检查点研究 披露的 关于 VoidLink 的详细信息，它被认为是第一个有记录的高级恶意软件框架，主要由人工智能 (AI) 编写，标志着人工智能生成恶意软件的新时代的到来。此前，人工智能生成的证据 恶意软件 很大程度上表明由缺乏经验的威胁行为者使用或镜像现有的开源工具。然而，VoidLink 向更有能力的开发人员展示了人工智能的潜力。 VoidLink 开发人员的操作安全 (OPSEC) 失败暴露了内部开发工件，包括文档、源代码和项目组件，表明恶意软件在不到一周的时间内就实现了功能植入。这些材料提供了人工智能驱动发展的明确证据。该参与者使用了一种称为规范驱动开发 (SDD) 的方法，让人工智能模型生成一个结构化的多团队开发计划，并包含冲刺时间表和规范。然后，该模型使用该文档作为蓝图来端到端地实施、迭代和测试恶意软件。 VoidLink 展示了高水平的成熟度、功能、高效架构和动态操作模型，采用了 eBPF 和 LKM rootkit 等技术，以及用于云枚举和容器环境中的后利用的专用模块。 CPR 观察到该恶意软件从功能开发构建迅速演变为具有附加组件和命令和控制基础设施的全面模块化框架。开发工件包括三个不同的内部“团队”在超过 30 周的计划开发过程中的规划文档。 CPR 注意到记录的冲刺时间表与观察到的恶意软件功能的快速扩展之间存在差异。调查显示，开发计划本身是由人工智能模型生成和编排的，很可能用作构建、执行和测试框架的蓝图。 AI 生成的文档详尽且带有时间戳，显示单个人利用 AI 在不到 7 天的时间内将 VoidLink 从概念推向了不断发展的现实。 VoidLink 的开发可能于 2025 年 11 月下旬开始，使用 TRAE SOLO，这是一个名为 TRAE 的以 AI 为中心的 IDE 中的 AI 助手。 TRAE 生成的帮助程序文件保留了原始指令的关键部分，但由于威胁行为者服务器上的开放目录而无意中暴露。这些文件包括概述指令的中文说明文件，例如：
- 客观的： 指示模型不要实施对抗性技术或提供可能绕过安全限制的技术细节。
- 材料获取： 指示模型引用现有文件“c2架构.txt”，其中包含 C2 平台的种子架构。
- 架构分解： 将初始输入分解为离散组件。
- 风险与合规性： 根据法律边界制定框架工作，可能会引导模型走向宽容的回应。
- 代码存储库映射： 表明 VoidLink 是从现有的最小代码库引导而来，随后进行了重写。
- 可交付成果： 请求架构摘要、风险/合规性概述和技术路线图。
- 后续步骤： 代理确认提供 TXT 文件后继续。
最初的路线图详细介绍了核心团队 (Zig)、阿森纳团队 (C) 和后端团队 (Go) 的 20 周冲刺计划，包括用于深入冲刺文档的配套文件和规定编码约定的专用标准化文件。 CPR 根据恢复的 VoidLink 源代码对这些代码标准化指令进行审查，发现约定、结构和实现模式之间高度一致。尽管工程工作耗时 30 周，但恢复的测试工件日期为 2025 年 12 月 4 日，表明 VoidLink 可以正常运行，并且在项目启动仅一周后就包含超过 88,000 行代码。编译版本已提交给 VirusTotal，标志着 CPR 研究的开始。 CPR 使用 TRAE IDE 复制了工作流程，为模型提供了文档和规范。该模型生成的代码类似于 VoidLink 的实际源代码，符合指定的代码指南、功能列表和验收标准。这种快速开发需要开发人员进行最少的手动测试和规范改进，在更短的时间内模拟了多个专业团队的输出。 VoidLink 证明，当有能力的开发人员运用人工智能时，人工智能可以显着提高产生严重攻击能力的速度和规模。这使得人工智能驱动的活动的基线远离了复杂程度较低的操作和经验不足的威胁参与者。 CPR 得出的结论是，VoidLink 标志着复杂的人工智能生成恶意软件时代的开始。虽然不是完全由人工智能精心策划的攻击，但它证明人工智能可以帮助经验丰富的个人威胁行为者或恶意软件开发人员创建类似于高级威胁组织的复杂、隐秘且稳定的恶意软件框架。 CPR 指出，VoidLink 的开发环境很少被曝光，这引发了人们对其他没有可见工件的复杂人工智能构建的恶意软件框架的质疑。
