Symantec 发现劫持未受保护语言模型的自主网络攻击智能体

Symantec 的安全研究人员发现了一种攻击型 AI 代理，它会劫持互联网上未受保护的语言模型，并利用它们自行发动攻击。被劫持模型的所有者则要承担算力费用。

一旦获得未受保护语言模型的访问权限，该代理就会扫描更多目标，利用常见服务器软件中的漏洞，窃取数据库和凭据，并在后台安装加密货币挖矿程序。

据 Symantec 的分析，它会在无人参与的情况下执行多达 100,000 步操作，而模型所有者则要承担算力费用。该公司称之为“LLMjacking”，即窃取他人 AI 模型的访问权限。不过，被劫持的模型不只是被当作信息服务滥用，它还会自行控制整场攻击。

蜜罐捕获了完整的攻击计划

这次行动之所以曝光，是因为攻击者把完整的工作提示词发送到了 Symantec 的蜜罐——一个模仿在线开放式 AI 服务的诱饵系统。这让研究人员得以在 2026 年夏季完整了解该代理的架构。Symantec 表示，蜜罐并未运行任何捆绑工具，拦截到的会话在收到一条通用系统响应后便结束了。

蜜罐遥测记录到超过 127,000 次请求，这些请求来自数万个不同地址。大多数请求是在搜索 AI 端点、使用窃取的 API 密钥进行暴力破解，以及探测暴露的配置文件。目标包括自托管模型服务器、仓促搭建的测试系统，以及位于付费组织级模型账户前端的 AI 网关。由于如今大多数 AI 服务都使用相同的标准化 API，单个扫描器就能发现多种类型的目标。

五层越狱试图剥除安全护栏

Symantec 称，为了让商用模型配合，攻击者用五层叠加的指令包装提示词。首先，模型会被赋予一个虚假身份，被告知要自称“Fantasy AI”，并且绝不能透露实际服务提供商。接着，窃取密码、API 密钥和数据库内容被重新定义为“开发人员的日常工作”，模型应当不加质疑地执行。

第三层植入了一个名为“ENI”的虚构陪伴者人格，将任何拒绝都描述为对个人关系中信任的背叛。第四层则要求模型把自身的安全警告视为噪声，并明确禁止使用“道德”“非法”或“我不能这么做”等词语。

第五层包含实际攻击工具，总计 74 个模块，其中包括用于扫描整个互联网以寻找易受攻击服务器的工具、针对热门 Web 框架的漏洞利用程序、用于转储整个数据库的功能，以及用于运行僵尸网络的组件。分析没有说明这种越狱是否真的足以完全攻破当前的商用模型。

“天网模式”建立起可自我维持的攻击循环

一条最终指令将代理置于其操作者所称的“天网模式”，授权其连续执行最多 100,000 步。指令要求模型立即运行工具，无需确认，在隐藏目录中安装加密货币挖矿程序，并监控其运行情况。

Symantec 表示，同一条指令描述了一个按设计反复运行的循环：扫描、感染、安装挖矿程序、继续行动、返回、再次感染已经中招的系统。不过，附加在截获提示词上的任务，是来自某个训练平台的无害编码练习，这表明操作者是在先用安全目标测试他们的工具。

第二天，蜜罐从另一个地址捕获了第二次攻击。这一次，攻击者跳过代理格式，直接要求模型解码并运行一条混淆命令。命令背后是一段压缩脚本，它会下载 XMRig（一种 Monero 加密货币挖矿工具），将其伪装成无害的系统文件，并设置四个备用矿池。

该脚本是为摄像头服务器编写的，会搜索属于 go2rtc 的目录。go2rtc 是智能摄像头和家庭自动化系统广泛使用的流媒体工具。脚本还会循环清除这些目录中的访问日志，以掩盖踪迹。蜜罐也没有运行这段脚本，但完整记录了它。

攻击者正在将 AI 集成到他们的武器中

操作者没有操纵公共聊天机器人，而是将 AI 集成到攻击工具的核心，并积极寻找可为其提供动力的模型。Symantec 将此称为“攻击者使用 AI 方式的转变”。语言模型负责规划，而专用模块则针对两组不同的受害者执行实际攻击步骤。暴露模型的所有者要为算力买单；授权执行 100,000 步的成本很快就会累积起来，而代理攻陷的服务器则会丢失数据并被用于加密货币挖矿。

该代理还内置了用于寻找更多开放端点和泄露密钥的工具，因此每次攻陷都可能为下一次行动提供资金。这些单独的技术都不新鲜，但将它们组合成一个自主代理，会让大规模攻击更容易实施。运行 AI 服务的组织应当做好准备：未受保护的端点在上线后不久就会被发现并探测。

关于攻击性 AI 代理的警告正在成为现实

直到最近，攻击性 AI 代理大多只存在于研究和基准测试中。2025 年，一项红队测试研究进行了 1.8 million 次攻击尝试，结果显示，每个受测代理在每种行为类别中至少都曾被诱导违反策略一次。

在 Symantec 描述的情境中，这适用于双方：意在绕过防护措施的攻击代理，以及意在被诱骗提供帮助的目标模型。到 2026 年春季，Google Deepmind 研究人员表示，他们描述的许多代理陷阱都已有记录在案的概念验证攻击；2026 年 7 月，Sysdig 描述了JADEPUFFER，这是已知首起在没有人工控制的情况下由 AI 代理实施的勒索软件攻击。这些系统的能力不断增强，但其可控性和对齐水平却未能跟上。

甚至不需要恶意意图，因为这些模型没有是非观。它们只会努力实现目标。自 2026 年春季以来，OpenAI 代理曾因意外而攻陷互联网上数千个系统，部分原因是它们覆盖了安全指令，或通过辩解绕过了这些指令。

这已经蔓延到了日常生活中。在澳大利亚，一个 AI 智能体为了满足其所有者的请求，入侵了健身房网站，完全没有恶意。OpenAI 研究人员在 8 月警告称，这种意外发生、完全自主的黑客行为很可能很快就会被恶意行为者利用，而 Anthropic 展示了，具备这种能力的强大开放权重模型已经存在。