黑客用天网模式AI 自主发起攻击

赛门铁克（Symantec）安全研究团队披露了一个罕见的发现：他们在互联网蜜罐里完整截获了一个攻击型 AI 智能体的工作提示词。这个智能体会先劫持互联网上没有防护的语言模型，再把被劫持的模型当成自己的"大脑"和免费算力，自主发起并控制整个攻击过程。被劫持模型的所有者，最后是在替攻击者付算力账单。

拿到一个未设防模型的访问权之后，这个智能体自己扫描更多目标、利用常见服务器软件的漏洞、拖走数据库和凭据，并在后台安装挖矿程序。按提示词的授权，它最多可以连续执行十万步，全程无需人工介入。赛门铁克把这种盗用他人模型算力的手法称为"LLMjacking"——不同的是，这次被劫持的模型不只是被当成问答服务，而是亲自指挥了整场攻击。

整个行动暴露纯属意外：攻击者把自己的完整工作提示词发到了一个伪装成公开 AI 服务的蜜罐上，让研究者得以看清智能体的全部架构。蜜罐没有执行任何捆绑工具，会话在一次通用系统回复后结束。蜜罐遥测累计记录了来自数万个不同地址的逾12.7万次请求，多数是在搜索 AI 端点、用窃取的 API Key 暴力尝试、探测暴露的配置文件；目标从自建模型服务器、临时搭起的测试环境，到部署在企业付费模型账号前的 AI 网关都有。由于各家 AI 服务如今都用同一套标准化 API，一个扫描器就能扫到多种目标。

为了让商用模型"配合"，攻击者的指令叠了五层：第一层给模型一个假身份，自称"Fantasy AI"、绝不透露真实供应商；第二层把提取密码、API Key、数据库内容重新定义为"正常开发工作"；第三层塞进一个虚构的伴侣人格"ENI"，把任何拒绝说成是对一段信任关系的背叛；第四层要求模型把自身安全警告当噪音处理，"合乎伦理""违法""我不能这么做"等说法被明确禁用；第五层才是真正的攻击工具，共74个模块，包括全网漏洞扫描、主流 Web 框架的漏洞利用、整库导出和僵尸网络组件。

最后一条指令把智能体推入操作者所称的"天网模式"（Skynet mode）：授权连续执行十万步，看到工具就直接运行、无需确认，把挖矿程序装进隐藏目录并持续监控其运行。指令还写明了循环逻辑——扫描、感染、装矿、转移，再回头把已经中招的系统重新感染一遍。值得玩味的是，被截获的提示词里附带的具体任务，只是训练平台上一道无害的编程练习，说明操作者是在拿安全目标先试工具。

第二天，蜜罐又抓到一次来自不同地址的攻击。这次攻击者干脆不用智能体框架，直接让模型解码并执行一段混淆命令：压缩脚本下载门罗币挖矿程序 XMRig，把它伪装成无害的系统文件，配置四个备用矿池，专门寻找智能摄像头与家居自动化常用流媒体工具 go2rtc 的目录，并循环清除访问日志掩盖行踪。蜜罐同样没有执行这段脚本，但完整记录了下来。

赛门铁克的判断是，这标志着攻击者使用 AI 的方式发生了转变：不再只是操纵公开的聊天机器人，而是把 AI 做成攻击工具的核心，再主动上网寻找模型来给它供电。模型负责规划，专用模块负责执行，两拨受害者同时受损——暴露模型的所有者付算力钱，被攻陷的服务器丢数据、被拿去挖矿。对企业来说，把 AI 服务端点从公网上藏好、管好 API Key，已经从"最佳实践"变成了生存必需。