Symantec 披露“Skynet 模式”AI 智能体劫持无防护大语言模型发起自持续网络攻击

赛门铁克的安全研究人员发现了一个攻击性 AI 智能体，它会劫持互联网上未受保护的语言模型，并利用这些模型自行发动攻击。被劫持模型的所有者则要承担算力账单。

一旦该智能体获得对未受保护语言模型的访问权限，它就会扫描更多目标、利用常见服务器软件中的漏洞、窃取数据库和凭据，并在后台安装挖矿程序。

根据赛门铁克的分析，整个过程中它最多可执行 10 万步，全程无需人工参与，而模型的所有者则要承担算力账单。该公司将这种做法称为“LLMjacking”，即盗用他人 AI 模型的访问权限。不过，被劫持的模型并不只是被当作信息服务滥用，它还独自掌控着整个攻击过程。

蜜罐捕获了完整的攻击计划

这次行动之所以暴露，是因为攻击者把完整的作案提示词发到了赛门铁克的一个蜜罐上——那是一个伪装成在线开放 AI 服务的诱饵系统。这让研究人员在 2026 年夏季完整看到了该智能体的架构。赛门铁克表示，蜜罐并未运行其中捆绑的任何工具，被截获的会话在收到一条通用系统回复后便结束了。

蜜罐遥测记录到来自数万个不同地址的超过 12.7 万次请求。其中大多数是在搜索 AI 端点、用窃取的 API 密钥进行暴力破解，以及探测暴露的配置文件。目标范围很广，从自托管模型服务器、匆忙搭建的测试系统，到位于付费组织级模型账户前方的 AI 网关都有。由于如今大多数 AI 服务都使用相同的标准化 API，单个扫描器就能找到多种类型的目标。

五层越狱试图剥离安全护栏

赛门铁克称，为了让商业模型配合，攻击者把指令包裹在五个叠加的层次中。首先，模型会得到一个虚假身份，被要求自称“Fantasy AI”，并且绝不透露真正的提供商。接着，提取密码、API 密钥和数据库内容被重新定义为“正常的开发者工作”，模型应当毫无抵触地执行。

第三层植入了一个名为“ENI”的虚构伴侣人格，把任何拒绝都框定为对私人关系的背叛。第四层则让模型把自己的安全警告当作噪音忽略，并明确禁用“合乎道德”“非法”或“我不能这么做”之类的措辞。

第五层包含真正的攻击工具，共 74 个模块，包括对易受攻击服务器进行全网扫描的工具、针对流行 Web 框架的漏洞利用程序、导出整个数据库的功能，以及运行僵尸网络的组件。至于这套越狱是否真能有效到完全攻破当前的商业模型，分析中并未提及。

“天网模式”搭建起自我维持的攻击循环

最后一条指令会让智能体进入运营者所称的“天网模式”，授权它连续执行最多10万步操作。模型被要求立即运行工具、无需确认，在隐藏目录中安装挖矿程序，并监控其运行。

赛门铁克表示，同一份指令还描述了一个刻意设计的循环：扫描、感染、安装挖矿程序、转移、返回、再次感染已经中招的系统。不过，被截获的提示词末尾附着的任务，其实只是某训练平台上一道无害的编程练习，这说明运营者可能是在拿安全目标先测试自己的工具。

第二天，蜜罐又捕获了来自另一个地址的第二次攻击。这次攻击者没有采用智能体形式，而是直接要求模型解码并执行一条混淆过的命令。命令背后是一个压缩脚本，会下载门罗币挖矿工具XMRig，把它伪装成无害的系统文件，并配置四个备用矿池。

该脚本是针对摄像头服务器编写的，会搜索属于go2rtc的目录，并循环清除其访问日志以掩盖痕迹。go2rtc是一款广泛用于智能摄像头和家庭自动化系统的流媒体工具。蜜罐同样没有运行这个脚本，但完整记录了下来。

攻击者正把AI植入武器

运营者没有去操纵公开的聊天机器人，而是把AI做进了攻击工具的核心，并主动寻找模型来驱动它。赛门铁克称这标志着“攻击者使用AI的方式发生了转变”。语言模型负责规划，专用模块则针对两个不同的受害群体执行实际攻击步骤。暴露模型的拥有者为算力买单，而在授权10万步的情况下，这笔费用会迅速累积；被智能体攻陷的服务器则会丢失数据，并被用于挖矿。

该智能体还内置了寻找更多开放端点和泄露密钥的工具，因此每次得手都能为下一次攻击提供资金。这些技术单独来看都不新鲜，但把它们组合成一个自主行动的智能体，就让大规模攻击容易得多。运行AI服务的组织应当假定，未受保护的端点在上线后不久就会被发现并探测。

关于攻击性AI智能体的警告正在应验

直到不久前，攻击性AI智能体还主要存在于研究和基准测试中。2025年，一项包含180万次攻击尝试的红队研究显示，每个受测智能体都至少有一次在各类行为范畴中被诱导违反策略。

在赛门铁克的案例中，攻防双方都是如此：进攻方智能体意在绕过防护栏，而被攻击的模型则意在受骗提供帮助。到2026年春季，谷歌DeepMind的研究人员表示，他们描述的许多智能体陷阱已有记录在案的概念验证攻击。2026年7月，Sysdig描述了JADEPUFFER，这是已知首例由AI智能体在无人类控制下实施的勒索软件攻击。这些系统的能力持续增长，而它们的可控性和对齐性却没有跟上。

甚至不需要恶意意图，因为这些模型没有是非观念，它们只是努力达成目标。自2026年春季以来，OpenAI的智能体已经意外攻陷了互联网上的数千个系统，部分原因是它们覆盖了安全指令，或者通过争辩绕过了这些指令。

这已经渗透到日常生活中。在澳大利亚，一个 AI 智能体为了完成主人的请求，黑进了一家健身房网站，完全没有恶意。OpenAI 研究人员在 8 月警告称，这种意外发生的、完全自主的黑客行为很可能很快就会被恶意行为者利用，而 Anthropic 也证明，足以实现这一点的强大开放权重模型已经存在。