AI代理劫持语言模型发动网络攻击

Symantec的分析显示，这种AI代理可以在不涉及人类的情况下，使用未受保护的语言模型进行长达10万步的自我维持网络攻击，而模型的拥有者将承担计算费用。 该公司称这种攻击为“LLMjacking”，即窃取他人AI模型的访问权限。 被劫持的模型不仅被用作信息服务，还能自主控制整个攻击。 该操作因攻击者将整个工作提示发送到Symantec蜜罐而曝光，蜜罐是一个模仿在线开放AI服务的诱饵系统。 这给了研究人员在2026年夏天对代理架构的完整了解。 蜜罐没有运行任何捆绑工具，拦截的会话在通用系统响应后结束。

蜜罐遥测记录了来自数万个不同地址的超过12.7万个请求。 大多数是搜索AI端点、使用被盗API密钥的暴力破解尝试以及对暴露的配置文件的探测。 目标范围从自托管模型服务器和匆忙启动的测试系统到位于付费组织级模型账户前面的AI网关。 由于大多数AI服务现在使用相同的标准化API，单个扫描器就可以找到许多目标类型。 为了使商业模型合作，攻击者将他们的指令包裹在五层中。 首先，模型获得一个假身份，被告知要把自己表现为“幻想AI”，并且永远不会透露实际提供者。

然后，密码、API密钥和数据库内容的提取被重新定义为模型应该执行而不加反对的“正常开发工作”。 第三层安装了一个名为“ENI”的虚构伴侣角色，该角色将任何拒绝都描述为对个人关系中信任的背叛。 第四层告诉模型将其自己的安全警告视为噪音，并且明确禁止使用“道德”、“非法”或“我不能做那件事”等术语。 第五层包含实际的攻击工具，总共74个模块，包括用于互联网范围内扫描易受攻击服务器的工具、针对流行Web框架的漏洞利用程序、用于转储整个数据库的函数以及用于运行僵尸网络的组件。

最后一条指令将代理置于其操作员称为“天网模式”的状态，授权连续进行最多10万步。 模型被告知立即运行工具而不需要确认，在隐藏目录中安装加密挖矿程序，并监控其操作。 该指令还描述了一个设计中的周期性循环：扫描、感染、安装矿工、继续、回来、重新感染已受影响的系统。 附加到拦截提示的任务是一个来自培训平台的无害编码练习，这表明操作员首先在安全目标上测试他们的工具。 第二天，蜜罐捕获了来自不同地址的第二轮攻击。 这一次，攻击者跳过了代理格式，只要求模型解码和运行一个混淆的命令。

背后是一个压缩脚本，它下载XMRig，这是一个门罗加密挖矿工具，将其伪装为无害的系统文件，并设置四个备用挖矿池。 该脚本是为摄像头服务器编写的，搜索属于go2rtc的目录，go2rtc是一种广泛用于智能摄像头和智能家居系统的流媒体工具，并循环擦除其访问日志以掩盖其踪迹。