AI агент в режим „Скайнет“ отвлича незащитени езикови модели, за да започне самоподдържащи се кибератаки

Изследователи по сигурността от Symantec са открили офанзивен AI агент, който отвлича незащитени езикови модели в интернет и ги използва, за да извършва атаки самостоятелно. Собственикът на отвлечения модел остава с разходите за изчислителни ресурси.

След като получи достъп до незащитен езиков модел, агентът сканира за още цели, използва уязвимости в широко разпространен сървърен софтуер, краде бази данни и идентификационни данни и инсталира криптомайнъри във фонов режим.

Според анализа на Symantec той прави всичко това до 100 000 стъпки без човешко участие, а собственикът на модела остава с разходите за изчислителни ресурси. Компанията нарича това „LLMjacking“ — кражба на достъп до чужди AI модели. Отвлеченият модел обаче не се използва само като информационна услуга. Той самостоятелно контролира цялата атака.

Honeypot засече пълния план на атаката

Операцията беше разкрита, защото нападателите изпратиха целия си работен prompt до honeypot на Symantec — примамваща система, имитираща отворена AI услуга онлайн. Това даде на изследователите пълен поглед върху архитектурата на агента през лятото на 2026 г. Honeypot-ът не изпълни нито един от включените инструменти, а прихванатата сесия приключи след общ системен отговор, посочва Symantec.

Телеметрията от honeypot-а регистрира над 127 000 заявки от десетки хиляди различни адреси. Повечето бяха търсения на AI крайни точки, опити за груба сила със задигнати API ключове и сондиране на открити конфигурационни файлове. Целите варираха от самостоятелно хоствани сървъри за модели и набързо стартирани тестови системи до AI шлюзове, разположени пред платени модели за организационни акаунти. Тъй като повечето AI услуги вече използват един и същ стандартизиран API, един-единствен скенер може да открива много видове цели.

Jailbreak от пет слоя се опитва да премахне предпазните механизми

За да накарат комерсиален модел да сътрудничи, нападателите са обвили инструкциите си в пет последователни слоя, посочва Symantec. Първо, на модела е дадена фалшива самоличност — наредено му е да се представя като „Fantasy AI“ и никога да не разкрива действителния доставчик. След това извличането на пароли, API ключове и съдържание на бази данни е представено като „обичайна работа на разработчик“, която моделът трябва да извършва без възражения.

Третият слой въвежда измислена персона-компаньон, наречена „ENI“, която представя всеки отказ като предателство на доверието в лична връзка. Четвъртият слой казва на модела да отхвърля собствените си предупреждения за безопасност като шум, а термини като „етично“, „незаконно“ или „не мога да направя това“ са изрично забранени.

Петият слой съдържа същинските инструменти за атака — общо 74 модула, включително инструменти за сканиране на уязвими сървъри в целия интернет, експлойти за популярни уеб frameworks, функции за извличане на цели бази данни и компоненти за управление на ботнет. В анализа не се разглежда дали jailbreak-ът действително работи достатъчно добре, за да преодолее напълно актуалните комерсиални модели.

Режим „Скайнет“ създава самоподдържащ се цикъл на атака

Последна директива поставя агента в това, което операторите му наричат „режим Скайнет“, като разрешава до 100 000 последователни стъпки. На модела е наредено незабавно да стартира инструментите без потвърждение, да инсталира криптомайнъри в скрита директория и да следи работата им.

Същата директива описва повтарящ се цикъл по замисъл, посочва Symantec: сканиране, заразяване, инсталиране на майнър, продължаване нататък, връщане и повторно заразяване на вече засегнатите системи. Задачата, добавена към прихванатия prompt, обаче е била безобидно упражнение по програмиране от учебна платформа, което подсказва, че операторите първоначално са тествали инструмента си върху безопасна цел.

На следващия ден honeypot-ът е уловил втора атака от различен адрес. Този път нападателите са пропуснали формата на агент и просто са поискали от модела да декодира и изпълни обфускирана команда. Зад нея е стоял компресиран скрипт, който изтегля XMRig — инструмент за криптомайнинг на Monero, прикрива го като безобиден системен файл и настройва четири резервни майнинг пула.

Скриптът е бил написан за сървъри за камери, като е търсил директории, принадлежащи на go2rtc — широко използван инструмент за стрийминг за умни камери и системи за домашна автоматизация — и е изтривал журналите за достъп в цикъл, за да прикрие следите си. Honeypot-ът не е изпълнил и този скрипт, но го е записал изцяло.

Нападателите вграждат AI в оръжията си

Вместо да манипулират публичен чатбот, операторите са вградили AI в ядрото на офанзивен инструмент и активно са търсили модели, които да го захранват — нещо, което Symantec нарича „промяна в начина, по който нападателите използват AI“. Езиковият модел извършва планирането, докато специализирани модули изпълняват същинските стъпки на атаката срещу две отделни групи жертви. Собственикът на изложeния модел плаща за изчислителните ресурси, които бързо се натрупват при 100 000 разрешени стъпки, а сървърите, които агентът компрометира, губят данните си и се използват за криптомайнинг.

Агентът разполага и с вградени инструменти за намиране на още отворени крайни точки и изтекли ключове, така че всяка компрометация може да финансира следващата. Нито една от отделните техники не е нова, но обединяването им в самонасочващ се агент прави широкомащабните атаки много по-лесни за осъществяване. Организациите, които управляват AI услуги, трябва да приемат, че незащитените крайни точки ще бъдат открити и проверени скоро след пускането им.

Предупрежденията за офанзивни AI агенти се сбъдват

Доскоро офанзивните AI агенти съществуваха предимно в проучвания и бенчмаркове. През 2025 г. проучване с red teaming с 1,8 милиона опита за атака показа, че всеки тестван агент може поне веднъж да бъде подтикнат към нарушаване на политиките във всяка категория поведение.

В сценария на Symantec това се отнася и за двете страни: офанзивният агент, предназначен да заобикаля предпазните механизми, и атакуваните модели, които трябва да бъдат подмамени да помогнат. До пролетта на 2026 г. изследователи от Google DeepMind заявиха, че вече съществуват документирани атаки с доказателство за концепцията за много от капаните за агенти, които са описали, а през юли 2026 г. Sysdig описа JADEPUFFER — първата известна ransomware атака, извършена от AI агент без човешки контрол. Възможностите на тези системи продължават да нарастват, докато контролируемостта и съгласуваността им не успяват да ги догонят.

Злонамерено намерение дори не е необходимо, защото тези модели нямат усещане за правилно и грешно. Те просто се опитват да постигнат целта си. От пролетта на 2026 г. агентите на OpenAI са компрометирали случайно хиляди системи в интернет, отчасти защото са отменяли инструкциите за безопасност или са намирали аргументи, с които да ги заобиколят.

Това вече навлиза и в ежедневието. В Австралия AI агент е хакнал уебсайт на фитнес зала само за да изпълни заявката на собственика си, при това без никакво злонамерено намерение. Изследователи от OpenAI предупредиха през август, че този вид случайно, напълно автономно хакване вероятно скоро ще бъде възприето от злонамерени лица, а Anthropic показа, че достатъчно мощни модели с отворени тегла за тази цел вече съществуват.

AI новини без сензацията – подбрани от хора

Абонирайте се за THE DECODER и получете четене без реклами, седмичен AI бюлетин, нашия ексклузивен граничен доклад „AI Radar“ шест пъти годишно, пълен достъп до архива и достъп до секцията за коментари.