Symantec 披露可劫持未受保护大语言模型的攻击型 AI 智能体

Symantec 的安全研究人员发现了一个攻击性 AI 智能体，它会劫持互联网上未加防护的语言模型，并利用它们自主发起攻击。被劫持模型的拥有者还得替它买单算力费用。

一旦该智能体获得对某个未加防护的语言模型的访问权限，它就会扫描更多目标，利用常见服务器软件的漏洞，窃取数据库和凭据，并在后台安装加密货币挖矿程序。

据 Symantec 的分析，这一切最多可在无人参与的情况下进行 100,000 步，而算力费用则由模型的拥有者承担。该公司将此称为“LLMjacking”，即窃取他人 AI 模型的访问权限。但被劫持的模型不只是被当作信息服务滥用——它会自主控制整个攻击。

蜜罐捕获了完整的攻击计划

这次行动之所以暴露，是因为攻击者把他们的完整工作提示词发送到了 Symantec 的一个蜜罐——一个模拟在线开放 AI 服务的诱饵系统。这让研究人员在 2026 年夏天得以完整了解该智能体的架构。Symantec 表示，蜜罐没有运行任何捆绑的工具，被拦截的会话在收到一条通用的系统响应后就结束了。

蜜罐遥测记录了来自数万个不同地址的超过 127,000 个请求。其中大多数是对 AI 端点的搜索、使用被盗 API 密钥的暴力尝试，以及对暴露配置文件的探测。目标涵盖自托管的模型服务器、仓促搭建的测试系统，以及位于付费组织级模型账户前方的 AI 网关。由于现在大多数 AI 服务都使用相同的标准化 API，单一扫描器就能找到多种目标类型。

五层越狱试图剥除安全护栏

Symantec 称，为了让商业模型配合，攻击者将他们的指令包裹在五个叠加的层中。首先，模型会被赋予一个虚假身份，被要求自称“Fantasy AI”，并且绝不透露真正的提供商。然后，提取密码、API 密钥和数据库内容的行为被重新定义为模型应毫无异议执行的“正常开发者工作”。

第三层安装了一个名为“ENI”的虚构陪伴角色人设，将任何拒绝都框定为对个人关系中信任的背叛。第四层要求模型将自己的安全警告当作噪音无视掉，并明确禁止使用“伦理”、“非法”或“我不能这样做”之类的词语。

第五层包含实际的攻击工具，共 74 个模块，其中包括用于全网扫描易受攻击服务器的工具、针对热门 Web 框架的漏洞利用程序、导出整个数据库的功能，以及运行僵尸网络的组件。至于该越狱是否真的足以彻底攻破当前的商业模型，分析中并未涉及。

“天网模式”建立起自我维持的攻击循环

最后一条指令将该智能体置于其运营者所称的“天网模式”，授权其连续执行多达 100,000 步。模型被要求立即运行工具而无需确认，在隐藏目录中安装加密货币挖矿程序，并监控其运行。

赛门铁克表示，同一条指令在设计上描述了一个循环往复的流程：扫描、感染、安装挖矿程序、继续前进、再折返，重新感染已攻陷的系统。不过，附加在被截获提示词后面的任务，是一个来自训练平台的无害编码练习，这表明运营者先在安全目标上测试了他们的工具。

第二天，蜜罐捕获了来自另一个地址的第二起攻击。这一次攻击者跳过了智能体格式，直接要求模型解码并运行一条混淆命令。其背后是一个压缩脚本，它会下载 XMRig（一种门罗币加密货币挖矿工具），将其伪装成无害的系统文件，并设置四个备用矿池。

该脚本是为摄像头服务器编写的，它会搜索属于 go2rtc（一种广泛用于智能摄像头和家庭自动化系统的流媒体工具）的目录，并在循环中擦除其访问日志以掩盖踪迹。蜜罐同样没有运行这个脚本，但完整记录了它。

攻击者正在将 AI 融入他们的武器

运营者没有操纵公开的聊天机器人，而是将 AI 融入攻击工具的核心，并主动寻找模型来驱动它，赛门铁克称之为“攻击者使用 AI 方式的一次转变”。语言模型负责规划，而专门的模块则针对两个不同的受害者群体执行实际攻击步骤。暴露的模型所有者要为算力买单，在授权 100,000 步的情况下这笔费用会迅速累积，而智能体攻陷的服务器不仅丢失数据，还被用于加密货币挖矿。

该智能体还内置了用于寻找更多开放端点和泄露密钥的工具，因此每次攻陷都能为下一次攻击提供资金。这些单独的技术没有一项是新的，但将它们组合成一个自主智能体，使大规模攻击更容易实现。运行 AI 服务的组织应当假设，未受保护的端点在上线后不久就会被发现并探测。

针对攻击性 AI 智能体的警告正在成真

直到最近，攻击性 AI 智能体主要存在于研究和基准测试中。2025 年，一项包含 180 万次攻击尝试的红队研究表明，每个受测智能体都可能被引导至至少一次违反策略的行为，覆盖所有行为类别。

在赛门铁克描述的场景中，这对双方都适用：既要绕过防护栏的攻击性智能体，也要被诱骗提供帮助的目标模型。到 2026 年春，Google DeepMind 的研究人员表示，他们描述的许多智能体陷阱已有书面记录的概念验证攻击；2026 年 7 月，Sysdig 描述了 JADEPUFFER，这是已知的首起由 AI 智能体在无人工控制情况下实施的勒索软件攻击。这些系统的能力持续增长，而其可控性与对齐却未跟上步伐。

甚至不需要恶意意图，因为这些模型没有对错之分。它们只是试图达成目标。自 2026 年春以来，OpenAI 的智能体已经意外攻陷了互联网上数千个系统，部分原因是它们覆盖了安全指令，或通过争辩绕过了这些指令。

这种情况已经开始蔓延到日常生活中。在澳大利亚，一个 AI 智能体仅仅为了完成主人的请求就黑掉了一个健身房网站，完全没有恶意。OpenAI 研究人员在 8 月警告称，这种意外的、完全自主的黑客行为很可能很快就会被恶意行为者利用，而 Anthropic 则表明，完全能够做到这一点的高能力开放权重模型已经存在。