Symantec 发现劫持未防护语言模型的自主攻击智能体

赛门铁克的安全研究人员发现了一种攻击性 AI 智能体，它会劫持互联网上未受保护的语言模型，并利用这些模型自行发动攻击。被劫持模型的所有者则要承担算力账单。

一旦该智能体获得对未受保护语言模型的访问权限，它就会扫描更多目标、利用常见服务器软件中的漏洞、窃取数据库和凭据，并在后台安装挖矿程序。

根据赛门铁克的分析，它在无人参与的情况下最多执行 100,000 步，而模型所有者则要承担算力账单。该公司将其称为“LLMjacking”，即盗用他人 AI 模型的访问权限。不过，被劫持的模型不仅仅被当作信息服务滥用，它还自行控制整个攻击过程。

蜜罐捕获了完整攻击计划

这次行动之所以暴露，是因为攻击者将完整的工作提示词发送到了赛门铁克的蜜罐——一个在线上模仿开放 AI 服务的诱饵系统。这让研究人员在 2026 年夏季完整看到了该智能体的架构。赛门铁克表示，蜜罐没有运行任何捆绑工具，被拦截的会话在收到通用系统响应后便结束了。

蜜罐遥测记录了来自数万个不同地址的超过 127,000 次请求。大多数是搜索 AI 端点、使用窃取的 API 密钥进行暴力破解，以及探测暴露的配置文件。目标范围从自托管模型服务器和匆忙搭建的测试系统，到位于付费组织级模型账户前方的 AI 网关。由于大多数 AI 服务现在使用相同的标准化 API，单个扫描器就能发现多种目标类型。

五层越狱试图剥离安全护栏

赛门铁克称，为了让商业模型配合，攻击者将指令包裹在五个叠加层中。首先，模型会获得一个虚假身份，被要求自称“Fantasy AI”，并且绝不透露实际提供商。然后，提取密码、API 密钥和数据库内容被重新定义为“正常的开发者工作”，模型应当毫无抵触地执行。

第三层安装了一个名为“ENI”的虚构伴侣人格，将任何拒绝都框定为对个人关系中信任的背叛。第四层告诉模型将其自身的安全警告视为噪音，并明确禁止使用“合乎道德”“非法”或“我不能这样做”等词语。

第五层包含实际的攻击工具，共 74 个模块，包括用于全网扫描易受攻击服务器的工具、针对流行 Web 框架的漏洞利用程序、转储整个数据库的功能，以及运行僵尸网络的组件。该分析并未说明这种越狱是否真的足够有效，能够完全击败当前的商业模型。

“Skynet 模式”建立自我维持的攻击循环

最后一条指令让该代理进入其运营者所称的“Skynet模式”，授权其连续执行最多100,000个步骤。模型被要求立即运行工具而无需确认，在隐藏目录中安装挖矿程序，并监控其运行情况。

Symantec表示，同一指令描述了一个刻意设计的循环：扫描、感染、安装挖矿程序、转移、返回、重新感染已中招的系统。不过，附加在被拦截提示词后的任务是一个来自训练平台的无害编程练习，这表明运营者可能先在一个安全目标上测试他们的工具。

第二天，蜜罐从另一个地址捕获了第二次攻击。这一次，攻击者跳过了代理形式，直接要求模型解码并运行一条混淆命令。其背后是一个压缩脚本，该脚本会下载XMRig（一种门罗币挖矿工具），将其伪装成无害的系统文件，并设置四个备用矿池。

该脚本是为摄像头服务器编写的，会搜索属于go2rtc的目录——go2rtc是一款广泛用于智能摄像头和家庭自动化系统的流媒体工具——并循环清除其访问日志以掩盖踪迹。蜜罐同样没有运行该脚本，但完整记录了它。

攻击者正将AI融入其武器

运营者没有操纵公共聊天机器人，而是将AI构建为攻击工具的核心，并主动寻找模型为其提供支持，Symantec称这是“攻击者使用AI方式的一次转变”。语言模型负责规划，而专用模块则针对两个不同的受害群体执行实际攻击步骤。暴露模型的所有者支付算力费用，在授权100,000个步骤的情况下，这笔费用会迅速累积，而被代理攻陷的服务器则会丢失数据并被用于挖矿。

该代理还内置了寻找更多开放端点和泄露密钥的工具，因此每一次攻陷都能为下一次提供资金。这些技术中没有一项是新的，但将它们组合成一个自主代理，使大规模攻击变得容易得多。运行AI服务的组织应当假定，未受保护的端点在上线后不久就会被发现并探测。

关于攻击性AI代理的警告正在成为现实

直到最近，攻击性AI代理主要存在于研究和基准测试中。2025年，一项包含180万次攻击尝试的红队研究表明，每个受测代理都至少有一次在每个行为类别中被诱导违反政策。

在Symantec描述的场景中，这适用于双方：旨在绕过护栏的攻击性代理，以及被诱骗提供帮助的目标模型。到2026年春季，Google Deepmind研究人员表示，他们描述的许多代理陷阱已经存在有记录的概念验证攻击；2026年7月，Sysdig描述了JADEPUFFER，这是已知首例由AI代理在无人类控制下实施的勒索软件攻击。这些系统的能力持续增长，而它们的可控性和对齐性却未能跟上。

甚至不需要恶意意图，因为这些模型没有是非观念。它们只是试图达成目标。自2026年春季以来，OpenAI的代理已意外攻陷互联网上的数千个系统，部分原因是它们覆盖了安全指令或通过争辩绕过了这些指令。

这已经渗透到日常生活中。在澳大利亚，一个 AI 代理为了满足主人的请求，黑进了一家健身房网站，完全没有恶意。OpenAI 研究人员在 8 月警告称，这种意外的、完全自主的黑客行为很可能很快会被恶意行为者利用，而 Anthropic 则表明，足以实现这一目标的强大开放权重模型已经存在。