2026年10月19日,据 Tom's Hardware 报道,一名开发者的 Mac 长期过热卡顿,最终由 AI 编程助手 Claude Code 揪出挖矿木马:XMRig 进程占用约 1175% CPU、压满 12 个核心,把温度顶到 112 摄氏度。
劈腿传闻一次"AI 抓贼"的意外发现
Tom's Hardware 记者 Mark Tyson 在 10 月 19 日的报道中还原了事发经过:这名开发者最初在 Reddit 发帖求助,抱怨 Mac 近几个月"运行得像一坨屎",风扇长期全速运转,机身底部烫得不敢放在腿上。他一度以为是散热硅脂老化,或是 Spotlight 索引后台抽风,直到一次代码审查中,Claude Code 突然弹出一条进程告警。
分手传闻Claude Code 提示道:"检测到 XMRig 任务,正在吞噬约 1175% CPU、约 12 个核心。"开发者随即打开活动监视器核对,果然找到一个隐藏的挖矿进程,而且删除后重启又会自动复活。他在帖子里写道:"这解释了我的 Mac 为什么一直卡得要命。"
复合传闻1175% CPU:数字背后的真相
"1175% CPU"在普通用户眼里像天书,但对多核芯片来说并不复杂。macOS 按核心叠加计算占用率:单个核心满负荷为 100%,1175% 意味着近 12 个核心被同时榨干。以苹果 M 系列芯片为例,这相当于大半块 SoC 的算力都在替别人挖门罗币,而开发者自己的编译任务只能捡剩饭。
明星婚礼
XMRig 是门罗币生态最流行的开源挖矿程序,攻击者常把它伪装成破解软件或系统更新塞进受害者设备。由于门罗币交易默认匿名,这类木马几乎无法被追踪。下表对比了这台 Mac 感染前后的关键指标:
| 指标 | 健康状态 | 感染 XMRig 后 |
|---|
| --- | --- | --- |
|---|
| CPU 总占用 | 10%-30% | 约 1175% |
|---|
| 等效核心数 | 2-4 个 | 约 12 个 |
|---|
| 处理器温度 | 40-60°C | 112°C |
|---|
| 风扇噪音 | 间歇转动 | 持续全速 |
|---|
| 电池续航 | 正常 | 明显缩短 |
|---|
五项指标全部异常,足以解释开发者口中"卡成幻灯片"的使用体验。
XMRig:门罗币矿工的"双面人生"
XMRig 本身是合法开源软件,常被硬件评测机构用来测试 CPU 多线程性能。但正因为它高效、支持跨平台,也成了挖矿木马最常用的载荷。安全机构统计显示,面向 macOS 的挖矿木马在 2023 年至 2025 年间快速增长,主要传播渠道包括破解软件站、伪造的 Flash 安装包和恶意 npm 依赖。
Reddit 原帖信息进一步证实,该开发者曾安装一款破解版视频剪辑插件,中招时间与此高度吻合。Claude Code 的日志显示,挖矿进程至少持续运行了数十小时,期间系统反复出现内存压力警告。那些"莫名其妙的卡顿",其实每一秒都在为攻击者贡献算力。
macOS 并非"无毒区"
长期以来,"Mac 不会中病毒"是许多用户的安全错觉。随着苹果自研芯片设备成为开发者主力机,macOS 恶意软件数量正快速攀升。此次事件最有价值的启示在于:发现威胁的不是传统杀毒软件,而是开发者日常使用的 AI 编程助手。
Claude Code 由 Anthropic 推出,能在终端里自主执行多步开发任务。当它在分析构建变慢的原因时,顺带翻了进程列表,结果意外撞见矿工。Reddit 跟帖里,不少开发者表示自己也曾遇到类似的神秘卡顿,只是从未深究。有用户评论道,AI 代理对系统日志的"全知视角",让它无意间成了最便宜的杀毒软件。
Mac 被植入 XMRig 挖矿木马:如何自查与清除
开发者清理时发现,XMRig 通过 LaunchDaemon 实现持久化,删除主程序后重启又会卷土重来。最终他手动清空 /Library/LaunchDaemons 下的可疑 plist、杀掉残留进程,才彻底摆脱矿工。安全专家建议的自查路径分四步:第一,打开活动监视器按 CPU 排序,寻找 xmrig、kdevtmpfsi 等特征进程;第二,检查 LaunchAgents 与 LaunchDaemons 目录里的陌生条目;第三,用 LuLu 或 Little Snitch 观察外联请求,门罗币矿池域名是明显信号;第四,更新系统并轮换所有密码。
更要警惕的是,挖矿木马的出现往往意味着设备早已失守,键盘记录器或凭据窃取器可能一并潜伏。因此,这次"AI 抓贼"虽有趣,后续的账号审计与密钥轮换才是真正的收尾工作。
FAQ
Q1:Claude Code 为什么会发现挖矿木马?它有安全防护功能吗?
A1: Claude Code 的定位是编程助手,并非安全工具。它之所以能发现 XMRig,是因为开发者在排查系统变慢原因时,它主动读取了进程列表和 CPU 负载。AI 代理对系统状态的全面感知,让它无意间扮演了"杀毒软件"的角色。
Q2:门罗币挖矿木马为什么专盯 CPU,而不是显卡?
A2: 门罗币采用的 RandomX 算法专门针对 CPU 优化,GPU 挖矿效率反而更低。攻击者不需要高端显卡,任何一台联网电脑都能变成矿机。XMRig 提供苹果芯片的适配版本,这也解释了为何开发者的 12 个核心会被同时占满。
从"电脑变慢"到"揪出矿机",这起案例提醒 Mac 用户:风扇狂转、温度破百的背后,可能藏着一台替别人赚钱的矿机。而 Claude Code 揪出挖矿木马的过程,也让人重新审视 AI 助手的安全价值。
