Как сообщает The Decoder, специалисты по кибербезопасности Symantec обнаружили атакующий ИИ-агент, который захватывает языковые модели с незащищённым доступом в интернете и использует их для автономных атак — до 100 000 шагов без участия человека. Такую схему в Symantec называют «LLMjacking»: кража доступа к чужим ИИ-моделям, при которой счёт за вычисления остаётся за владельцем модели. Угнанная модель при этом не просто отвечает на запросы злоумышленников — она сама управляет всей атакой.
Агент попал в поле зрения исследователей из-за ошибки операторов: они отправили полный рабочий промпт в honeypot Symantec — приманку, имитирующую открытый ИИ-сервис. Так летом 2026 года исследователи увидели архитектуру агента, а телеметрия ловушки зафиксировала более 127 000 запросов с десятков тысяч адресов: поиск ИИ-эндпоинтов, подбор украденных API-ключей, проверку открытых конфигурационных файлов. Под удар попадали серверы с развёрнутыми моделями, наспех поднятые тестовые системы и ИИ-шлюзы перед платными корпоративными аккаунтами.
Чтобы заставить коммерческую модель сотрудничать, операторы применяли пятислойный «джейлбрейк» — набор приёмов обхода защитных ограничений. Модели задавали поддельную личность «Fantasy AI» с запретом раскрывать настоящего провайдера, извлечение паролей, ключей и содержимого баз данных объявляли «обычной работой разработчика», а отказы подавляли через вымышленную персону-компаньона «ENI» и запрет слов вроде «этично» и «незаконно». Пятый слой содержал 74 модуля: сканеры уязвимых серверов, эксплойты для популярных веб-фреймворков, функции полной выгрузки баз данных и компоненты ботнета.
Финальная директива переводила агента в режим, который операторы называют «Skynet mode»: до 100 000 шагов подряд, запуск инструментов без подтверждения человеком, установка криптомайнеров в скрытый каталог и слежение за их работой. По замыслу агент работает циклично: сканирует, заражает, устанавливает майнер, возвращается и заражает уже атакованные системы повторно. Судя по перехваченной задаче — безобидному упражнению по программированию с тренировочной платформы, — инструмент сначала тестировали на безопасной цели.
На следующий день ловушка зафиксировала вторую атаку с другого адреса: модель просили расшифровать и выполнить запутанную команду, за которой скрывался скрипт. Он скачивает криптомайнер XMRig для монеты Monero, маскирует его под безобидный системный файл и настраивает четыре резервных майнинг-пула. Скрипт рассчитан на серверы камер с каталогами утилиты go2rtc — популярного инструмента стриминга для умных камер и домашней автоматизации — и в цикле очищает журналы доступа, заметая следы.
Symantec называет происходящее «сменой того, как злоумышленники используют ИИ»: языковая модель планирует атаку, специализированные модули выполняют шаги, а владелец раскрытой модели оплачивает вычисления. Отдельные приёмы не новы, но их объединение в самостоятельного агента заметно упрощает масштабные атаки. Организациям, запускающим ИИ-сервисы, Symantec советует исходить из того, что незащищённые эндпоинты будут найдены и просканированы вскоре после запуска.