整个攻击流程并不复杂。黑客首先会发送经过精心包装的钓鱼邮件，把内容伪装成工作文件、法律函件、研究材料、投资报告等，再附上压缩包、快捷方式文件或者伪装文档，引导目标点击打开。

受害者一旦打开相关文件，电脑可能会在后台运行隐藏脚本，并从代码托管平台下载后续文件。随后，这些脚本会收集电脑的系统版本、网络信息、运行环境和其他基本资料，再把收集到的信息传回攻击者控制的服务器或账户。

完成前期信息收集后，攻击者还可能继续安装远程控制木马。这样一来，对方就可以远程操作中招电脑，查看文件、执行命令，甚至继续安装其他恶意程序。

这次调查最值得注意的是，相关攻击环境中发现了多种本地人工智能工具和大模型运行痕迹，包括GPT4All、MstyStudio以及本地人工智能组件等，同时还出现了人工智能开发框架、语音转文字和编程相关工具。

简单来说，这意味着黑客不再只是用人工智能帮忙写几封钓鱼邮件，而是开始把人工智能工具放进自己的攻击环境里，用来整理资料、分析数据、处理文档、辅助编写程序，并提高整个攻击流程的效率。

调查还发现，多份金融投资、虚拟资产和加密货币相关诱饵文件带有人工智能生成特征。这些文件在内容、排版和语言上都更接近正常的投资报告和办公材料，更容易让收件人放松警惕。

目前发现的证据主要说明“金苏基”正在使用和测试现成的人工智能模型和工具，还没有发现其自行训练新大模型的证据。