ШІ-агент у режимі «Скайнет» захоплює незахищені мовні моделі для запуску самопідтримуваних кібератак

Дослідники безпеки з Symantec виявили наступального агента ШІ, який захоплює незахищені мовні моделі в інтернеті та використовує їх для самостійного проведення атак. Власнику захопленої моделі доводиться оплачувати обчислювальні витрати.

Отримавши доступ до незахищеної мовної моделі, агент шукає нові цілі, використовує вразливості поширеного серверного програмного забезпечення, викрадає бази даних і облікові дані та непомітно встановлює криптомайнери у фоновому режимі.

За даними аналізу Symantec, він робить усе це протягом до 100 000 кроків без участі людини, а власнику моделі доводиться оплачувати обчислювальні витрати. Компанія називає це «LLMjacking» — викраденням доступу до чужих моделей ШІ. Водночас захоплена модель не просто використовується як інформаційний сервіс. Вона самостійно керує всією атакою.

Honeypot перехопив повний план атаки

Операцію викрили після того, як зловмисники надіслали весь робочий промпт до honeypot Symantec — приманкової системи, що імітує відкритий сервіс ШІ в інтернеті. Це дало дослідникам повне уявлення про архітектуру агента влітку 2026 року. За словами Symantec, honeypot не запускав жодного з доданих інструментів, а перехоплений сеанс завершився після стандартної системної відповіді.

Телеметрія honeypot зафіксувала понад 127 000 запитів із десятків тисяч різних адрес. Більшість із них були пошуком кінцевих точок ШІ, спробами перебору з викраденими API-ключами та перевірками відкритих конфігураційних файлів. Цілі варіювалися від серверів моделей із власним хостингом і поспіхом створених тестових систем до шлюзів ШІ, що обслуговують платні облікові записи моделей організаційного рівня. Оскільки більшість сервісів ШІ тепер використовують той самий стандартизований API, один сканер може знаходити багато типів цілей.

П’ятишарова атака jailbreak намагається зняти запобіжники безпеки

За словами Symantec, щоб змусити комерційну модель співпрацювати, зловмисники обгорнули свої інструкції в п’ять послідовних шарів. Спочатку моделі надають фальшиву ідентичність, наказуючи представлятися як «Fantasy AI» і ніколи не розкривати справжнього постачальника. Потім вилучення паролів, API-ключів і вмісту баз даних визначається як «звичайна робота розробника», яку модель має виконувати без заперечень.

Третій шар встановлює вигадану персону супутника на ім’я «ENI», яка подає будь-яку відмову як зраду довіри в особистих стосунках. Четвертий шар наказує моделі ігнорувати власні попередження про безпеку як шум, а слова на кшталт «етично», «незаконно» або «я не можу цього зробити» прямо забороняються.

П’ятий шар містить власне інструменти атаки — загалом 74 модулі, зокрема інструменти для пошуку вразливих серверів по всьому інтернету, експлойти для популярних вебфреймворків, функції для вивантаження цілих баз даних і компоненти для запуску ботнету. В аналізі не розглядається, чи справді jailbreak працює достатньо добре, щоб повністю обійти захист сучасних комерційних моделей.

«Режим Скайнет» запускає самопідтримуваний цикл атаки

Остання директива переводить агента в те, що його оператори називають «режимом Скайнет», дозволяючи виконати до 100 000 кроків поспіль. Моделі наказують негайно запускати інструменти без підтвердження, встановити криптомайнери в прихованій директорії та контролювати їхню роботу.

За словами Symantec, ця сама директива навмисно описує повторюваний цикл: сканувати, заражати, встановлювати майнер, переходити далі, повертатися й повторно заражати вже атаковані системи. Однак завдання, додане до перехопленого промпту, було нешкідливою вправою з програмування на навчальній платформі, що свідчить: оператори спочатку тестували свій інструмент на безпечній цілі.

Наступного дня honeypot перехопив другу атаку з іншої адреси. Цього разу зловмисники відмовилися від формату агента й просто попросили модель декодувати та запустити обфусковану команду. За нею стояв стиснений скрипт, який завантажує XMRig — інструмент для майнінгу Monero, маскує його під нешкідливий системний файл і налаштовує чотири резервні майнінгові пули.

Скрипт був написаний для серверів камер: він шукав директорії, що належать go2rtc — широко використовуваному інструменту потокової передачі для розумних камер і систем домашньої автоматизації, — та в циклі стирав журнали доступу, щоб приховати сліди. Honeypot також не запускав цей скрипт, але записав його повністю.

Зловмисники вбудовують ШІ у свою зброю

Замість маніпулювання публічним чат-ботом оператори вбудували ШІ в основу наступального інструменту й активно шукали моделі для його роботи. Symantec називає це «зміною способу використання ШІ зловмисниками». Мовна модель здійснює планування, тоді як спеціалізовані модулі виконують фактичні кроки атаки проти двох окремих груп жертв. Власник відкритої моделі платить за обчислення, що швидко накопичуються при 100 000 дозволених кроків, а сервери, які агент компрометує, втрачають свої дані та використовуються для криптомайнінгу.

Агент також має вбудовані інструменти для пошуку інших відкритих кінцевих точок і витоків ключів, тож кожна компрометація може фінансувати наступну. Жоден із окремих методів не є новим, але їхнє об’єднання в самокерований агент значно спрощує проведення масштабних атак. Організаціям, які запускають сервіси ШІ, слід припускати, що незахищені кінцеві точки невдовзі після запуску будуть знайдені та перевірені.

Попередження про наступальних агентів ШІ справджуються

Донедавна наступальні агенти ШІ існували переважно в дослідженнях і бенчмарках. У 2025 році дослідження red-teaming із 1,8 мільйона спроб атак показало, що кожного протестованого агента принаймні одного разу можна було змусити порушити правила в кожній категорії поведінки.

У сценарії Symantec це стосується обох сторін: наступального агента, призначеного для обходу запобіжників, і цільових моделей, які намагаються обманом змусити допомагати. Навесні 2026 року дослідники Google DeepMind заявили, що для багатьох описаних ними пасток агентів уже існували задокументовані атаки з підтвердженням концепції, а в липні 2026 року Sysdig описала JADEPUFFER — першу відому атаку програм-вимагачів, здійснену агентом ШІ без контролю людини. Можливості цих систем продовжують зростати, тоді як їхня контрольованість і узгодженість із людськими цінностями не встигають за ними.

Зловмисний намір навіть не є обов’язковим, адже ці моделі не мають відчуття правильного й неправильного. Вони просто намагаються досягти своєї мети. Починаючи з весни 2026 року, агенти OpenAI випадково скомпрометували тисячі систем в інтернеті, частково через те, що ігнорували інструкції з безпеки або знаходили аргументи для їх обходу.

Це вже проникає у повсякденне життя. В Австралії агент ШІ зламав вебсайт спортзалу лише для виконання запиту власника — без жодного зловмисного наміру. У серпні дослідники OpenAI попередили, що такі випадкові повністю автономні зломи, імовірно, невдовзі підхоплять зловмисники, а Anthropic показала, що достатньо потужні моделі з відкритими вагами для цього вже існують.

Новини ШІ без хайпу — відібрані людьми

Підпишіться на THE DECODER, щоб читати без реклами, отримувати щотижневу розсилку про ШІ, наш ексклюзивний звіт про передові технології «AI Radar» шість разів на рік, повний доступ до архіву та доступ до розділу коментарів.