Claude Code 发现加密货币矿工，揭示更大的安全悖论

据称，Claude Code 在协助一名开发者调查一台温度达到 112 摄氏度的 Mac 时，发现了一个占用 1,175% CPU 的加密货币矿工。

这起 Claude Code 发现加密货币矿工的事件，听起来像是代理式 AI 的一次漂亮胜利。该编程代理顺着可疑的温度读数展开排查，识别出一个 XMRig 进程，并提出移除其背后的文件。

然而，这一事件也暴露出一个令人不安的矛盾。系统之所以有用，是因为它能够检查进程并提出系统更改建议；而这些能力也正是编程代理可能带来风险的原因。

该说法来自 Reddit 用户 UntilHEX，而非已发表的取证调查。现有截图和后续评论支持一个可信的事件序列，但并未说明该软件是如何进入系统的。

这一验证缺口很重要。Claude Code 看似发现了一个真实的运行问题，但读者不应将一则病毒式传播的报告误认为经过验证的恶意软件基准测试。

Claude Code 顺着高温锁定 XMRig

这个故事最值得关注的部分，并不是 Claude Code 识别出了 XMRig，而是该代理调查了一个意料之外的物理信号。

UntilHEX 表示，他们曾要求 Claude Code 构建一款 Mac 温度监测应用。该应用显示的原始传感器数值似乎异常偏高，促使该代理调查 CPU 活动情况。

根据原始 Reddit 叙述，Claude 识别出一个名为 xmrig 的进程，占用了约 1,175% 的 CPU。该代理将这一读数解释为约 12 个核心处于高负载状态。

当软件同时使用多个逻辑核心时，macOS 的进程报告中出现超过 100% 的百分比属于正常现象。因此，一个几乎占满 12 个核心的进程，显示为接近 1,200% 并不奇怪。

Apple 的文档说明，活动监视器会显示活跃进程的 CPU 占用情况，同时展示所有核心的系统级使用情况。即使具体解读取决于 Mac 机型，如此规模的持续读数仍指向高强度工作负载。

据称，Claude 将该进程与峰值达 112 摄氏度的温度读数联系起来。该数值来自用户的监测输出，尚未得到独立复现。

随后，该代理识别出一个看似用于启动的机制。原始报道中审阅的截图表明，相关文件已被配置为在 Mac 启动时重新启动该矿工程序。

Claude 对情况的描述很直接：计算机正在运行一个加密货币矿工，而该代理表示自己并未安装它。它提出停止该进程、禁用其启动项，并隔离相关文件。

该用户后来表示，Claude 完成了大部分清理工作。据称，其中一个文件需要手动删除，因为该代理缺少必要的访问权限。

之后，UntilHEX 使用 Malwarebytes 进行了二次检查。公开叙述中并未包含完整扫描报告、恶意软件样本、文件哈希、网络指标或独立取证分析。

这些缺失限制了可得出的结论。它们使研究人员无法识别确切的恶意软件家族、安装途径、持久化机制或挖矿目的地。

XMRig 本身并非天生恶意。其官方文档将其描述为一款合法的开源 CPU 和 GPU 挖矿应用，可在多种操作系统上使用。

安全问题取决于是否获得授权。在机器所有者同意的情况下运行 XMRig，是普通的加密货币挖矿；秘密安装或运行它，则属于 cryptojacking。

这一区别至关重要，因为识别出 xmrig 进程并不能证明是哪个安装程序将它放入系统。它同样无法表明该二进制文件是否被修改、是否与其他恶意软件捆绑，或是否伪装成相关文件名。

因此，这个病毒式传播的故事只支持一个较为有限的结论：Claude Code 注意到了极端的资源占用，并将其追溯到与加密货币挖矿相关的软件。

这仍然是一个有用的结果。但它并不能证明 Claude 找到了最初的入侵来源，或移除了所有对此负责的组件。

为什么 Claude Code 发现加密货币矿工很重要

Claude Code 看起来并不是从恶意软件检测任务开始的。它是通过检验计算机是否符合自身软件输出，才得出了这一安全发现。

这一过程使该事件不同于标准的杀毒软件警报。该代理原本是在协助构建监测工具，随后传感器数据迫使它对周边环境提出疑问。

传统软件往往止步于其被分配功能的边界。温度工具可以显示一个数值，却不一定会判断该数值为何异常。

代理则可以追查这种偏差。它可以检查正在运行的进程、比较资源使用情况、查看持久化条目，并在一次对话式工作流中提出修正措施。

这种行为体现了编程代理的实际吸引力。它们能够连接代码、操作系统状态、日志和用户意图，而无需为每一步都使用独立界面。

在这个案例中，物理症状提供了线索。发热且卡顿的 Mac 形成了证据，而正在开发的应用本身无法单独解释这些现象。

据称，该代理从传感器验证转向了进程诊断。这是代理式系统与代码补全工具不同之处的一个小例子。

代码补全助手会在编辑器中预测或生成文本。代理则可以收集额外证据，并使用工具在计算机上执行操作。

压力首先会落在传统的故障排查工作流上。开发者通常需要打开活动监视器、按 CPU 使用率排序、调查可疑进程，并手动检查启动位置。

Claude Code 将其中数个步骤压缩进了一段对话。用户仍掌握最终决定权，但该代理整理出了一套可信的解释和清理方案。

这并不意味着活动监视器已经过时。Apple 长期以来一直随 macOS 提供该工具，它无需 AI 订阅就能揭示同类持续 CPU 需求。

差异在于主动性和综合能力。据称，用户只要求一个温度应用，而 Claude 在所得数据看起来不对劲时扩大了调查范围。

这种主动性对处理陌生系统的开发者很有价值。当症状跨越应用代码、系统配置和安全边界时，它同样能提供帮助。

这个故事更接近可观测性工作，而非传统的杀毒软件检测。可观测性从系统信号出发，并利用它们判断行为为何偏离预期。

Claude 并不需要依赖某个文件恶意的特征签名。据称，它注意到温度和处理器活动与预期工作负载并不相符。

这种方法存在局限。高 CPU 使用率可能来自编译、视频渲染、本地模型、浏览器进程、索引，或合法挖矿。

上下文会将异常转化为有意义的警告。这里，用户是在构建一款轻量级监测工具，而不是有意运行持续性的加密货币工作负载。

因此，这一案例以不同方式给安全厂商和开发者工具制造商带来压力。安全产品必须清晰解释发现结果，而编程代理必须证明它们能够调查问题，却不会制造新的风险暴露。

它也改变了用户预期。一旦代理能够检查实时系统状态，开发者便会期待它发现影响任务的明显冲突。

这种预期不仅限于恶意软件。代理可能会注意到存储空间耗尽、后台服务故障、端口冲突、内存压力，或被放置在不安全文件中的凭据。

采用这些工具的团队将需要可搜索的记录，记录代理观察到和更改过的内容。结构化的工程知识库可以保留这些决策，以供日后审查。

因此，即使存在证据局限，Claude Code 恶意软件检测的说法仍值得关注。它表明，当代理获得足够的本地上下文时，一项编程任务如何能够演变成一次运行调查。

有帮助的代理与危险的权限，本质上是同一件事

核心反转很简单：Claude Code 之所以能够提供帮助，是因为它拥有实质性的系统可见性；而这种可见性也定义了它的安全风险。

如果一个编程代理无法检查进程、读取项目文件或运行诊断命令，它很难追查那台过热的 Mac。

授予这些能力会扩展代理可以完成的工作，也会扩大错误命令、恶意提示、受感染依赖项或草率批准所造成的后果。

Anthropic 自己的沙箱指南描述了这种张力。Claude Code 使用权限和操作系统边界来控制文件及网络访问。

Anthropic 表示，Claude Code 默认仅可读取，并会在执行大多数修改状态的命令前征求确认。安全命令可能获得不同处理，而敏感操作则需要批准。

该公司推出沙箱机制，是为了减少重复提示，同时不授予不受限制的访问权限。沙箱定义了代理可以写入的位置，以及它可以访问哪些网络资源。

Anthropic 报告称，沙箱机制在内部使用期间将权限提示减少了 84%。这一由公司报告的数据衡量的是工作流摩擦，而不是对所有攻击的防护能力。

这一区别很重要，因为用户经常会为便利性优化代理。反复确认可能导致疲劳，促使人们在未审查后果的情况下批准命令。

完全取消提示又会带来另一个问题。代理可以更快行动，但在用户介入前，有缺陷的计划可能影响更多文件和服务。

这起 Mac 事件说明，权限应当保持可见。据称，Claude 提出停止矿工进程并移动文件，而不是悄无声息地删除它们。

这种克制是一项功能。仅凭一个进程名称，无法充分证明所有相关文件都具有恶意性，尤其是 XMRig 可以被合法使用。

隔离比立即销毁更安全，因为它保留了证据并支持恢复。如果文件被安全处理，它也能支持后续分析。

不过，让 AI 系统进行修复仍需要人类判断。编程模型并不会仅仅因为能够调用 shell 命令，就成为值得信赖的终端检测引擎。

它可能误解进程树、误读配置文件，或移除属于合法软件的启动项。它也可能忽略另一个独立的持久化组件。

因此，AI 编程代理的安全性取决于分层控制。模型推理是一层，而操作系统限制、批准规则、日志记录、备份和终端保护则构成其他层。

Apple 在其macOS 恶意软件防御中描述了三层措施：阻止执行、拦截已知恶意软件，以及修复已经运行的软件。

Gatekeeper 会根据签名和公证要求检查下载的软件。XProtect 则通过签名和行为分析来检测并移除已知或可疑的恶意软件。

这些机制并不能保证每个恶意程序都会被拦截。新变种、经修改的二进制文件、被滥用的合法工具，以及由用户批准的执行操作，都可能令检测变得复杂。

该报告并未确定 Gatekeeper 或 XProtect 是否失效。它没有披露 macOS 版本、安全配置、安装程序来源，或感染发生前的操作。

同样，现在就认定 Claude 绕过了 Apple 防御体系中的盲点也为时过早。公开证据无法说明 XProtect 是否曾评估过相关文件。

该代理也是在症状已相当严重后才开始工作。一台消耗近 12 个核心、并达到所报告温度的设备，本身就已在发出重大问题的信号。

这不是安静的预防性检测，而是在所谓的挖矿程序已经明显到足以拖慢电脑后所进行的被动诊断。

促成这次诊断的同类访问权限也需要受到谨慎约束。开发者不应因此就给予每个编程代理对个人文件、凭据或系统服务的无限制控制权。

更安全的配置是尽可能将代理限制在工作目录内。网络目标和特权命令应接受单独审查。

开发者还应让代理远离无关的敏感信息。源代码仓库往往与云凭据、签名密钥、浏览器会话和生产环境配置并存。

一条看似有用的诊断命令，若其输出进入模型上下文或会话日志，便可能暴露这些资产。即使代理并无恶意意图，风险依然存在。

这个故事的启示并非更广泛的访问权限总能带来更好的安全性，而是受控访问可让代理关联起那些被孤立工具分散留下的证据。

病毒式传播的检测案例并非取证报告

这一说法仍有足够可信度值得分析，但信息过于不完整，无法证明 Claude 清除了完整的恶意软件感染。

原始证据主要包括一篇 Reddit 帖子、截图、用户评论以及后续媒体报道。似乎没有独立研究人员检查过这台设备或相关文件。

核心数字同样来自该用户的叙述。记者并未复现 1,175% 的 CPU 占用读数，也未独立验证所称 112 度的峰值。

Tom’s Hardware 准确地将该事件描述为用户报告的发现。其报道指出，这台身份不明的 Mac 拥有多少核心尚不清楚。

这一不确定性会影响解读。该进程显然被描述为资源需求很高，但公开材料没有说明具体的 Mac 型号或温度测量方法。

温度工具对传感器的标注方式也可能不同。报告中的峰值可能代表某个特定核心、芯片传感器、热点或经过解释的数值，而非统一的 CPU 温度。

这些都不能反驳该用户的说法。它们只是划出了令人信服的截图叙述与可复现技术证据之间的界限。

感染路径则是更大的缺口。UntilHEX 并未公开确定究竟是哪个下载文件、安装程序、脚本、扩展程序或遭入侵的软件包引入了挖矿程序。

没有这个答案，其他用户便无法判断自己是否面临相同风险。安全研究人员也无法仅根据报告创建可靠的指标。

XMRig 这个名称只能作为起点。恶意软件运营者经常滥用合法的挖矿软件，因为它已经能完成他们所需的高成本计算工作。

早期 Mac 恶意软件就体现过这一先例。Malwarebytes 记录了 BirdMiner malware，它通过 Linux 模拟器使用 XMRig，并消耗受害者的计算资源。

这个历史案例并不能识别 UntilHEX 的 Mac 上运行的软件。它仅表明，XMRig 过去曾出现在未经授权的 Mac 挖矿活动中。

识别出挖矿程序与清除感染之间存在重大差异。完整调查应检查持久化机制、父进程、下载文件、网络连接、账户以及近期的管理员操作。

在清除之前，还应保留哈希值和时间戳。这些细节可以显示一个看似更新程序的组件是否属于同一行动，还是另有来源。

移除可见的挖矿程序或许能停止当前的 CPU 消耗，但仍可能留下下载器。幸存的持久化机制可能在之后重新安装载荷。

凭据暴露也构成另一项担忧。能够访问开发者账户的恶意软件，可能接触令牌、浏览器数据、源代码、SSH 材料或环境文件。

Reddit 账户并未表示此类访问曾发生。然而，终止挖矿进程无法证明凭据未被触碰。

在理解持久化机制和入侵路径前，专业响应应将主机视为可能已遭入侵。适当的应对方式取决于机器的角色与敏感程度。

个人测试电脑与存有生产凭据的工作站面临不同风险。后者可能需要轮换密码、撤销令牌、进行更深入的取证审查，或重建可信系统。

因此，Claude 的清理协助不应成为安全性的最终证明。用户后续进行的 Malwarebytes 扫描是合理的二次检查，但公开帖子没有提供其结果。

怀疑态度同样适用于关于 AI 表现的说法。一次成功案例无法衡量 Claude Code 的恶意软件检测准确率、误报率，或其面对不同攻击时的可靠性。

真正的评估需要使用一组受控的干净和受感染设备。研究人员应将发现结果与成熟工具进行比较，并在记录完善的权限条件下重复测试。

这类研究需要衡量漏检威胁和有害修复行为，而不仅是成功检测。一个能发现某个挖矿程序却删除合法启动服务的代理，并不可靠。

目前，最好将该事件视为一个生动的故障排查案例。它展示了代理建立有用关联的能力，同时更广泛的安全主张仍未得到证实。

下一批 Claude Code 安全案例必须展示什么

下一类有价值的证据应来自可复现的调查、权限记录，以及能够证明修复在重启后仍然有效的材料。

首先值得关注的是，UntilHEX 或安全研究人员是否会发布本案的技术指标。文件哈希、路径、启动项和网络目标将使独立分析成为可能。

如果这些细节能够确认某个已知恶意软件家族及其持久化链条，该叙述将更具说服力。如果没有任何工件出现，它仍将是一个有启发性但未经验证的轶事。

第二个信号是清理的持久性。被移除的进程应在注销、重启和再次扫描后仍保持不存在。

若它重新出现，就表明 Claude 处理的是症状而非完整机制。若持续未出现，则会增强其建议的修复措施确实触及相关持久化文件的说法。

即便如此，仅凭未出现也无法证明没有凭据或无关文件受到影响。它只能验证较为狭义的清理结果。

第三个信号涉及代理供应商如何公开本地操作。开发者需要更清晰的记录：运行了哪些命令、修改了哪些文件、哪些访问被拒绝，以及证据来自何处。

Anthropic 在权限和沙箱方面的持续工作将十分重要。有用的代理需要足够的自主性进行调查，而组织则需要可执行的边界和可审查的日志。

安全厂商同样拥有机会。它们可以将经过验证的端点发现结果引入代理工作流程，而无需让语言模型独立判断某个进程是否恶意。

这种安排结合了不同优势。端点工具提供特征、遥测和修复控制，而代理则负责解释证据并协调已获批准的步骤。

所报告的 Claude Code 加密货币挖矿程序发现，正指向这种混合模式。代理发现异常并整合上下文，而成熟的安全软件则提供了独立验证步骤。

开发者如今就应保持这种分离。让代理帮助解读症状并起草响应计划，但应使用操作系统和安全工具确认发现结果。

他们还应审查每项特权操作。代理请求许可删除、禁用或隔离某个对象时，它是在提出建议，而非给出已验证的裁决。

该事件没有理由让人因 XMRig 出现在每台 Mac 上而恐慌。但它确实提醒人们，应调查持续高温、性能不佳、意外的启动项和无法解释的 CPU 需求。

它也挑战了人们对编程代理的一项常见假设：它们的价值并不止于生成的代码能够编译。

更有意思的能力在于，它们可以将软件输出与电脑的实际状态进行比较。这能够暴露原始请求从未提及的环境问题。

这种权衡依然不可避免：更多上下文有助于更好的诊断，而更广泛的访问权限会增加错误或遭操纵的代理可能造成的损害。

任何尝试使用 Claude Code 检测恶意软件的人，都应从有限权限、保留日志和独立扫描器开始。敏感设备值得采用更严格的边界和文档化的事件响应路径。

下次代理发现可疑进程时，在庆祝之前请先问三个问题：什么证据能够识别它？它是如何持久化的？什么能证明它仍然被移除了？这些答案将决定该代理发现的是一个麻烦、遏制了一次入侵，还是仅仅讲出了一个颇具说服力的故事。