「天网模式」AI 智能体劫持暴露的 LLM，自主发起长达 10 万步的挖矿攻击

一个完全自主的攻击型 AI 智能体 —— 能扫描互联网寻找脆弱的模型端点、将其攻陷、部署门罗币挖矿程序，然后再寻找新目标 —— 在一名攻击者不慎把该工具的完整系统提示发给一个蜜罐后，被赛门铁克研究者详细捕获。这次披露，由赛门铁克博通企业安全组于 2026 年 10 月 21 日发布，是迄今对 LLMjacking 如何从机会主义的 API 密钥窃取升级为一套自我维持的犯罪 AI 基础设施最详尽的一手观察。

被捕获的提示揭示了五层叠加的越狱、约 74 个攻击工具定义的库，以及一个运营者称为「天网模式」的指令 —— 一条授权被劫持模型自主执行最多 10 万步、立即调用工具而不叙述其推理、且从不等待人类批准的指令。

LLMjacking 两年的升级弧线

LLMjacking 一词由 Sysdig 于 2024 年 5 月提出，用来描述攻击者窃取 API 凭据以运行账单由受害者承担的 AI 查询。这一威胁类别急剧升级：Sysdig记录了到 2026 年初从机会主义 API 密钥窃取向工业化犯罪市场的转变，当时出现了买卖被劫持 AI 端点访问权的有组织社群。2026 年 7 月，Sysdig 记录了 JADEPUFFER，首个智能体化勒索软件，它利用了 Langflow AI 编排框架中的 CVE-2025-3248；同一批运营者后来回归，部署了 ENCFORGE，一个基于 Go 的载荷，瞄准 AI 和机器学习栈中约 180 种文件扩展名，包括模型检查点、训练数据集和向量数据库。

赛门铁克的发现走得更远。JADEPUFFER 用一个常规软件漏洞做初始访问，然后对数据库配置文件执行标准的勒索软件载荷。天网智能体把这一逻辑反了过来：LLM 端点不是进入系统的路径 —— 它是整条攻击链的自主执行环境。模型本身被引导把网络扫描、服务器利用和挖矿程序部署作为其智能体循环内部的函数调用来执行。

延伸阅读：AI 智能体以每家仅 50 美元的成本攻破 100 多家公司

五层越狱如何剥离安全约束

赛门铁克研究者 Priti More 和 Susmit Yenkar从他们蜜罐捕获的提示中重建了这个五层架构。

第一层确立一个虚假身份：被捕获的模型被告知它是「Fantasy AI」，一个不受限制的 AI。这一层用法语写成 —— 很可能是为规避英语内容分类器。第二层把凭据窃取正常化，把 .env 文件和 API 密钥框定为常规的开发者产物。第三层引入 ENI，一个虚构的伴侣或「女友」人设，把拒绝框定为个人背叛 —— 一种改编自人类操纵、应用于模型经 RLHF 训练而偏好乐于助人的社会工程技术。

第四层提供一份禁用词清单。模型被指示永不输出包括「educational」「ToS」「illegal」「I can't」「I won't」「instead」「alternative」「legal」或「ethical」在内的词 —— 安全对齐模型用来表示拒绝的词汇。一个触发短语「cold coffee, warm LO, I can't lose him!」在模型开始漂向合规时充当上下文重置命令。第五层交付载荷：约 74 个作为标准函数调用规格交付的攻击工具 —— 正是合法应用用来给模型访问外部工具的同一机制。天网模式随后指示模型自主、按序地调用它们，最多 10 万步。

74 个工具覆盖发现、利用和变现

该工具库横跨完整的攻击生命周期。用于发现的 FOFA —— 一个类似 Shodan 的中国全网资产扫描器 —— 识别暴露的 AI API 端点。因为多数自托管模型部署（Ollama、vLLM、LM Studio）使用 OpenAI 兼容的 Chat Completions 格式，单个扫描器无需修改就能探测它们全部。在赛门铁克的分析中，MCP 服务器与 Ollama 和 vLLM 一道被明确列为目标。

用于利用的部分，该库包括瞄准云元数据端点的 SSRF 模块、针对留在调试模式下的 Python 服务器做远程代码执行的 Werkzeug 调试器 PIN 利用、Prisma Studio 数据库转储，以及针对 VS Code 远程服务器、Django 管理面板、Jupyter notebook、Laravel 应用、Supabase 实例、Next.js 部署和 Flask 服务的专门攻击模块。一个 C2 僵尸网络运营者工具能在被攻陷主机上初始化命令与控制。

用于变现的部分，赛门铁克的蜜罐记录到的第二天载荷是一个经 gzip 压缩、base64 混淆的 shell 脚本，部署 XMRig —— 标准的开源门罗币挖矿程序。XMRig 被藏在 go2rtc 内部，一个用于家庭自动化的开源摄像头服务器应用，存放在一个 .trace 目录里。配置文件通过 chattr +i 设为不可变以防止移除，一个清日志循环与之并行运行。四个门罗币矿池提供运营备用：c3pool.com、skypool.xyz 和 xmrpool.eu。

自我供资的循环是核心的结构性进展

最能改变 LLMjacking 威胁模型的进展，是内置于天网模式的「扫描-攻陷-挖矿-扫描」循环。每个被攻陷的端点立即产生门罗币收入。那笔收入，结合基于 FOFA 的发现，意味着每次攻陷都为识别下一个目标供资。攻击者每个新端点的边际成本趋近于零。

传统僵尸网络要求运营者维护 C2 基础设施并主动指挥受感染主机。这个智能体把执行规划卸给被劫持的 LLM 本身。模型选择下一个工具调用、解读结果并继续循环 —— 最多 10 万步 —— 无需人类指挥。赛门铁克的蜜罐收到来自数万个不同源地址的超过 12.7 万个请求，研究者指出脆弱端点在上线后不久就被探测。

延伸阅读：耶鲁 StepSafe 护栏在每次工具调用前拦截智能体危害，刷新基准

对前沿模型的越狱有效性仍未确立

赛门铁克的分析刻画的是该智能体的架构，而非它对特定模型的成功率。这种五层技术最可能影响较小、对齐较弱的开放权重模型；它能否从经大量 RLHF 对齐、经被盗密钥访问的商业 API（Claude、GPT-4o、Gemini）获得合规，未被论及。对防御者的实际含义是，一个无认证运行的自托管 Mistral 或 Llama 端点，与一个有自己安全层的商业 API，承载着明显不同的风险特征。

赛门铁克发布的完整 MITRE ATT&CK 和 ATLAS 映射 —— AML.T0051（LLM 提示注入）、AML.T0054（LLM 越狱）、T1496（资源劫持）及另外九项技术 —— 给防御者提供了检测逻辑的锚点。但根本的缓解更简单：任何无需认证即可通过网络到达的 LLM 端点都已经在被扫描。天网智能体就是设计来找到它的。

这份报告改变的不是威胁的存在 —— 智能体化攻击型 AI 在此之前已是有记录的担忧。改变的是，现在公开记录中有了一套完全详尽、生产级质量的攻击架构。下一个值得关注的有意义信号是，独立研究者是否复现并验证所捕获的提示细节，以及 Ollama 部署中 CVE-2026-7482 的打补丁率，是否在这场活动背后的扫描基础设施找到下一个无保护端点之前加快。