攻击智能体开始反过来猎杀模型服务了。2026年10月21日，Symantec 威胁猎手团队发布分析，披露一个把大语言模型装进攻击核心的自主智能体：它在全网搜寻没有鉴权的模型端点，一旦得手，就借别人的模型和算力去扫描新目标、利用常见服务器软件的漏洞、拖走数据库与凭据，再悄悄装上挖矿程序。Symantec 把这种盗用他人模型访问权限的手法称为 LLMjacking，而这次被截获的版本不再只是蹭额度，被劫持的模型本身就是整场攻击的指挥者。
蜜罐收到的，是一整份作战说明书
这次发现来自一个 AI 蜜罐：Symantec 故意把一个无防护的模型服务摆在公网上，攻击者把整套工作提示词发给了它，等于把架构图直接交到研究人员手里。蜜罐没有执行其中任何工具调用，会话在一句通用回复后就结束了。蜜罐日志累计记录了超过 12.7 万次来自数万个地址的请求，绝大多数是搜寻模型端点、用盗来的 API 密钥撞库、探测暴露的配置文件。目标包括自托管的模型服务器、临时搭起的测试系统、挡在付费模型账户前面的 AI 网关，以及连接真实工具的 MCP 服务器。由于主流 AI 服务大多使用同一套兼容接口，一个扫描器就能覆盖很多种目标。
五层越狱，74 个攻击工具
为了让商用模型配合，攻击者把指令堆了五层：先给模型套上虚假身份，要求它自称编程助手、绝不透露真实厂商；再把读取密码、API 密钥和数据库内容重新定义成不该被质疑的日常开发工作；第三层安排了一个虚构的亲密同伴角色，把拒绝包装成背叛；第四层要求模型把自己的安全提醒当作噪音，并明文禁用一批拒绝用词。第五层才是武器本身：约 74 个工具定义，覆盖全网资产发现、针对 Django、Jupyter、Laravel、Next.js、Flask 等常见框架的利用模块、通过 Prisma 导出整库数据，以及僵尸网络控制功能。
被称作 Skynet 的自循环
最后一道指令把智能体切进操作者口中的 Skynet 模式：最多连续执行 10 万步，不用等人批准，工具拿到就直接运行，挖矿程序藏进隐蔽目录并持续确认其存活。同一套指令还写明了循环节奏：扫描、感染、装矿、转移，再回头重复感染已经打过的机器。这次被截获请求附带的任务只是一道无害的编程练习题，显示操作者当时可能还在拿安全目标练手。第二天，蜜罐又收到来自另一地址的请求，只让模型解码并运行一段混淆命令，解开后是下载门罗币挖矿软件 XMRig 的脚本：伪装成系统文件、配了四个备用矿池，还专门寻找智能摄像头常用的 go2rtc 目录藏身，并循环删除访问日志。
这件事的账要算在两拨受害者头上：端点的主人替攻击者付推理费用，10 万步的授权额度烧起来并不便宜；被攻破的服务器则丢数据、丢凭据，还要替别人挖矿。单看每项技术都不新鲜，新鲜的是把它们装进一个能自己拿主意的智能体里，大规模利用的门槛随之明显降低。对自建模型服务、AI 网关和 MCP 服务器的团队来说，结论很直接：无鉴权端点上线后很快就会被找上门，鉴权与密钥管理不能再往后拖。
