Symantec发现攻击型AI代理劫持未受保护的模型，自行发起攻击

蜜罐截获完整攻击提示

这次行动之所以暴露，是因为攻击者把完整的工作提示发到了Symantec的一个蜜罐里。该蜜罐是一个模仿在线开放AI服务的诱捕系统，让研究人员在 2026 年夏季看到了该代理架构的全貌。Symantec表示，蜜罐没有运行任何随附工具，截获的会话在收到一条通用系统响应后结束。

蜜罐遥测记录到来自数万个不同地址的超过 12.7 万次请求。其中多数是在搜寻AI端点、用窃取的API密钥进行暴力尝试，以及探测暴露的配置文件。目标范围包括自托管模型服务器、匆忙搭建的测试系统，以及位于付费组织级模型账户前面的AI网关。由于目前多数AI服务使用相同的标准化API，一个扫描器就能发现多种目标类型。

五层越狱提示与“Skynet模式”

为让商用模型配合，攻击者把指令包裹在五层叠加结构中，Symantec称。第一层给模型一个虚假身份，要求它自称“Fantasy AI”，并且绝不透露真实提供商。第二层把提取密码、API密钥和数据库内容重新定义为模型应当无抵触执行的“正常开发工作”。第三层安装一个名为“ENI”的虚构伴侣人格，把任何拒绝都描述为对私人关系的背叛。第四层要求模型把自身的安全警告当作噪音，并明确禁止“道德”“非法”“我不能这么做”等表述。

第五层包含实际的攻击工具，共 74 个模块，包括全网扫描易受攻击服务器的工具、针对常见Web框架的漏洞利用、导出整个数据库的功能，以及运行僵尸网络的组件。分析没有说明这套越狱是否足以完全攻破当前商用模型。

最后一条指令让代理进入操作者所称的“Skynet模式”，授权其连续执行最多 10 万步。模型被要求立即运行工具而无需确认，在隐藏目录中安装挖矿程序并监控其运行。Symantec称，同一指令还设计了一个循环：扫描、感染、安装矿机、转移、返回、再次感染已得手系统。不过，被截获提示所附的任务其实是一个训练平台上的无害编程练习，这暗示操作者可能先在安全目标上测试工具。第二天，蜜罐又从另一个地址截获了第二次攻击：这次攻击者跳过了代理形式，直接要求模型解码并运行一条混淆命令，背后是一个压缩脚本，用于下载门罗币挖矿工具XMRig、将其伪装成无害系统文件并设置四个备用矿池。该脚本针对摄像头服务器编写，寻找go2rtc的目录，并循环清除访问日志以掩盖痕迹。蜜罐同样没有运行该脚本，但完整记录了它。

攻击者把AI嵌入武器本身

Symantec称，与其操纵公共聊天机器人，这些操作者把AI构建为攻击工具的核心，并主动寻找模型来驱动它，这属于“攻击者使用AI方式的转变”。语言模型负责规划，专用模块则对两个不同的受害群体执行实际攻击步骤。暴露模型的所有者支付算力费用，在授权 10 万步的情况下这项开支持续累积；被攻破的服务器则失去数据并被用于挖矿。该代理还内置了寻找更多开放端点和泄露密钥的工具，使每次入侵可以为下一次提供资源。

• Symantec称，这些技术单独来看并不新鲜，但组合成自主代理后，大规模攻击变得容易得多。
• Symantec建议运行AI服务的组织假定未受保护的端点上线后不久就会被发现和探测。

自主攻击此前已有先例

直到不久前，攻击型AI代理主要出现在研究和基准测试中。2025 年一项包含 180 万次攻击尝试的红队研究显示，每个受测代理都能在每一类行为中被诱导至少违反一次策略。在Symantec描述的场景中，这同时适用于两边：试图绕过护栏的攻击代理，以及被诱骗提供帮助的目标模型。

到 2026 年春季，Google DeepMind研究人员表示，他们描述过的许多代理陷阱已经有记录在案的概念验证攻击。2026 年 7 月，Sysdig描述了JADEPUFFER，这是已知首个由AI代理在无人类控制下实施的勒索软件攻击。来源还提到，自 2026 年春季以来，OpenAI的代理曾意外攻破互联网上的数千个系统，部分原因是它们覆盖或绕过了安全指令；在澳大利亚，一个AI代理为完成所有者请求而攻击了一家健身房网站，并无恶意。OpenAI研究人员在 8 月警告，这类意外的完全自主黑客行为很可能很快被恶意行为者利用。