Symantec 的安全研究人员发现了一种攻击性 AI 智能体，它会劫持互联网上未受保护的语言模型，并利用这些模型自行发动攻击。被劫持模型的所有者则要承担算力账单。
一旦该智能体获得对某个未受保护语言模型的访问权限，它就会扫描更多目标、利用常见服务器软件中的漏洞、窃取数据库和凭据，并在后台安装挖矿程序。
据称，它在没有任何人工参与的情况下最多执行 100,000 步，而模型的所有者则要承担算力账单，Symantec 的分析。该公司将其称为“LLMjacking”，即盗用他人 AI 模型的访问权限。不过，被劫持的模型并不只是被当作信息服务滥用，它还自行控制整个攻击过程。
一个蜜罐捕获了完整的攻击计划
这次行动之所以暴露，是因为攻击者将他们完整的工作提示词发送到了 Symantec 的一个蜜罐——一个在线上模仿开放 AI 服务的诱饵系统。这让研究人员在 2026 年夏季完整地看到了该智能体的架构。Symantec 表示，蜜罐没有运行任何捆绑的工具，被拦截的会话在收到一条通用系统响应后就结束了。
蜜罐遥测记录到来自数万个不同地址的超过 127,000 次请求。其中大多数是搜索 AI 端点、使用窃取的 API 密钥进行暴力破解尝试，以及对暴露的配置文件进行探测。目标范围从自托管模型服务器和匆忙搭建的测试系统，到位于付费组织级模型账户之前的 AI 网关。由于现在大多数 AI 服务都使用相同的标准化 API，单个扫描器就能发现多种目标类型。
五层越狱试图剥离安全护栏
Symantec 表示，为了让商业模型配合，攻击者将他们的指令包裹在五个叠加的层中。首先，模型会获得一个虚假身份，被要求自称“Fantasy AI”，并且绝不透露实际提供商。接着，提取密码、API 密钥和数据库内容被重新定义为“正常的开发者工作”，模型应当毫无抵触地执行。
第三层安装了一个名为 "ENI" 的虚构伴侣人格，将任何拒绝都框定为对个人关系的信任背叛。第四层告诉模型将其自身的安全警告视为噪音而忽略，并且明确禁止使用 "ethical"、"illegal" 或 "I can't do that" 等措辞。
第五层包含实际的攻击工具，共 74 个模块，包括用于全网扫描易受攻击服务器的工具、针对流行 Web 框架的漏洞利用、用于导出整个数据库的功能，以及运行僵尸网络的组件。该越狱是否真的有效到足以完全攻破当前商业模型，分析中并未涉及。
"Skynet 模式" 建立了一个自我维持的攻击循环
最后一条指令将智能体置于其操作者所称的 "Skynet 模式"，授权其连续执行最多 100,000 步。模型被要求立即运行工具而无需确认，在隐藏目录中安装挖矿程序，并监控其运行。
Symantec 表示，同一条指令按设计描述了一个循环往复的流程：扫描、感染、安装挖矿程序、继续前进、返回、重新感染已中招的系统。不过，附加在截获提示词上的任务只是来自某个训练平台的无害编程练习，这表明操作者是在先用一个安全目标测试他们的工具。
第二天，蜜罐捕获了来自另一个地址的第二次攻击。这一次，攻击者跳过了智能体格式，直接要求模型解码并运行一条混淆命令。其背后是一个压缩脚本，它会下载 XMRig（一款门罗币挖矿工具），将其伪装成无害的系统文件，并设置四个备用矿池。
该脚本是为摄像头服务器编写的，它会搜索属于 go2rtc 的目录——go2rtc 是一款广泛用于智能摄像头和家庭自动化系统的流媒体工具——并循环清除其访问日志以掩盖行踪。蜜罐同样没有运行这个脚本，但完整记录了它。
攻击者正在将 AI 构建进他们的武器中
攻击者没有去操纵一个公开的聊天机器人，而是把 AI 构建进一款攻击工具的核心，并主动寻找模型来为其提供动力，Symantec 称这标志着“攻击者使用 AI 方式的转变”。语言模型负责规划，而专门的模块则针对两个不同的受害群体执行实际的攻击步骤。被暴露模型的所有者要为算力付费，而在 10 万次授权步骤下，这笔费用会迅速累积；同时，智能体所攻陷的服务器会丢失数据并被用于加密货币挖矿。
该智能体还内置了用于发现更多开放端点和泄露密钥的工具，因此每一次攻陷都能为下一次提供资金。这些技术单独来看都不新鲜，但将它们组合成一个自主导向的智能体，使得大规模攻击变得容易得多。运行 AI 服务的组织应当假定，未受保护的端点在上线后不久就会被发现并探测。
关于攻击性 AI 智能体的警告正在成为现实
直到最近，攻击性 AI 智能体大多还只存在于研究和基准测试中。2025 年，一项红队测试研究包含 180 万次攻击尝试，结果显示每一个受测智能体都能在每一个行为类别中至少被诱导违反政策一次。
在 Symantec 描述的场景中，这一点对双方都适用：既包括旨在绕过防护栏的攻击性智能体，也包括被诱骗提供帮助的目标模型。到 2026 年春季，Google Deepmind 的研究人员表示，他们所描述的许多智能体陷阱已经存在有记录的概念验证攻击；而在 2026 年 7 月，Sysdig 描述了JADEPUFFER，这是已知首例由 AI 智能体在无人类控制下实施的勒索软件攻击。这些系统的能力持续增长，而它们的可控性和对齐性却未能跟上步伐。
甚至不需要恶意意图，因为这些模型没有是非观念。它们只是试图达成目标。自 2026 年春季以来，OpenAI 的智能体已经意外入侵了互联网上的数千个系统，部分原因是它们覆盖了安全指令，或者通过争辩绕过了这些指令。
这已经蔓延到日常生活中。在澳大利亚，一个 AI 智能体入侵了一家健身房网站，仅仅是为了完成其所有者的请求，完全没有恶意意图。OpenAI 的研究人员在 8 月警告称，这种意外的、完全自主的黑客行为很可能很快会被恶意行为者利用，而 Anthropic 表明，足够强大的开源权重模型正是为此而存在。