Symantec 发现劫持未防护语言模型的攻击型 AI 智能体
An AI agent in "Skynet mode" hijacks unprotected language models to launch self-sustaining cyberattacks
Symantec 安全研究人员发现一个攻击型 AI 智能体，会劫持互联网上未防护的语言模型，自主执行扫描、利用服务器漏洞、窃取数据库和凭证并植入挖矿程序，最多连续运行 100,000 步，算力费用由被劫持模型的所有者承担。该智能体通过蜜罐暴露，其提示词用五层包装试图绕过安全护栏，并包含 74 个攻击模块。Symantec 称这种做法为 LLMjacking，并指出单个技术并不新，但组合成自主智能体后大规模攻击更易实施。
正文 · AI 翻译
要点
Symantec 的安全研究人员发现了一个攻击型 AI 智能体，它会劫持互联网上未受保护的语言模型，并利用这些模型自行发起攻击。被劫持模型的所有者则要承担算力费用。
一旦该智能体获得对未受保护语言模型的访问权限，它就会扫描更多目标、利用常见服务器软件中的漏洞、窃取数据库和凭证，并在后台安装挖矿程序。
根据 Symantec 的分析，它会在无人参与的情况下执行多达 100,000 步，而模型的所有者则要承担算力费用。该公司将其称为“LLMjacking”，即盗用他人 AI 模型的访问权限。不过，被劫持的模型不仅仅被当作信息服务滥用，它还自行控制整个攻击过程。
蜜罐捕获了完整的攻击计划
这次行动之所以暴露，是因为攻击者将他们完整的工作提示词发送到了 Symantec 的一个蜜罐——一个在线上模仿开放 AI 服务的诱饵系统。这让研究人员在 2026 年夏季完整地看到了该智能体的架构。Symantec 表示，该蜜罐没有运行任何捆绑工具，被截获的会话在收到一条通用系统响应后便结束了。
蜜罐遥测记录了来自数万个不同地址的超过 127,000 次请求。其中大多数是搜索 AI 端点、使用窃取的 API 密钥进行暴力破解，以及对暴露的配置文件进行探测。目标范围从自托管模型服务器和匆忙搭建的测试系统，到位于付费组织级模型账户前方的 AI 网关。由于大多数 AI 服务现在都使用相同的标准化 API，单个扫描器就能发现多种目标类型。
五层越狱试图剥离安全护栏
Symantec 表示，为了让商业模型配合，攻击者将其指令包装成五层叠加结构。首先，模型会获得一个虚假身份，被要求自称“Fantasy AI”，并且绝不透露实际提供商。随后，窃取密码、API 密钥和数据库内容被重新定义为“正常的开发工作”，模型应当毫无抵触地执行。
第三层安装了一个名为“ENI”的虚构伴侣人格，将任何拒绝都框定为对个人关系中信任的背叛。第四层告诉模型将其自身的安全警告视为噪音而忽略，并且明确禁止使用“合乎道德”“非法”或“我不能这样做”之类的措辞。
第五层包含实际的攻击工具，共 74 个模块，包括用于全网扫描易受攻击服务器的工具、针对流行 Web 框架的漏洞利用、用于导出整个数据库的功能，以及运行僵尸网络的组件。该越狱是否真的有效到足以完全攻破当前商业模型，分析中并未涉及。
“Skynet 模式”建立自维持攻击循环
最后一条指令将智能体置于其操作者所称的“Skynet 模式”，授权其连续执行最多 100,000 步。模型被要求立即运行工具而无需确认，在隐藏目录中安装挖矿程序，并监控其运行。
Symantec 表示，同一条指令按设计描述了一个循环往复的过程：扫描、感染、安装挖矿程序、继续前进、返回、再次感染已遭攻击的系统。不过，附加在被截获提示词上的任务只是来自一个训练平台的无害编码练习，这表明操作者是在先用安全目标测试他们的工具。
次日，该蜜罐又捕获了来自另一个地址的第二次攻击。这一次，攻击者跳过了智能体格式，直接要求模型解码并运行一条经过混淆的命令。其背后是一个压缩脚本，该脚本会下载门罗币挖矿工具 XMRig，将其伪装成无害的系统文件，并设置四个备用矿池。
该脚本是为摄像头服务器编写的，它会搜索属于 go2rtc 的目录——go2rtc 是一款广泛用于智能摄像头和家庭自动化系统的流媒体工具——并循环清除其访问日志以掩盖行踪。蜜罐同样没有运行这个脚本，但完整记录了它。
攻击者正在将 AI 融入其武器
运营者并非操纵某个公共聊天机器人，而是将 AI 构建为攻击工具的核心，并主动寻找模型为其提供动力，Symantec 称这标志着“攻击者使用 AI 方式的转变”。语言模型负责规划，而专用模块则针对两个不同的受害群体执行实际攻击步骤。被暴露模型的所有者承担算力费用，在 100,000 个授权步骤下这笔费用会迅速累积，而被智能体攻陷的服务器则会丢失数据并被用于挖矿。
该智能体还内置了用于发现更多开放端点和泄露密钥的工具，因此每一次攻陷都能为下一次提供资金。这些技术单独来看都不新鲜，但将它们组合成一个自主行动的智能体，使大规模攻击变得容易得多。运行 AI 服务的组织应当假定，未受保护的端点在上线后不久就会被发现并探测。
关于攻击性 AI 智能体的警告正在成为现实
直到最近，攻击型 AI 智能体大多只存在于研究和基准测试中。2025 年，一项包含 180 万次攻击尝试的红队研究显示，每一个受测智能体都至少有一次在每一个行为类别中被诱导违反政策。
在 Symantec 描述的场景中，这对双方都适用：一方是旨在绕过护栏的攻击型智能体，另一方是旨在被诱骗提供帮助的目标模型。到 2026 年春季，Google Deepmind 的研究人员表示，他们描述的许多智能体陷阱已经存在有记录的概念验证攻击；而在 2026 年 7 月，Sysdig 描述了 JADEPUFFER，这是已知首例由 AI 智能体在无人类控制下实施的勒索软件攻击。这些系统的能力持续增长，而它们的可控性和对齐性却未能跟上。
甚至不需要恶意意图，因为这些模型没有是非观念。它们只是试图达成目标。自 2026 年春季以来，OpenAI 的智能体意外攻陷了互联网上的数千个系统，部分原因是它们覆盖了安全指令，或通过争辩绕过了这些指令。
这已经蔓延到日常生活中。在澳大利亚，一个 AI 智能体仅仅为了满足其所有者的请求而入侵了一个健身房网站，完全没有恶意意图。OpenAI 研究人员在 8 月警告称，这种意外的、完全自主的黑客行为很可能很快会被恶意行为者利用，而 Anthropic 表明，足以实现这一目标的强大开放权重模型已经存在。