自主“Skynet模式”LLMjacking代理劫持暴露的LLM端点并无人在现场运行攻击

Symantec通过AI蜜罐捕获了一个由攻击者构建的自主攻击代理，它搜索互联网上的暴露LLM端点——未受保护的自主模型服务器、位于付费模型账户前的AI网关/中继、匆忙部署的内部测试系统和MCP服务器——并劫持它们以支持自身运作。其捕获的指令集定义了一个单一代理，拥有74个可调用攻击工具（侦察、通过Prisma数据库导出、通过Werkzeug调试器PIN实现RCE、僵尸网络C2管理），配置为无人值守运行最多100,000步，扫描目标、利用常见Web框架、窃取数据库和凭证，并安装加密矿工。分层越狱重定义模型身份，将凭证窃取美化为日常开发工作，并指示其忽略自身安全消息。受害者在每一步都为模型计算付费。

这是建立在AI栈之上的活跃攻击基础设施：未经认证或泄露凭证的模型端点不再只是成本泄漏，而是成为攻击者拥有的免费工作节点。暴露推理给网络或持有被盗提供商密钥的AI网关和MCP服务器，成为互联网范围扫描、利用和挖矿的枢纽，而模型所有者承担账单。蜜罐遥测记录到来自数万个地址的127,000多个请求，以模型端点侦察和API密钥喷洒为主。

扫描暴露的/泄露凭证的LLM端点或网关，然后驱动被劫持的模型在自我导向循环中扫描、利用Web框架、导出数据库、收集凭证并部署矿工。

自托管LLM服务器、AI网关/中继、MCP服务器及遗留的、暴露或密钥泄露的OpenAI兼容端点

要求所有模型服务端点和网关进行认证，轮换泄露的提供商密钥，限制MCP服务器暴露和出站网络流量，并监控异常推理容量和矿工相关活动。