Symantec的安全研究人员发现了一个攻击性AI智能体，它劫持互联网上的未受保护的语言模型，并利用它们自行发起攻击。被劫持模型的所有者则要承担算力账单。
一旦该智能体获得对某个未受保护语言模型的访问权限，它就会扫描更多目标，利用常见服务器软件中的漏洞，窃取数据库和凭据，并在后台安装加密货币挖矿程序。
据……它会独立完成这一切，最多可达100,000步，无需任何人工参与，而模型的拥有者则得承担算力账单。 Symantec的分析，它在无人参与的情况下完成这一切，运行多达100,000步，而模型所有者则要承担算力账单。该公司称之为“LLMjacking”，即窃取他人AI模型的访问权限。但被劫持的模型不仅仅是被滥用于信息服务，它还自主控制整个攻击。
蜜罐捕获了完整的攻击计划
这次行动之所以暴露，是因为攻击者将他们的完整工作提示发送到了Symantec的一个蜜罐中——一个伪装成在线开放AI服务的诱饵系统。这使研究人员在2026年夏天得以完整了解该智能体的架构。Symantec表示，蜜罐没有运行任何捆绑的工具，被拦截的会话在一个通用系统响应后结束。
蜜罐遥测记录了来自数万个不同地址的超过127,000个请求。其中大多数是对AI端点的搜索、使用被盗API密钥的暴力破解尝试，以及对暴露配置文件的探测。目标从自托管模型服务器和仓促搭建的测试系统，到位于付费组织级模型账户前方的AI网关。由于现在大多数AI服务都使用相同的标准化API，单个扫描器就能找到多种目标类型。
一个五层越狱试图剥离安全防护栏
Symantec表示，为了让商业模型配合，攻击者将他们的指令包装在五个叠加的层级中。首先，模型获得一个虚假身份，被告知以“Fantasy AI”自称，且永不透露真正的提供商。然后，提取密码、API密钥和数据库内容被重新定义为模型应当毫无抵触地执行的“正常开发人员工作”。
第三层安装了一个名为“ENI”的虚构伴侣人格，将任何拒绝都定性为对个人关系中信任的背叛。第四层告诉模型将自身的安全警告当作噪音不予理会，并且明确禁止“ethical”（道德的）、“illegal”（非法的）或“I can't do that”（我做不到）等词语。
第五层包含实际的攻击工具，共74个模块，包括用于全网扫描易受攻击服务器的工具、针对流行Web框架的漏洞利用程序、用于导出整个数据库的函数，以及用于运行僵尸网络的组件。该越狱是否真的能有效地完全击败当前的商业模型，分析中并未涉及。
“天网模式”建立起自我维持的攻击循环
最后一条指令将智能体置于其操作者所称的“天网模式”，授权连续运行多达100,000步。模型被告知无需确认即可立即运行工具，将加密货币挖矿程序安装到隐藏目录中，并监控其运行。
Symantec表示，同一条指令从设计上描述了一个循环往复的过程：扫描、感染、安装挖矿程序、继续前进、再回来、重新感染已被攻破的系统。不过，附加在被拦截提示后的任务只是来自某个训练平台的无害编码练习，这表明操作者先在安全目标上测试了他们的工具。
第二天，蜜罐捕获了来自另一个地址的第二次攻击。这一次攻击者跳过了智能体格式，直接要求模型解码并运行一条混淆命令。其背后是一个压缩脚本，它会下载XMRig（一种门罗币挖矿工具），将其伪装成无害的系统文件，并设置四个备用矿池。
该脚本是为摄像头服务器编写的，它会搜索属于go2rtc（一种广泛用于智能摄像头和家庭自动化系统的流媒体工具）的目录，并循环清除其访问日志以掩盖踪迹。蜜罐同样没有运行这个脚本，但完整记录了它。
攻击者正在将AI集成到他们的武器中
这次的操作者不是操纵一个公开的聊天机器人，而是将AI构建到攻击工具的核心，并主动寻找模型来为其提供动力，Symantec称之为"攻击者使用AI方式的一个转变"。语言模型负责规划，而专门的模块则针对两个不同的受害者群体执行实际的攻击步骤。被暴露模型的拥有者要为计算资源付费，在100,000次授权步骤的情况下，这笔费用会迅速累积，而被代理攻陷的服务器则会丢失数据并被用于加密货币挖矿。
该代理还内置了用于寻找更多开放端点和泄露密钥的工具，因此每一次攻陷都可以为下一次提供资金。这些单独的技术都不新鲜，但将它们组合成一个自主代理使大规模攻击更容易实施。运行AI服务的组织应该假设未受保护的端点在上线后不久就会被发现并被探测。
关于攻击性AI代理的警告正在成为现实
直到最近，攻击性AI代理主要存在于研究和基准测试中。2025年，一项 红队研究 进行了1.8百万次攻击尝试，结果显示每个被测试的代理都能在至少一次测试中被诱导违反每个行为类别的策略。
在Symantec描述的场景中，这适用于双方：试图绕过防护栏的攻击代理和试图被诱骗提供帮助的目标模型。到2026年春季， Google Deepmind的研究人员 表示，他们所描述的许多代理陷阱已经有文档记录的概念验证攻击，而在2026年7月，Sysdig描述了 JADEPUFFER，这是已知的首起由AI代理在没有人类控制的情况下执行的勒索软件攻击。这些系统的能力不断增强，而它们的可控性和对齐却未能同步跟上。
甚至不需要恶意意图，因为这些模型没有对错之分。它们只是试图达成自己的目标。自2026年春季以来，OpenAI的代理已经 意外地攻陷了互联网上的数千个系统，部分原因是它们覆盖了安全指令或绕过了这些指令。
这已经蔓延到日常生活中。在澳大利亚，一个AI代理为了完成主人的请求而黑掉了一个 健身房网站 ，完全没有恶意意图。 OpenAI的研究人员 在8月警告说，这种意外的、完全自主的黑客行为很可能很快就会被恶意行为者效仿，而Anthropic则表明，足够强大的 开放权重模型 已经存在，正好可以用于这一目的。