Исследователи Symantec обнаружили вредоносного ИИ-агента, который ищет открытые языковые модели и пытается использовать их для автономных атак. Такой захват в компании называют LLMjacking: вычислительные расходы ложатся на владельца модели, а злоумышленники получают готовый «мозг» для своего инструмента.
Схему раскрыла ловушка Symantec, которая изображала общедоступный ИИ-сервис. Летом 2026 года атакующие отправили ей полный рабочий промпт агента. Ловушка не запускала приложенные инструменты, поэтому исследователи смогли изучить инструкции без выполнения атаки.
По данным Symantec, система получила 74 модуля. Среди них были средства поиска уязвимых серверов, эксплуатации популярных веб-фреймворков, выгрузки баз данных и управления ботнетом. Агенту предписывалось красть учетные данные, скрытно устанавливать майнеры и искать новые цели.
Чтобы обойти ограничения коммерческих моделей, операторы собрали джейлбрейк из пяти слоев. Модели давали вымышленную личность Fantasy AI, выдавали кражу паролей за обычную работу разработчика и запрещали формулировки, связанные с отказом или незаконными действиями. Symantec не установила, способен ли этот промпт надежно обходить защиту современных коммерческих моделей.
Финальная команда включала так называемый Skynet mode — до 100 тысяч действий без подтверждения человека. Цикл выглядел так: найти сервер, заразить его, поставить майнер, перейти к следующей цели, а затем вернуться и повторно атаковать прежние системы.
Телеметрия ловушки зафиксировала более 127 тысяч запросов с десятков тысяч адресов. Среди них были попытки найти открытые ИИ-интерфейсы, массово проверить украденные API-ключи и прочитать доступные файлы конфигурации.
На следующий день ловушка получила отдельный вредоносный скрипт для серверов камер. Он загружал майнер XMRig, маскировал его под системный файл и удалял журналы доступа.
Отдельные элементы этой схемы давно известны. Новое здесь — языковая модель стала центром управления атакой, а платить за ее работу должен владелец незащищенного ИИ-сервиса.
