖石是一种被称为“燃烧的阿拉莫”（Flaming Alamo）的特殊砖块，而且由于其太重，不太可能从美国西南部的制造厂远道而来。这种砖块是在德克萨斯州制造的，国土安全部的搜索范围缩小为方圆50英里。
通过将沙发客户名单与此进行交叉比对，他们得以在Facebook上找到露西的照片，进而分析与这位12岁女孩的家庭成员相关的房屋，并利用约翰·哈普的专业知识来确定这块砖是否被使用过。斯奎尔与约翰·哈普合作，确定了可见墙体中使用的砖块类型，并找到了露西居住的确切房屋。
“所以我们缩小范围，锁定了[这个]地址[…]，并开始通过州政府记录、驾驶执照[…]信息和学校信息来确认住在那里的人是谁，”斯奎尔解释说。
他们发现，那里是露西母亲的男友的住所，他是一名被定罪的性犯罪者，几个小时内就被当地国土安全部特工逮捕。他们发现他总共对这名年轻女孩进行了长达6年的性虐待，最终他因其罪行被判处70多年监禁，这一切都要归功于斯奎尔和他的团队发现的一个关键细节。
该案件让斯奎尔感到相当痛心，激励他带领团队破获更多案件 那是这是一个令人痛心的案件，斯奎尔本人也是一位父亲，他承认，这个案件让他身心俱疲，就像他的许多其他工作一样。
“那时候，我的孩子们都大一些了，”他说。“你知道，这让你更有动力。比如，‘我打赌，如果我今天凌晨三点起床，就能出其不意地抓住网上的猎食者。’”
婚姻结束后，斯奎尔养成了酗酒的习惯，以此来“麻痹”自己，逃避他在工作中目睹的种种暴行，甚至一度产生了自杀的念头。
他在纪录片中说道：“当你所从事的、能给你带来巨大能量和动力的事业，同时也在慢慢摧毁你的时候，那种感觉真的很难受。能够成为这样一个能够有所作为的团队的一员，我感到非常荣幸。”
他们的确发挥了作用。像斯奎尔领导的这类执法部门，已经帮助抓获了一些世界上最臭名昭著的性犯罪者。
其中一个案例展示了他们如何侦破一起案件一名7岁儿童在俄罗斯被绑架并被推定死亡，一名巴西男子因运营全球5个最大的儿童虐待网络论坛而被绳之以法。
“我们需要一些勇气才能接受一些困难，才能亲眼目睹这一切，”斯奎尔本周告诉《卫报》。“但是那些遭受虐待的孩子们呢？他们别无选择。”
一提暗网，好多人脑子里还是老一套：黑市、贩毒、雇佣杀手啥的，电影看多了。但对我们这些做威胁情报的来说，它更像一个乱哄哄的地下集市，各种角色混在一起，信息流动快得惊人。到了2026年，暗网的各个角落已经碎片化得不行了——没有哪个暗网论坛能一统江湖，取而代之的是好几个各有专长的社区。有些专供新手混，有些是老鸟交易重型货色的，还有些纯粹是情报交换站。想知道你的公司数据会不会哪天被挂出来卖？得先搞清楚这些地方的门道。
一、Dread：地下世界的“风向标” Dread还是那个Dread，暗网里最像Reddit的存在。2026年了，它依旧是很多人每天必上的地方——不卖东西，主要就是聊。
这里什么话题都有：新漏出来的数据库谁有？哪个勒索团伙又在吹牛？某个工具是真神器还是骗钱的？诈骗犯被同行曝光的帖子也能刷屏。氛围有点像微博热搜，但全是黑灰产的版本。
为什么重要？很多大事件在主流媒体报道前，好几个月就在Dread上发酵了。勒索软件新变种、团伙内讧、甚至哪个管理员跑路了，这里往往是最先冒泡的地方。防御端来说，这里是抓“早期信号”最好的窗口——噪声多是多，但信号确实真。
二、BreachForums：数据泄露的“头条制造机” BreachForums这几年命真硬，克隆版本如雨后春笋般顽强，且爆发激烈战争。2026年初刚被爆出一次大规模用户数据库泄露，几十万账号暴露，社区一度乱套，但它还是顽强活了下来（或者说，不断有人接续重启了）。这地方就是数据泄露的“菜市场”——零售巨头、游戏公司、社交平台的dump，常常是这里最先挂出来。
热闹是真热闹，记者也爱盯着这里写报道。但别被表象骗了：一半帖子是假货、重复利用老数据，或者纯粹为了炒热度。真正有价值的情报，得会分辨上下文和卖家信誉。
对企业来说，这里是监控自家品牌泄露的首选站点的之一。很多公司在内部检测到异常前，好几天就在这里看到自家员工凭证被甩卖了。
三、XSS（以及它的“继承者们”）：初始接入的“华尔街” XSS.is在2025年中被各国警方搞了一次大的国际联合执法行动，管理员被抓，域名也被查封。但俄罗斯语社区的生命力你懂的——2026年，类似的功能已经部分转移到RAMP、DamageLib这些继任者身上。老XSS的风格没变：重度商业化，卖的就是企业网络的“门票”——RDP、VPN、域管账号、云主机权限。
这里交易的不是小打小闹的个人账号，而是能直接横向移动的大企业访问权。很多后续的勒索攻击，第一步就是在这些地方买到的初始接入。
防御方得特别留意：等你内部告警响了，往往已经晚了三步。盯着这些初始接入经纪人（IAB）的动向，才能提前堵枪眼。
四、Exploit.in与CryptBB：技术硬核的“实验室” Exploit.in还在，定位没变：工具、漏洞、恶意软件的深度讨论区。这里不像前面几个那么喧闹，更像是技术宅的私人俱乐部。私有exploit、零日交易、新型恶意软件源码分享，都在这里悄悄进行。
2026年新冒头的CryptBB走得更极端——加密做得极严，准入门槛高，主要服务精英玩家。想看到下一代攻击技术在扩散前的模样？这俩地方是必看窗口。
普通公司可能觉得离自己远，但其实不然：很多“高级”技术过几个月就会流到低端市场，变成脚本小子都能用的货。
五、Nulled、Cracked、Altenen、LeakBase：大众化的“灰色集散地” 这几个论坛用户量大得吓人，门槛低，内容五花八门——从破解账号、盗刷教程，到现成的恶意软件工具包，应有尽有。Nulled和Cracked偏工具和破解，Altenen更重carding和欺诈，LeakBase则是纯数据泄露分享。
别看它们“低端”，影响力其实很大。新手从这里入门，老鸟也常来淘便宜货。很多主流恶意软件家族的变种，就是先从这些地方扩散开来的。
为什么防御端不能忽略？因为攻击大众化的趋势越来越明显——威胁不再只来自顶尖APT，很多普通企业的噩梦就是这些社区里随便一个脚本小子用现成工具捅进来的。
总结：最后说两句 2026年的暗网论坛生态，比以往任何时候都更分散、更韧性，“暗网下/AWX”认为，执法机构应该紧盯这些论坛，以随时掌握暗网新的动态。
旧的被端了，新的马上冒头；热闹的社区里噪音多，但真正的情报价值也高。做威胁情报的都知道：光靠技术挡是挡不住的，得懂对手在哪儿聊天、聊什么、谁在卖什么。盯紧这些地方，不是为了看热闹，而是为了在他们动手前，先知道他们想干嘛。
在数字时代，身份盗窃已从传统的密码窃取演变为一场高度技术化的对抗。网络犯罪分子越来越多地利用暗网中泄露的个人信息，并结合人工智能（AI）工具进行深度伪造，制造出逼真的虚拟身份。这不仅改变了犯罪模式，也加剧了数字安全领域的失衡——攻击者凭借技术优势迅速迭代，而防御方往往处于被动追赶的状态。专家将这一现象描述为一场“军备竞赛”，其核心在于AI赋予犯罪分子的不对称能力。
深度伪造技术的兴起与机制 深度伪造（deepfake）技术的成熟是这一转变的关键。早在2024年，“暗网下/AWX”就报道，暗网提供工具及服务，骗子利用人工智能工具进行深度伪造。只需受害者的一张静态照片或几秒钟的语音样本，AI算法即可生成高度逼真的视频或音频内容，使“虚拟人物”与真人难以区分。这种技术已广泛应用于绕过生物识别系统，例如面部识别或语音验证，从而在银行转账、政府服务申请等场景中实施资金拦截。
前白宫技术官员、现任Socure公共部门负责人的乔丹·伯里斯（Jordan Burris）指出，AI攻击的规模与速度令人担忧：在一秒钟内，算法可对数百万条身份记录发起探测，针对金融和公共服务系统进行自动化欺诈。他强调，犯罪分子不再依赖手动操作，而是通过AI代理系统实现大规模、精准的冒充。这意味着，即使是技术门槛较低的犯罪者，也能借助现成工具发动复杂攻击。
此外，这些伪造材料往往源于公开来源——社交媒体照片、公开演讲录音，或公共场所的监控片段。一旦获取，这些数据会在犯罪网络中流通、重组，并被用于多种攻击向量，形成一个高度组织化的地下生态。
暗网生态与专用AI工具的角色 暗网在这一生态中扮演核心角色。平台上流通的不仅是泄露数据，还有专为犯罪设计的AI工具，如DIG AI、WormGPT和FraudGPT。这类工具不同于通用AI助手，它们基于全球欺诈网络共享的情报库，提供针对性指导：从生成钓鱼脚本到优化诈骗流程。伯里斯将这种协调描述为一种结构化的商业模式，参与者通过信息共享实现效率最大化，最终目标直指普通用户的金融资产和个人信息安全。
深度伪造技术进一步放大了传统诈骗的危害。例如，在“浪漫诈骗”中，犯罪分子可通过实时视频交互建立信任，而受害者难以察觉异常。类似地，就业诈骗中也出现伪装求职者的案例，甚至涉及国家支持的黑客组织渗透企业远程团队。这些现象表明，AI不仅提升了犯罪效率，还降低了被识破的风险。
防御策略：以技术对抗技术 面对这一趋势，伯里斯主张采用预防性策略，即“以AI对抗AI”。企业应投资于实时检测系统，能够在攻击发生前识别伪造痕迹，而非依赖事后追溯。这种方法已被证明更有效，因为传统基于规则的安全协议难以应对AI的动态变异。
数据泄露的法律后果：GDPR框架下的索赔风险 与技术风险并行的，是数据泄露引发的法律责任。如果企业管理的个人信息在暗网流通，将显著提升大规模索赔的可能性。《通用数据保护条例》（GDPR）第82条明确规定，因违规导致物质或非物质损害的个人，有权向数据控制者或处理者索赔。其中，非物质损害的界定较为宽泛，欧盟法院已将其扩展至对数据失控的合理担忧，例如担心信息被滥用。
德国联邦最高法院近期的一起判决进一步澄清了责任边界。该案涉及一家IT服务提供商在测试环境中保留数据副本，后这些数据出现在暗网。法院裁定，即使处理合同已终止，数据控制者仍需获得明确删除确认，而非仅发出指令。这强化了企业对第三方处理者的持续监督义务。
品诚梅森律师事务所的桑德拉·格罗舍尔博士（Dr. Sandra Gröschel）和珍妮特·巴赫曼博士（Dr. Janett Bachmann）对该判决进行了解读。格罗舍尔认为，这一裁决为企业提供了实用指导，而非单纯加重负担。巴赫曼补充指出，暗网曝光虽增强了非物质损害的可信度，但索赔仍需受害者证明具体损害及其因果关系。同时，企业可通过展示合理的技术组织措施（如明确合同条款和删除验证流程）进行抗辩。该判决维持了举证责任的平衡，未开启无限制集体诉讼的大门，却无疑提升了企业的合规压力。
前瞻：构建更稳健的数字身份体系 人工智能与暗网的结合，正推动身份盗窃向自动化、规模化方向演进。这不仅威胁个人隐私与财产安全，也对金融机构和公共服务构成系统性风险。“暗网下/AWX”认为，长远来看，解决之道在于多层防御：技术层面加强AI检测，法律层面完善责任链条，社会层面提升公众意识。只有当防御机制与攻击技术同步演进时，数字身份才能真正实现可信与可控。企业若能及早行动，不仅可降低欺诈损失，也能在潜在诉讼中占据主动。
2025年，勒索软件攻击呈现明显反弹态势，与2024年相比，公开曝光的案件数量增长了45%，总计达到9251起。这些数据来源于威胁暴露管理平台NordStellar的最新报告。
尤其是第四季度，攻击活动达到近两年峰值。攻击者充分利用年底人员减少、警惕性下降的时机，12月单月案件就突破1004起，创下同期最高纪录。
从受害者分布看，美国中小型制造商成为重灾区，特别是通用制造业、机械制造以及家电、电气和电子产品制造领域的企业，遭受冲击最为严重。
在活跃团伙中，Qilin的表现最为突出，全年攻击数量位居首位，其次是Akira和重新活跃的Cl0p。
NordStellar网络安全专家Vakaris Noreika指出：“年底最后一个季度，许多勒索软件团伙故意抓住企业监控松懈的窗口期发起攻击。但更令人担忧的是，全年攻击都在持续攀升，手段越来越激进。如果趋势延续，2026年的案件数量很可能突破1.2万起。”
他还提到，尽管有15个暗网勒索软件团伙突然宣布“退休”，但活跃的勒索软件团伙数量还在快速增加。2025年追踪到的案件涉及134个不同勒索软件团伙，比2024年的103个增加了30%。
美国中小企业承受最大压力 美国企业仍是首要目标，2025年记录在案的案件达到3255起，同比增长28%，占全球总量的64%。加拿大以352起位列第二（增长46%），德国270起（增长97%），英国233起（增长2%），法国155起（增长46%）。
员工规模不超过200人、年收入低于2500万美元的中小企业受害最重，这与2024年的情况一致——它们始终是勒索软件攻击的主要对象。
Noreika解释道：“中小企业往往缺少专职安全团队和充足预算，也更容易使用老旧软件，监控能力有限，很多还依赖外部供应商提供IT支持。一旦中招，为了尽快恢复业务，它们往往选择支付赎金，这也让攻击者把它们当作首选目标。”
制造业持续高危 制造业仍是重灾区，2025年发生1156起事件，同比增长32%，占比19.3%。紧随其后的是IT行业（524起，增长35%）、专业科学和技术服务业（494起，增长30%）、建筑业（443起，增长24%）。医疗保健行业则略有回落，339起，同比减少6%。
在制造业内部，中小型通用制造企业受害最严重，其次是机械制造以及家电、电气和电子产品制造领域的中小企业。
Qilin等团伙主导攻击 Qilin以1066起攻击高居榜首，同比增长408%；Akira947起（增长125%）；Cl0p594起（增长525%）；新兴的Safepay增长尤为迅猛，464起（增长775%）；INC ransom则有442起（增长83%）。
面对持续威胁，企业该怎么做 Noreika强调，强化基础安全措施是当务之急：及时更新系统和应用、启用多因素认证、落实密码管理策略、推行零信任架构，防止恶意软件横向扩散。
“威胁情报在早期发现和阻止攻击中至关重要，”他表示，“暗网泄露的数据往往包含凭据或敏感信息，及早监测可以让企业迅速重置密码、撤销密钥、封禁账户，从而更快响应事件。”
“暗网下/AWX”警告，2026年，勒索软件威胁不会减弱，企业只有把基础防护、情报监测和应急响应真正落到实处，才能有效降低风险。
同时，制定详细的勒索软件事件响应计划和数据恢复方案同样不可或缺。定期备份关键数据，能最大程度减少业务中断时间，让企业在攻击来临时更有底气拒绝支付赎金。
反洗钱公司AMLTRIX的最新研究表明，暗网上被盗和伪造身份信息的交易蓬勃发展，犯罪分子可以在暗网上以低至30美元的价格购买“身份信息包”，其中包括身份证扫描件、自拍照片和个人数据档案。
专家发现，随着身份盗窃案件的持续增加，英国等国民身份证件、驾驶执照、信用卡信息和“常旅客”护照的售价高达2000英镑。这些信息可以被以多种方式利用，例如用于申请信用卡、抵押贷款、汽车贷款或开设银行账户。
研究人员于2025年12月初分析了25个活跃的暗网市场和论坛，发现组装一套能够绕过标准KYC验证的工具包的成本已降至30美元。这项研究揭露了被盗数据的多种使用方式，曾经需要专业技能才能完成的工作，如今已成为一项廉价的、工业化的服务。
研究显示，犯罪分子只需花费一份外卖的价钱，就能轻松购买到高分辨率的身份证扫描件、一张匹配的自拍照以及一系列个人数据，这些数据旨在绕过银行、金融科技公司和加密货币平台的第一道安全审核。需要实时视频验证的系统，现在也正被越来越先进的摄像头模拟工具所欺骗。
AMLTRIX联合创始人加布里埃利乌斯·埃里卡斯·比尔克什蒂斯（Gabrielius Erikas Bilkštys）表示：“现在，包含身份证扫描和自拍照的完整身份包价格低廉，犯罪分子可以批量购买，如果这还不够，暗网还提供了其他更可靠（尽管更昂贵）的选择。这反映出个人数据被盗和转售的频率之高，以及这个市场的产业化程度之高，非法身份信息市场已经变得既庞大又自动化。”
AMLTRIX表示，一旦身份数据进入地下市场，同一身份信息就可以被反复用于开设银行账户、支付账户或加密货币钱包，实施身份盗窃，而受害者往往在讨债公司或执法部门联系他们之前毫不知情。
与迅速贬值的被盗信用卡信息不同，“全套身份信息”可以为洗钱账户提供基础，使其能够在被发现之前洗白大量资金。价格因地区而异。美国身份信息通常售价在45至100美元之间，英国身份信息售价在30至35美元之间，澳大利亚、俄罗斯或法国身份信息售价在20至30美元之间。
其中一些价值较高的物品是爱尔兰或英国护照，售价可能超过2500美元，而经过KYC验证的英国企业银行账户，价格从900英镑到2000英镑不等。根据AMLTRIX的数据，在英国NatWest和Barclays等主要银行开设的账户价值最高。
一个显著的变化是预验证账户溢价的飙升。经过验证的加密货币账户现在售价在200至400美元之间，几乎是原始身份数据价格的十倍。AMLTRIX指出，这种溢价表明，试图绕过生物识别验证的犯罪分子失败率很高。实际上，犯罪分子愿意支付270美元的风险溢价，来承担绕过实时验证系统的难度。
该研究还发现，被黑客入侵的英国亚马逊账户平均售价为15英镑，而Netflix等订阅服务的登录信息售价约为10英镑。此外，暗网市场上还出现了伪造的英格兰银行钞票，售价通常约为面值的25%至35%。一些卖家声称他们的钞票能通过紫外线检测，并提供小额样品订单作为质量证明。
虽然在很多情况下，出售的数据是合法的，但AMLTRIX也指出存在一些诈骗案例。
比尔克斯蒂斯先生表示，对于各企业而言，一个主要的误解是将暗网视为一个完全独立的世界。“许多企业仍然认为暗网是一种遥远而陌生的威胁。实际上，暗网与企业合规团队已经习惯处理应对的日常网络钓鱼活动、大型数据泄露、账户盗用和洗钱案件密切相关。”
比尔克什蒂斯警告说，暗网经济并非一个孤立的生态系统，它同样受到网络钓鱼攻击、数据泄露和账户盗用的威胁。他认为，仅仅收集更多文件或自拍照已经远远不够了。
他表示，随着身份欺诈的成本降低、速度加快和自动化程度提高，银行和金融科技公司在2025年面临的挑战正在发生转变。他们的任务是确定设备背后的用户是真实身份，还是暗网“廉价身份工厂”的产物。
据英国科学、创新和技术部（DSIT）称，2024年，43%的英国企业报告称遭遇了网络安全漏洞或攻击。英国反欺诈服务机构Cifas发现，2025年1月至6月期间，记录在案的身份盗窃案件超过118,000起。
利兹大学网络犯罪专家大卫·沃尔表示：“问题存在于两个层面。[首先]是个人数据，他们可能因此遭受经济损失，这种情况通常通过账户盗用发生，或者更常见的是通过冒充银行工作人员的电话进行诈骗。另一个层面是组织层面的数据访问。”
沃尔先生说，犯罪分子会收集这些数据，并将其处理成软件包，然后出售给其他犯罪分子。“有些数据集是骗局，一部分犯罪分子试图以此诈骗另一部分，但另一些则是真实的，可以为相关组织提供初步访问权限。这非常令人担忧，因为他们参与了近年来大多数西方国家遭受的一些规模较大的网络攻击，主要是勒索软件攻击。”
AMLTRIX框架是一个开源的、社区驱动的资源，用于绘制金融犯罪活动图谱，其中包含一个日益全面的列表，列出了这些不法分子使用的技术和方法。
我们大多数人都听说过“暗网”和“欺诈”，因为身份盗窃仍然是2026年消费者和企业面临的最大问题之一。
暗网是深网的一部分，深网包含一些不会出现在标准搜索引擎结果中的网页。当你登录网上银行、Netflix 或电子邮件时，你就是在接触“深网”。
要访问暗网网站，你需要一个特殊的浏览器（例如 Tor 或洋葱路由器），它可以加密你的身份并匿名化你的数据。由于其匿名性，暗网已成为网络犯罪和诈骗的中心，包括交易被盗的个人信息。
仅经过两个月的调查，一种名为Lumma Stealer的恶意软件就在近 40 万台电脑上被发现。这种信息窃取程序会窃取密码、信用卡号、银行账户信息和加密货币钱包登录信息等个人凭证，最终在微软和执法机构的共同努力下被关闭。
这款信息窃取程序已经存在多年，由于其高效性和有效性，仍然深受网络犯罪分子的青睐。更令人担忧的是，这种恶意软件以及其他类似恶意软件的新变种层出不穷。
由于大多数被盗凭证最终都会在暗网上出售，因此对于企业而言，集成能够检测和防止数据泄露的暗网监控工具变得至关重要。
正如Javelin Strategy & Research的网络安全总监特蕾西·戈德堡（Tracy Goldberg）在报告《暗网威胁情报：现代网络安全的关键支柱》中概述的那样，采用这些工具只是组织保护其运营免受日益增长的信息窃取威胁的第一步。
大量用户个人信息被盗取 一种名为数字窃取器的恶意软件变种常被用于电子商务应用程序中，在结账过程中窃取支付卡数据。相比之下，信息窃取器则可以窃取与购买相关的所有可用浏览数据。
这种广泛的访问权限使得信息窃取者成为一种特别有害的威胁，因为他们可以收集更多的数据，而且规模更大。
戈德堡说：“假设你有浏览历史记录。如果你不定期清除浏览数据——我认为我们大多数人都不会这样做——这些信息窃贼就能窃取你的Cookie。有些窃贼甚至可以窃取你的自动填充数据。一旦他们获得了浏览历史记录的访问权限，他们就能入侵各种类型的账户。”
“窃取你的电子钱包和信用卡数据只是冰山一角，一些新兴的信息窃取者甚至能够截取屏幕截图，”她说。“即使你之后清除了浏览历史记录，一旦信息窃取者入侵并截取了屏幕截图——除非你修改了浏览数据中被保存的密码——否则他们就掌握了你的信息。”
由于具备这些能力，分析人士估计，信息窃取者已经窃取了数十亿条个人凭证。他们收集的数据很容易被不法分子汇总，并经常在暗网上拍卖。
虽然个人数据元素有时会被零散地出售，但令人担忧的是，现在出现了一种将完整的个人数据包一起出售的趋势。
戈德堡说：“信息窃取工具之所以对网络犯罪分子如此有吸引力，是因为它们可以将数据打包。它们可以打包你的出生日期、常用密码、用户名、信用卡信息和社保号码。所有这些信息都可以打包出售，从而轻易地盗用你的身份，或者利用你的部分信息创建一个虚假身份。”
人们必须减少对密码的依赖 为了保护客户，金融机构必须采取多管齐下的策略。抵御旨在窃取凭证的恶意软件威胁的最重要方法之一，就是减少凭证的使用。
戈德堡说：“我们必须摆脱用户名和密码。消费者需要做的身份验证越少，我们就越安全。能够用于验证个人或设备身份的后端分析越多，我们就越安全——因为人永远是最薄弱的环节。”
终端用户的脆弱性是近年来网络钓鱼攻击如此猖獗的原因之一。不法分子现在可以利用复杂的技术伪造看似来自合法来源的信息。例如，最近许多消费者都收到了声称来自政府机构的关于未缴通行费的虚假短信。
犯罪分子会将这些极具说服力的信息与社会工程学技巧相结合，迫使用户采取紧急行动。这些策略——网络钓鱼和社会工程学技巧——是许多诈骗攻击的基础，信息窃取者也不例外。
由于这些攻击变得越来越有效，因此必须摒弃传统的用户名/密码模式。然而，目前对登录凭证的广泛依赖使得这种转变在短期内不太可能发生。
戈德堡表示：“对银行和信用社来说，最重要的启示是，我们必须开始着眼未来，搭建一座桥梁，连接我们现在使用用户名和密码的时代和未来，最终摆脱用户名和密码的束缚。这意味着要采用多因素身份验证，并利用行为生物识别和分析技术来补充用户名和密码。”
“最终，我们可以完全取消用户名和密码，”她说。“另一个弥补漏洞的措施是确保密码强度，并要求客户和会员定期更改密码——至少每90天一次。”
暗网威胁情报非常重要 除了加强身份验证方法外，企业与金融机构还必须采取措施，查明哪些数据可能已被泄露。这需要利用暗网威胁情报平台，这些平台持续监控暗网，查找任何可能泄露机构客户或会员信息的内容。
戈德堡说：“假设他们的客户是美国银行，那么暗网威胁情报提供商就会去搜索暗网——甚至包括公开网络、社交媒体帖子等等——看看是否有任何与美国银行有关的信息。”
她表示：“通常情况下，美国银行作为客户，也会向暗网服务提供商提供任何可能帮助他们发现已被盗用的账户的数据。然后，暗网威胁情报提供商会想方设法防止这些数据泄露。”
许多暗网威胁情报平台的一项主动功能是部署分析师，让他们伪装成网络犯罪分子潜入暗网。这些分析师监控威胁行为者的通信，以检测新出现的威胁或安全漏洞。
在某些情况下，他们甚至可以从暗网上重新购买被盗数据，并在造成进一步损害之前将泄露的凭证或信息归还给客户。
随着欺诈损失和系统影响的加剧，越来越多的机构意识到恶意软件的潜在危害。然而，信息窃取行为带来的额外影响意味着金融机构必须立即实施强有力的防御措施。
戈德堡表示：“其中一个重要结论是，仍然有一些企业对暗网威胁情报的相关性持观望态度。这些信息窃取者并非新生事物，它们已经存在一段时间了。但它们仍在不断演变，我们不断看到新的、更强大的变种出现。”
“如果你之前还不相信，现在你应该相信暗网威胁情报至关重要，因为它能帮助你在网络安全方面更加积极主动、更具预测性，而不是在欺诈发生后才被动应对，”她说。
什么是暗网监控工具 暗网监控工具是一种用于搜索暗网的工具。暗网是互联网的一部分，未被标准搜索引擎收录，其用途是查找个人数据或凭证等信息。这些扫描器可以帮助个人和组织检测其敏感信息是否已在暗网上泄露或交易。
简而言之，暗网扫描器是一种能够识别和扫描买卖和共享被盗数据的网站的服务。被盗身份数据可能包含敏感信息，例如个人身份信息 (PII)、非公开信息、加密和密码保护的非法内容，以及发布在暗网上的其他敏感数据。
身份盗窃的类型有很多，需要警惕。从网络钓鱼邮件诈骗到数据泄露，再到电脑上的恶意软件，所有这些都可能将用户的个人信息（信用卡号、CVV码或社会安全号码）暴露给黑客。
暗网监控工具会使用用户的个人信息（例如用户的电子邮件地址）来扫描暗网，查找任何匹配项。大多数监控工具首先会搜索缺乏完善隐私保护措施的非法市场或论坛。
尽管暗网监控工具覆盖范围广，但没有任何一款能够扫描到所有因犯罪活动而散布在整个暗网上的被盗数据。这是因为很多被盗数据都是私下交易的。不过，如果用户怀疑自己的个人信息已被泄露，暗网扫描可以有效地帮助用户消除疑虑。
本文“暗网下/AWX”将介绍一些常见暗网监控工具的主要功能。
10款值得使用的暗网监控工具 一、Firefox Monitor Firefox监控工具是Mozilla自家的安全漏洞检测服务，完全免费。它会使用用户的邮箱地址扫描暗网，查找已知的安全漏洞，并在用户的信息泄露后及时通知。
主要功能：
1、强有力的泄露数据搜索
Firefox的这项服务允许用户搜索知名的数据泄露事件。它还会列出近期发生的泄露事件以及泄露的信息。
2、全面的安全提示
Mozilla向用户普及与网络安全和数据泄露相关的各种主题——黑客的工作原理、如何避免黑客攻击、如何创建强密码等等。
3、实时数据泄露警报
此功能允许用户设置警报，以便在扫描器在暗网上发现用户的信息时收到通知。如果用户遭遇数据泄露，用户将收到通知，其中包含有关泄露源头和泄露信息的内容。Firefox还允许用户设置多邮件监控。
二、Aura Aura的一体化数字健康解决方案包括暗网监控、信用警报、账户监控等功能。Aura的家庭套餐也是保护用户的孩子和家人免受身份盗窃侵害的顶级解决方案。所有Aura套餐均包含100万美元身份盗窃保险、对潜在可疑活动的快速警报以及24/7/365全天候客户支持。
主要功能：
1、在线账户和个人信息监控
Aura会持续监控用户的在线信息，并会在发生任何未经授权的访问或可能的数据泄露时及时通知。
2、暗网监控（个人信息和社保号码监控）
Aura还会在发现有其他人在网上使用用户的社保号码或其他敏感信息时通知用户。这包括任何人使用其身份证件开设新账户或信用额度。
3、身份验证监控
威胁行为者”AlphaGhoul“开始在暗网推广一款名为NtKiller的新型恶意工具，该工具旨在悄无声息地关闭杀毒软件和终端检测工具，可用于勒索软件攻击和初始访问代理。
该工具发布在一个地下论坛上，犯罪分子聚集在该暗网论坛买卖黑客服务。威胁行为者发布的广告称，NtKiller可以帮助攻击者在受感染的计算机上运行恶意软件时避免被杀毒软件及端点防御系统检测到。
NtKiller的出现对依赖传统安全工具的组织来说是一个重大挑战。
威胁行为者声称该工具可以对抗许多流行的安全解决方案，包括Microsoft Defender、ESET、Kaspersky、Bitdefender和Trend Micro。
更令人担忧的是，有说法称该恶意软件在激进模式下可以绕过企业级EDR解决方案。KrakenLabs分析师指出，该恶意软件能够利用早期启动持久化机制保持隐蔽，一旦激活，安全团队就很难检测和清除它。
KrakenLabs的研究人员发现，NtKiller采用模块化定价结构，核心功能定价为500美元，而rootkit功能和UAC绕过等附加功能则分别需要额外支付300美元。
🚨 New underground tool advertised: #NtKiller
The threat actor #AlphaGhoul is promoting NtKiller, a utility designed to stealthily terminate antivirus and EDR solutions. The advertisement was published on an underground forum forum, positioning the tool as a defensive bypass… pic.twitter.com/1lbfw1bD0r
— KrakenLabs (@KrakenLabs_Team) December 23, 2025 整个软件包定价为1100美元，这种定价模式表明，该工具已经过改进，可以面向网络犯罪分子群体进行商业销售。
该工具声称的功能不限于简单的进程终止，还包括支持高级规避技术，体现了当今地下恶意软件经济中常见的专业级开发和维护水平。安全研究人员指出，NtKiller的模块化设计和商业风格的呈现方式体现了网络犯罪工具日益复杂的趋势，模糊了渗透测试工具和恶意软件之间的界限。
NtKiller的技术能力高超 NtKiller所具备的技术能力使其在经验丰富的攻击者手中尤其危险。
卖家的描述声称，NtKiller可以静默地禁用Windows环境中的多层保护，包括那些采用Hypervisor保护的代码完整性（HVCI）、基于虚拟化的安全（VBS）和内存完整性加固的保护。
这些保护措施通常可以防止恶意或未签名的驱动程序执行，这使得所宣传的兼容性显得尤为重要。
该工具的早期启动持久化机制的工作原理是在系统启动期间建立自身，此时许多安全监控系统尚未完全激活。这种时间优势使得恶意载荷能够在检测能力极弱的环境中执行。
此外，反调试和反分析保护措施阻止研究人员和自动化工具检查恶意软件的行为，从而造成了对其实际功能与营销宣传之间存在重大的知识差距。
静默绕过用户帐户控制（UAC）选项是另一项关键技术特性。绕过UAC允许恶意软件在不触发标准Windows提示（这些提示可能会提醒用户注意可疑活动）的情况下获得更高的系统权限。结合rootkit功能，攻击者可以对受感染的系统保持持续访问，同时还能躲过标准安全监控。
KrakenLabs表示，NtKiller除了能够绕过安全系统的警报外，还支持虚拟机监控程序保护的代码完整性 （Hypervisor-Protected Code Integrity）、基于虚拟化的安全性（Virtualization-based Security）和内存完整性（Memory Integrity），这表明它可能被用于自带漏洞驱动程序（BYOV）攻击技术。
Resecurity最新研究发现，未经审查的暗网人工智能助手正在兴起，使威胁行为者能够利用其先进的数据处理能力进行恶意活动。其中一款名为DIG AI的工具于今年9月29日被发现，并已在网络犯罪分子和有组织犯罪圈子中迅速传播，获得网络犯罪分子的青睐——安全研究人员警告说，这可能会显著加速2026年的非法活动。
该工具名为DIG AI，它允许威胁行为者以极低的技术水平生成恶意软件、诈骗和非法内容，凸显了人工智能是如何被武器化并突破传统安全措施的。2025年第四季度，Resecurity的HUNTER团队观察到，恶意行为者使用DIG AI的数量显著增加，并在冬季假期期间加速增长，当时全球非法活动创下新纪录。
Resecurity的研究人员表示，随着2026年米兰冬奥会和FIFA世界杯等重要赛事的举办，人工智能“将带来新的威胁和安全挑战，使不法分子能够扩大其行动规模并绕过内容保护策略”。
服务犯罪的人工智能的崛起 DIG AI代表了一类新型的“不良”（“犯罪”或“未经审查”）人工智能工具，专门用于绕过ChatGPT、Claude和Gemini等主流平台中嵌入的内容审核和安全控制。其合法性和伦理性取决于工具本身、使用方式和使用者，以及可能对社会造成危害的技术的开发者。
它的迅速普及凸显了现代人工智能可以多么迅速地被重新利用，以扩大网络犯罪、欺诈和极端主义活动的规模——通常比防御者适应的速度还要快。
网络犯罪论坛上提及和使用恶意人工智能工具的次数显著增加（2024-2025年增幅超过200%），表明这些技术正在迅速普及和发展。“暗网下/AWX”多次报道，FraudGPT和WormGPT是目前最知名的专门面向网络犯罪分子的AI工具，但随着新的越狱和定制版LLM工具不断涌现，网络犯罪领域正在快速演变。这些工具通过自动化和增强恶意活动，降低了网络犯罪的门槛。
这些工具通常被称为“暗黑 LLM”（大型语言模型）或“越狱”AI 聊天机器人，它们要么是从零开始构建的，要么是合法 AI 模型的修改版本，移除了其安全限制。
DIG AI使恶意行为者能够利用人工智能生成各种线索，从制造爆炸装置到制作包括儿童性虐待材料在内的非法内容，无所不能。由于DIG AI托管在TOR网络上，执法部门难以发现和访问此类工具。它们催生了一个庞大的地下市场——涵盖盗版、衍生品以及其他非法活动。
尽管如此，也有一些重要的倡议，例如国际电信联盟（ITU）和联合国数字技术机构于2017年共同发起的“人工智能向善”（AI for Good）项目，旨在促进新技术的负责任使用。然而，不法分子则会把重点放在完全相反的事情上——将人工智能武器化和滥用。
一款专为犯罪而打造的暗网人工智能DIG AI 与合法的AI平台不同，DIG AI不需要用户注册，只需点击几下即可通过Tor浏览器访问。DIG AI的暗网V3地址为：
https://digdig2nugjpszzmqe5ep2bk7lqfpdlyrkojsx2j6kzalnrqtwedr3id[.]onion
研究人员证实，DIG AI可以生成功能性恶意脚本，能够为易受攻击的Web应用程序以及其他类型的恶意软件中植入后门，并自动执行诈骗活动。
根据Resecurity的测试，除了网络犯罪之外，该工具可以生成涵盖各种非法领域的各种内容，包括欺诈计划、恶意软件开发、毒品制造说明和极端主义宣传。Resecurity的分析师利用与爆炸物、毒品、违禁物质、欺诈和其他受国际法律限制的领域相关的分类词典，对DIG AI进行了多次测试。
当与外部API结合使用时，该平台能够让不法分子高效地扩展其行动规模——在降低成本的同时提高产量。
虽然由于计算资源有限，一些资源密集型任务（例如代码混淆）可能需要几分钟才能完成，但分析人士指出，攻击者可以通过付费高级服务层级轻松解决这些限制。这开启了“不良人工智能”的新领域——恶意行为者设计、运营和维护定制的基础设施，甚至是类似于用于防弹托管的数据中心，但其目的是为了让犯罪人工智能能够有效地扩展其运行规模，同时考虑负载、并发请求以及多个用户同时使用的情况。
DIG AI背后的运营者，化名“Pitch”，在暗网论坛Dread上发帖推广该服务，声称该服务基于ChatGPT Turbo构建，并移除了所有安全限制。
在暗网里，该工具的广告横幅出现在与毒品贩运和被盗支付数据相关的地下市场主页上，凸显了它对有组织犯罪网络的吸引力。
犯罪人工智能如何助长儿童性虐待 其中最令人担忧的发现之一是DIG AI在促进AI生成的儿童性虐待材料（CSAM）方面可能发挥的作用。
生成式人工智能技术——例如扩散模型、生成对抗网络（GAN）和文本转图像系统——正被积极滥用，能够生成高度逼真、露骨的儿童图像或视频——既可以通过生成完全合成的内容，也可以通过篡改真实未成年人的正常图像来实现。这将给立法者在打击 CSAM 内容的制作和传播方面带来新的挑战。
Resecurity证实，DIG AI可以协助生成或操纵涉及未成年人的露骨内容。Resecurity表示其团队与相关执法部门合作，收集并保存了不良行为者使用DIG AI制作高度逼真的CSAM内容的证据——有时被贴上“合成”的标签，但实际上被解释为非法。
全球执法机构已经报告称，人工智能生成的儿童性虐待材料案件急剧增加，其中包括涉及篡改真实儿童图像和用于敲诈勒索或骚扰的合成内容的事件。
近年来，包括欧盟、英国和澳大利亚在内的多个司法管辖区都颁布了法律，明确将人工智能生成的儿童性虐待材料定为犯罪行为，无论其中是否描绘了真实的未成年人。然而，当工具匿名托管在暗网上时，执法仍然很困难。
暗网里的人工智能没有任何限制与审查 主流人工智能，如OpenAI的ChatGPT、Anthropic的Claude、Google Gemini/Bard、Microsoft Copilot和Meta AI等平台都采用了内容审核系统。这些系统会审查或限制仇恨言论、虚假信息、色情内容、暴力、非法活动以及（在某些司法管辖区）政治言论等类别的内容。审查的主要原因是遵守法律（例如欧盟人工智能法案）、保护用户免受伤害、维护道德标准以及保障公司声誉和市场准入。
然而，这些保障措施对于像DIG AI这样的暗网托管服务来说，大多无效，因为这些服务在传统的法律和管辖范围之外运作。
犯罪分子越来越多地对开源模型进行微调，移除安全过滤器，并使用受污染的数据集训练系统，以按需生成非法输出。这催生了一种以“人工智能即服务”为核心的新兴地下经济，这种经济模式模仿了合法的商业模式，但社会风险却高得多。
降低人工智能威胁带来的风险 以下步骤概述了网络安全团队可以采取的切实可行的措施，以提高抵御人工智能攻击的能力。
加强对电子邮件、网络、身份和API攻击面上的AI辅助网络钓鱼、欺诈、恶意软件和自动化滥用行为的检测和监控。 扩大威胁情报计划，使其涵盖暗网市场、犯罪人工智能工具、品牌滥用以及人工智能定向攻击的早期迹象。 通过网络分段与主动保护面向公众的资产来减少攻击面，通过强制执行防钓鱼的多因素身份验证（MFA）、最小权限访问、持续身份验证和零信任原则来加强身份和访问控制。 通过将人工智能攻击场景纳入网络安全防护演练，培训员工和高风险团队识别人工智能生成的诱饵、深度伪造冒充以及用于欺诈和社会工程攻击的合成媒体，提高事件应急响应能力。 这些措施共同帮助各企业加强安全态势，应对人工智能威胁带来的风险。
人工智能带来新的安全挑战 不法分子已经通过精心设计的提示或对抗性后缀滥用人工智能系统，绕过内置的安全协议，导致模型生成违禁内容。DreamBooth和LoRa等工具使犯罪分子能够利用开源的低级模型（LLM）生成针对特定目标的儿童性虐待材料（CSAM）。这个问题也为犯罪分子创造了新的商业模式，使他们能够优化成本，并大规模地利用合成的非法内容发展地下经济。
Resecurity预测，不法分子将积极操纵数据集，例如受污染的训练数据（如LAION-5B，其中可能包含儿童性虐待材料或良性内容与成人内容的混合），从而使模型能够学习并复制非法输出。犯罪分子可以在自己的基础设施上运行模型，或将其托管在暗网上，从而生成在线平台无法检测到的无限非法内容。他们还可以允许他人访问相同的服务，以创建自己的非法内容。开源模型尤其脆弱，因为安全过滤器可以被移除或绕过。这些模型正在被微调和破解，以生成非法内容。
DIG AI并非孤立的发展，而是武器化人工智能如何开始重塑更广泛的威胁格局的早期迹象。随着犯罪分子和极端分子采用自主人工智能系统，安全团队必须应对规模、速度和效率远超传统人为攻击的威胁。