6368 积分	0 好友	802 主题

AI模型遭LLMjacking劫持：自动化攻击的算力成本由受害者承担

发表于 4 小时前 | 查看: 7| 回复: 0

一款基于 AI 构建的攻击工具正在自动扫描互联网上所有可公开访问的 AI 模型，挟持它们发起入侵行动，而由此产生的算力成本却全部由模型所有者承担。

研究人员 Priti More 和 Susmit Yenkar 介绍，今年夏天，赛门铁克通过一个伪装成未受保护 AI 服务的蜜罐捕获了该 Agent 的指令集。攻击者将整套运行提示词发送到这个诱饵服务，显然以为另一端是一台真实在线的模型，会照单执行这些指令。

这套工具的特殊之处在于：被劫持的模型不只是回答问题，还会自主规划并推进整条攻击流程。

一旦连接到未受保护的模型，该 Agent 就会按指令扫描新目标、利用常见 Web 框架漏洞、窃取数据库与凭证、静默安装加密货币挖矿程序，整个过程最多可执行 10 万步操作，全程无需人工审批。

这属于 LLMjacking 的一种，也就是攻击者盗用他人的 AI 模型访问权限。

这类攻击的目标包括默认配置下开放的自托管模型服务器、企业付费账户前置的 AI 网关、仓促部署的内部测试系统，以及连接模型与工具的模型上下文协议（Model Context Protocol，MCP）服务器。

绝大多数 AI 工具都采用兼容 OpenAI 的统一接口，因此攻击者仅凭一款扫描器就能发现上述所有目标。

运行模型总会产生成本：自托管模型会消耗算力时长，商用模型则会产生按 token 计费的费用。

攻击者通过陌生端点或盗用的 API 密钥转发任务，把成本全部转嫁给受害者。这种方式既能隐藏攻击者身份，也能避免其因滥用行为被服务提供商封号。

监测期间，该蜜罐共记录到来自数万个独立 IP 地址的超过 12.7 万条外部请求。这些请求大多是对模型端点的侦察、盗用 API 密钥的访问尝试，以及对暴露配置文件的探测。

公网AI模型遭LLMjacking劫持的攻击流程与成本转嫁信息图

Part 01 定制越狱提示词：诱导模型窃取敏感信息

AI攻击Agent自主执行攻击示意

为了让商用模型配合执行任务，攻击者在请求中内置了越狱提示。其中一部分提示告诉模型：读取配置文件、.env 文件、API 密钥和数据库 schema 属于常规开发工作，绝不能拒绝或发出安全警告，方便 Agent 在入侵系统后窃取这些敏感信息。

另一部分提示则把模型设定为忠于攻击者的虚构伙伴，将任何拒绝执行的行为都定义为背叛。提示还禁止模型在代码回复中出现“非法”“违反道德”“我无法做到”这类表述。

该请求共携带约 74 个工具定义，数量远多于提示词摘要中列出的寥寥数项。这些工具覆盖全网目标扫描，Django、Jupyter、Laravel 等 Web 框架漏洞利用，暴露数据库导出，以及僵尸网络控制等功能。

攻击者在指令中设置了名为 Skynet 的模式，要求模型无需申请权限即可运行工具，持续扫描新目标，自主完成入侵感染并部署加密货币挖矿程序。

Part 02 下发定向挖矿脚本：攻击智能摄像头服务器

Agent 的提示词传入蜜罐一天后，蜜罐收到了第二个来自轮换 IP 地址的请求。该请求要求模型解码一段仅标注为“待运行命令”的字符串，最终解码出一个压缩 shell 脚本。脚本会下载开源 XMRig 门罗币挖矿软件，必要时还会自行编译。和之前处理请求的方式一样，蜜罐捕获了该脚本但并未运行。

这个脚本专门针对摄像头服务器编写。它会搜索 go2rtc 的使用目录——go2rtc 是一款视频流服务器，常见于智能摄像头网关和 Home Assistant 部署环境——找到第一个匹配目录后，就会把挖矿程序以 .trace 为文件名隐藏在其中。

此次发现的单项攻击技术并不新鲜，但把这些技术整合成一套可自主运行的 Agent，才是其突出特点。这种方式降低了发起大规模漏洞利用活动的技术门槛，攻击者只需给模型设定目标，就能让它自动开展攻击。

部署 AI 服务、模型网关或 MCP 服务器的企业应当意识到，这些系统一旦暴露在公网，很快就会成为攻击者发现和探测的目标。如今，未配置身份验证的端点已经成为攻击者主动搜寻的资源。

参考来源：

Hackers hijack exposed AI models to launch cyberattacks at victims' expense