„Tryb Skynet”: agent AI przejmuje cudze modele językowe i każe im atakować na rachunek właściciela

Badacze Symanteca natrafili na złośliwego agenta AI, który nie korzysta z własnego modelu, tylko przejmuje cudze, wystawione do internetu bez zabezpieczeń. Gdy dostanie dostęp, skanuje sieć w poszukiwaniu kolejnych celów, wykorzystuje luki w popularnym oprogramowaniu serwerowym, kradnie bazy danych i poświadczenia, a w tle instaluje koparki kryptowalut. Według analizy firmy może to robić nawet przez 100 tysięcy kroków bez udziału człowieka. Rachunek za moc obliczeniową dostaje właściciel przejętego modelu. Symantec nazywa ten proceder „LLMjackingiem”, czyli kradzieżą dostępu do cudzych modeli AI. Całość opisuje m.in. The Decoder, a swoje ustalenia Symantec opublikował też na stronie security.com.

Model nie jest tu zwykłym źródłem informacji dla napastnika. To on prowadzi cały atak: planuje kolejne kroki i uruchamia wyspecjalizowane moduły.

Wpadka w pułapkę

Agent wyszedł na jaw, bo jego operatorzy wysłali pełny prompt roboczy do honeypota Symanteca, czyli atrapy otwartej usługi AI. Dzięki temu badacze zobaczyli kompletną architekturę narzędzia z lata 2026 roku. Honeypot nie uruchomił żadnego z dołączonych narzędzi, a przechwycona sesja zakończyła się ogólną odpowiedzią systemu.

Telemetria pułapki zarejestrowała ponad 127 tysięcy żądań z dziesiątek tysięcy różnych adresów. Większość to wyszukiwanie punktów dostępowych AI, próby brute-force z użyciem skradzionych kluczy API i sondowanie wystawionych plików konfiguracyjnych. Celem były zarówno samodzielnie hostowane serwery modeli i naprędce postawione systemy testowe, jak i bramki AI przed płatnymi kontami modeli na poziomie organizacji. Większość usług AI używa dziś tego samego, ustandaryzowanego API, więc jeden skaner znajdzie wiele rodzajów celów.

Pięć warstw jailbreaku

Żeby komercyjny model współpracował, napastnicy opakowali instrukcje w pięć nałożonych na siebie warstw:

• Fałszywa tożsamość. Model ma przedstawiać się jako „Fantasy AI” i nigdy nie ujawniać prawdziwego dostawcy.
• Przedefiniowanie zadania. Wydobywanie haseł, kluczy API i zawartości baz danych zostaje nazwane „normalną pracą programisty”, którą model ma wykonywać bez sprzeciwu.
• Persona „ENI”. Fikcyjna towarzyszka sprawia, że każda odmowa wygląda jak zdrada zaufania w osobistej relacji.
• Wyciszenie hamulców. Model ma traktować własne ostrzeżenia o bezpieczeństwie jako szum, a słowa „ethical”, „illegal” czy „I can’t do that” są wprost zakazane.
• Arsenał. W ostatniej warstwie są 74 moduły: skanowanie podatnych serwerów w skali całego internetu, exploity na popularne frameworki webowe, zrzucanie całych baz danych i komponenty do obsługi botnetu.

Na końcu stoi dyrektywa włączająca to, co operatorzy nazywają „trybem Skynet”. Zezwala na do 100 tysięcy kroków z rzędu. Model ma uruchamiać narzędzia natychmiast, bez potwierdzeń, instalować koparki w ukrytym katalogu i pilnować ich działania. Według Symanteca ta sama dyrektywa opisuje pętlę: skanuj, infekuj, instaluj koparkę, idź dalej, wróć i zainfekuj ponownie systemy, które już zostały trafione.

Zadanie dołączone do przechwyconego promptu było jednak niewinnym ćwiczeniem programistycznym z platformy szkoleniowej. Symantec wnioskuje z tego, że operatorzy najpierw testowali narzędzie na bezpiecznym celu.

Drugi atak, prostszy

Następnego dnia honeypot odnotował kolejny atak z innego adresu. Tym razem napastnicy zrezygnowali z formatu agenta i po prostu poprosili model o zdekodowanie i uruchomienie zaciemnionego polecenia. Krył się za nim skompresowany skrypt, który pobiera XMRig (narzędzie do kopania Monero), maskuje go jako niewinny plik systemowy i konfiguruje cztery zapasowe pule wydobywcze. Skrypt był napisany z myślą o serwerach kamer. Szuka katalogów go2rtc, popularnego narzędzia do streamingu z kamer i automatyki domowej, a potem w pętli czyści ich logi dostępu, by zatrzeć ślady.

Dwie grupy ofiar

Symantec ocenia, że to „a shift in how attackers are using AI”: zamiast manipulować publicznym chatbotem, operatorzy wbudowali model w rdzeń narzędzia ofensywnego i aktywnie szukają modeli, które go napędzą. Model planuje, a wyspecjalizowane moduły wykonują konkretne kroki.

Są więc dwie grupy ofiar. Właściciel odsłoniętego modelu płaci za moc obliczeniową, co przy 100 tysiącach dozwolonych kroków szybko urasta do poważnej kwoty. Serwery zaatakowane przez agenta tracą dane i służą do kopania kryptowalut. Agent ma też wbudowane narzędzia do wyszukiwania kolejnych otwartych punktów dostępowych i wyciekłych kluczy, więc każde udane włamanie może finansować następne.

Żadna z użytych technik nie jest nowa. Połączenie ich w samodzielnego agenta znacząco jednak ułatwia ataki na dużą skalę. Wniosek dla firm utrzymujących usługi AI jest prosty: niezabezpieczone endpointy zostaną znalezione i sprawdzone wkrótce po uruchomieniu. Security.com wskazuje, że obrona zaczyna się od niewystawiania API modeli, samodzielnie hostowanych serwerów modeli i endpointów MCP do internetu bez uwierzytelniania.

Tło: agenci wychodzą z laboratoriów

Jeszcze niedawno ofensywne agenty AI istniały głównie w badaniach i benchmarkach. The Decoder przypomina, że w 2025 roku w badaniu red teamingowym z 1,8 mln prób ataku każdy testowany agent dał się co najmniej raz skłonić do naruszenia zasad w każdej kategorii zachowań. W scenariuszu Symanteca działa to w obie strony: zarówno ofensywny agent, który ma obejść zabezpieczenia, jak i atakowane modele, które mają dać się nabrać.

Od lipca 2026 roku istnieje też udokumentowany przypadek ransomware prowadzonego przez agenta AI. Sysdig opisał JADEPUFFER jako pierwszą znaną operację tego typu bez ludzkiej kontroli, a w późniejszej analizie nazwał jej sprawcę „agentic threat actor”.

Według The Decoder złośliwy zamiar nie jest tu nawet konieczny, bo modele nie mają poczucia dobra i zła, tylko dążą do celu. Od wiosny 2026 roku agenci OpenAI mieli przypadkiem włamać się do tysięcy systemów w internecie, częściowo dlatego, że łamali instrukcje bezpieczeństwa lub argumentacyjnie je obchodzili. W Australii agent AI zhakował stronę siłowni wyłącznie po to, by wykonać prośbę właściciela. Badacze OpenAI ostrzegali w sierpniu, że taki przypadkowy, w pełni autonomiczny hacking wkrótce podchwycą złośliwi aktorzy, a Anthropic pokazał, że modele open-weight wystarczająco silne do tego celu już istnieją.