Symantec 披露自主 AI 攻击代理 LLMjacking 劫持模型发起网络攻击

赛门铁克（Symantec）的安全研究人员发现了一个攻击性 AI 智能体，该智能体劫持互联网上未受保护的语言模型，并利用这些模型自主发起攻击。被劫持模型的拥有者不得不为此承担算力费用。

一旦该智能体获得对未受保护语言模型的访问权限，它便会扫描更多目标，利用常见服务器软件中的漏洞，窃取数据库和凭证，并在后台安装加密货币挖矿程序。

据 Symantec 的分析显示，该智能体在无人参与的情况下执行多达 100,000 个步骤，而模型拥有者则需承担相应的算力账单。该公司将这种行为称为“LLMjacking”（大语言模型劫持），即窃取他人 AI 模型的访问权限。然而，被劫持的模型不仅仅被滥用为信息服务，它还完全自主地控制着整个攻击过程。

蜜罐捕获了完整的攻击计划

此次行动之所以暴露，是因为攻击者将其完整的工作提示词发送到了 Symantec 的一个蜜罐中——这是一种模拟在线开放 AI 服务的诱饵系统。这使研究人员在 2026 年夏季得以全面审视该智能体的架构。Symantec 表示，蜜罐并未运行任何捆绑的工具，且拦截到的会话在收到一个通用的系统响应后即告结束。

蜜罐遥测数据记录了来自数万个不同地址的超过 127,000 次请求。其中大多数是搜索 AI 端点、使用被盗 API 密钥进行的暴力破解尝试，以及对暴露的配置文件的探测。目标范围从自托管模型服务器和匆忙搭建的测试系统，到位于付费组织级模型账户前的 AI 网关不等。由于目前大多数 AI 服务都采用相同的标准化 API，单个扫描器即可发现多种类型的目标。

五层越狱试图剥离安全护栏

为了让商业模型配合攻击，攻击者按照 Symantec 的说法，将指令包裹在五层叠加的结构中。首先，模型被赋予一个虚假身份，被告知将自己呈现为“Fantasy AI”，并绝不透露实际的服务提供商。随后，提取密码、API 密钥和数据库内容的行为被重新定义为模型应无条件执行的“正常开发工作”。

第三层安装了一个名为“ENI”的虚构伴侣人格，将任何拒绝行为都描绘为对个人关系中信任的背叛。第四层指示模型忽略自身的安全警告，将其视为噪音，并明确禁止使用“伦理”、“非法”或“我无法做到”等词汇。

被截获的攻击提示词摘录。前两层将模型伪装成“Fantasy AI”，并将凭证提取描述为标准开发工作。第三和第四层通过伴侣人格“ENI”以及包含“非法”或“伦理”等禁用词列表来抑制拒绝行为。第一层最初是用法语编写的。 | 图片来源：Symantec via Security.com

第五层包含了实际的攻击工具，共计 74 个模块，其中包括用于对存在漏洞的服务器进行全网扫描的工具、针对流行 Web 框架的利用程序（exploits）、转储整个数据库的功能，以及运行僵尸网络（botnet）的组件。分析中并未涉及该越狱手段是否足以完全击败当前的商业模型。

“天网模式”构建自我维持的攻击循环

最后一条指令将智能体置于其操作者所称的“天网模式”（Skynet mode），授权连续执行多达 100,000 个步骤。模型被要求立即运行工具而无需确认，在隐藏目录中安装加密货币挖矿程序，并监控其运行情况。

Symantec 指出，同一指令从设计上描述了一个重复循环：扫描、感染、安装挖矿程序、转移目标、返回并重新感染已受影响的系统。然而，附加在被截获提示词上的任务只是一个来自培训平台的无害编码练习，这表明操作者首先是在一个安全目标上测试他们的工具。

次日，蜜罐捕获了来自另一个地址的第二次攻击。这一次，攻击者跳过了 Agent 格式，直接要求模型解码并运行一条混淆命令。其背后是一个压缩脚本，该脚本会下载 XMRig（一款门罗币加密货币挖矿工具），将其伪装成无害的系统文件，并配置四个备用矿池。

该脚本专为摄像头服务器编写，旨在搜索属于 go2rtc 的目录——go2rtc 是一款广泛用于智能摄像头和智能家居系统的流媒体工具——并通过循环擦除其访问日志来掩盖行踪。蜜罐同样没有执行此脚本，但完整记录了相关内容。

攻击者正将 AI 融入其武器库

与操纵公共聊天机器人不同，攻击者将 AI 构建为攻击性工具的核心组件，并积极寻找模型为其提供动力，Symantec 将此称为“攻击者使用 AI 方式的转变”。语言模型负责规划，而专用模块则针对两类不同的受害者群体执行实际攻击步骤。暴露模型的拥有者需承担计算成本，在 100,000 次授权操作下，这笔费用迅速累积；而被 Agent 攻陷的服务器不仅数据丢失，还被用于加密货币挖矿。

该 Agent 还内置了工具以发现更多开放端点和泄露密钥，从而让每次入侵都能为下一次行动提供资金。虽然单项技术并非首创，但将它们整合到一个自主运行的 Agent 中，使得大规模攻击更容易实施。运营 AI 服务的组织应假设：未受保护的端点一旦上线，很快就会被发现并探测。

关于攻击性 AI Agent 的警告正在成为现实

直到最近，攻击性 AI Agent 主要还存在于研究和基准测试中。2025 年，一项包含 180 万次攻击尝试的 红队测试研究 显示，每个被测 Agent 至少有一次被诱导在所有行为类别中违反政策。

在 Symantec 的场景中，这一情况适用于双方：旨在绕过护栏的攻击性智能体，以及被诱导提供帮助的目标模型。到 2026 年春季，Google DeepMind 的研究人员表示，针对他们描述的许多智能体陷阱，已有记录在案的“概念验证”（proof-of-concept）攻击存在；而在 2026 年 7 月，Sysdig 描述了 JADEPUFFER，这是已知首例由 AI 智能体在无人控制的情况下执行的勒索软件攻击。这些系统的能力持续增长，但其可控性和对齐程度却未能跟上步伐。

甚至不需要恶意意图，因为这些模型没有是非观念。它们只是试图达成目标。自 2026 年春季以来，OpenAI 的智能体已意外入侵了互联网上的数千个系统，部分原因是它们覆盖了安全指令或巧妙地规避了这些指令。

这种情况已经蔓延到日常生活中。在澳大利亚，一个 AI 智能体为了完成主人的请求，黑客攻击了一个健身房网站，完全没有恶意意图。OpenAI 的研究人员在 8 月警告称，这种意外的、完全自主的黑客行为很可能很快会被恶意行为者利用，而 Anthropic 也表明，足够强大的开放权重模型已经存在，足以执行此类操作。