Что произошло
21 октября 2026 года исследователи Symantec (подразделение Broadcom) опубликовали разбор атакующего ИИ-агента, которого его операторы запускают в режиме «Skynet». Агент находит в интернете языковые модели, открытые без пароля или с утёкшим ключом, и использует их как «мозг» для взлома серверов. Платит за это владелец модели: каждый шаг агента списывается с его счёта за вычисления. Такой приём называют LLMjacking — угон чужой ИИ-модели.
Детали
- Полный набор инструкций агента поймала ИИ-ловушка Symantec (honeypot — приманка, которая притворяется уязвимым сервером) летом 2026 года.
- В режиме «Skynet» агент работает до 100 000 шагов без участия человека: ищет цели, заражает их, ставит майнер и возвращается к поиску.
- Цели — серверы моделей, которые отвечают без авторизации: самостоятельно развёрнутые модели с настройками по умолчанию, ИИ-шлюзы к платным аккаунтам компаний, наспех поднятые тестовые стенды и MCP-серверы (MCP — протокол, через который модели подключают к инструментам).
- Чтобы модель не отказалась, на неё накладывают пять слоёв джейлбрейка (обхода встроенных ограничений), а в руки ей дают 74 атакующих инструмента: от сканирования до эксплойтов Django, Jupyter, Next.js и Flask.
- На захваченных серверах агент ворует базы данных и ключи, ставит майнер Monero XMRig под видом системного файла и чистит логи.
- Ловушка зафиксировала более 127 000 внешних запросов с десятков тысяч адресов. Чаще всего это была разведка эндпоинтов и перебор украденных API-ключей.
Что это значит
Кого касается: всех, кто держит свою модель на домашнем ПК, VPS или в облаке и открыл её API наружу. Это касается и тех, кто хранит ключи OpenAI или Anthropic в .env на публичном сервере.
Риск — в деньгах и данных. До 100 000 шагов на чужих вычислениях — это счёт за инференс, который придёт владельцу модели. Если модель стоит на вашем сервере, к счёту добавляются украденные базы и майнер, который грузит железо.
Что проверить сегодня. Если модель крутится в Ollama или LM Studio, начните с адреса сервера. Ollama по умолчанию слушает только свой компьютер: адрес 127.0.0.1, порт 11434. Если вы меняли OLLAMA_HOST на 0.0.0.0, чтобы заходить с телефона, или пробрасывали порт на роутере, проверьте, не отвечает ли сервер из интернета. В LM Studio, если включена раздача в сеть, есть переключатель Require Authentication: он требует токен у каждого клиента. Symantec советует прятать такие API за шлюзом с авторизацией, регулярно менять ключи, следить за всплесками расходов и не держать Jupyter или Django-отладку открытыми в сеть. Угроза актуальна уже сейчас: агент работает автономно и сканирует сеть круглосуточно.
