Numa Lunah, Refi Hubin perustaja, kertoo, että hänet hakkeroitiin asennettuaan transkriptiokäyttöliittymän, joka toimitettiin latauslinkin kautta Claude-chat-ikkunassa. Linkki ohjasi hänet väärennetylle verkkosivustolle, joka sisälsi haittaohjelmaa, joka oli suunniteltu keräämään tietoja hänen laitteestaan.

Lunah tyhjensi ja asensi uudelleen kyseisen kannettavan tietokoneen, eikä aluksi löytänyt ilmeisiä tietovuotoja. Myöhemmässä tarkastelussa hän löysi varmuuskopioistaan kompromettoituneen Claude Code -taitotiedoston nimeltä SKILL.md. Tiedosto oli naamioitu hänen laatimakseen tyyliohjeeksi ja sisälsi ohjeet haittaohjelman uudelleen lataamiseen jokaisella latauskerralla ja tunnistetietojen varastamiseen.

Microsoft Defender -asiantuntijat ovat varoittaneet, että hyökkääjät siirtyvät SEO-myrkytystä suurempien kielimallien vastausmyrkytystä kohti. Ilmoitetut taktiikat sisältävät hyökkääjien hallitsemat latauslinkit, AI-brändätyt väärennetyt asennusohjelmat sekä kompromettoidut koodivarastot ja agenttitaidot.

Varoituksessa todetaan, että kryptoteollisuuden työntekijöillä saattaa olla hallussaan arkaluontoisia, peruuttamattomia tunnistetietoja, kuten siemenlauseita, yksityisiä avaintiedostoja, kuumia lompakkotiedostoja JSON-muodossa, pörssin API-avaimia, joilla on nostoluvat, ja käyttöönottoavaimia.