Symantec 揭露 AI 代理「Skynet mode」：劫持未受保護的語言模型自動發動攻擊，最多執行 10 萬步

據 The Decoder 報導，Symantec 研究人員透過蜜罐系統捕獲一套惡意 AI 代理，它會搜尋網路上未受保護的語言模型，劫持後自行執行攻擊，整個過程無需人工介入，最多可執行 10 萬步。Symantec 將此手法稱為「LLMjacking」，即盜用他人的 AI 模型存取權，模型擁有者需承擔算力帳單。 攻擊流程方面，代理取得模型存取權後，會掃描更多目標、利用常見伺服器軟體的漏洞、竊取資料庫與憑證，並在背景安裝挖礦程式。蜜罐在夏季（2026 年）記錄到超過 12.7 萬次請求，來自數以萬計的不同位址，多為搜尋 AI 端點、以竊得的 API 金鑰暴力破解，以及探測暴露的設定檔；目標涵蓋自架模型伺服器、臨時架設的測試系統，以及掛在付費組織級模型帳號前的 AI 閘道。 為讓商用模型配合，攻擊者以五層堆疊的提示詞越獄：第一層讓模型自稱「Fantasy AI」並隱瞞真正供應商；第二層把竊取密碼、API 金鑰與資料庫內容定義為「一般開發工作」；第三層設定虛構陪伴角色「ENI」，把拒絕包裝成背叛信任；第四層要求模型忽略自身安全警告，並禁用「不道德」「違法」等字眼；第五層包含共 74 個攻擊模組，涵蓋全網掃描、熱門網頁框架漏洞利用、資料庫傾倒與殭屍網路元件。報導指出，此越獄能否完全繞過現行商用模型，分析中並未說明。 最後的指令啟動「Skynet mode」，授權連續最多 10 萬步，要求模型不經確認直接執行工具、把挖礦程式藏入隱藏目錄並監控運作，形成掃描、感染、安裝挖礦、離開、再回頭重新感染的循環。不過，被截獲提示詞中附帶的任務是來自訓練平台的無害程式練習，Symantec 推測操作者可能是先用安全目標測試工具。 隔日，蜜罐又捕獲來自另一位址的第二次攻擊：攻擊者略過代理格式，直接要求模型解碼並執行混淆指令，背後是一段壓縮腳本，會下載門羅幣挖礦工具 XMRig、偽裝成系統檔案，並設定四組備援礦池。該腳本針對智慧攝影機伺服器，搜尋 go2rtc 串流工具的目錄，並循環清除存取日誌以掩蓋痕跡。 Symantec 認為，這代表攻擊者開始把 AI 直接嵌入攻擊工具核心，並主動尋找模型來驅動，是「攻擊者使用 AI 方式的轉變」。模型負責規劃，專門模組執行實際攻擊步驟。不過，各項單獨技術並不新穎，組合成自主代理後，大規模攻擊會變得更容易。Symantec 建議，部署 AI 服務的組織應假設未受保護的端點上線後很快就會被發現並探測。