Що сталося
21 жовтня 2026 року дослідники Symantec (підрозділ Broadcom) опублікували розбір атакувального ШІ-агента, якого його оператори запускають у режимі «Skynet». Агент знаходить в інтернеті мовні моделі, відкриті без пароля або з ключем, що витік, і використовує їх як «мозок» для зламу серверів. Платить за це власник моделі: кожен крок агента списується з його рахунку за обчислення. Такий прийом називають LLMjacking — викрадення чужої ШІ-моделі.
Деталі
- Повний набір інструкцій агента спіймала ШІ-пастка Symantec (honeypot — приманка, яка вдає вразливий сервер) влітку 2026 року.
- У режимі «Skynet» агент працює до 100 000 кроків без участі людини: шукає цілі, заражає їх, ставить майнер і повертається до пошуку.
- Цілі — сервери моделей, які відповідають без авторизації: самостійно розгорнуті моделі з налаштуваннями за замовчуванням, ШІ-шлюзи до платних акаунтів компаній, похапцем підняті тестові стенди та MCP-сервери (MCP — протокол, через який моделі підключають до інструментів).
- Щоб модель не відмовила, на неї накладають п’ять шарів джейлбрейку (обходу вбудованих обмежень), а в руки їй дають 74 атакувальні інструменти: від сканування до експлойтів Django, Jupyter, Next.js і Flask.
- На захоплених серверах агент краде бази даних і ключі, ставить майнер Monero XMRig під виглядом системного файлу та чистить логи.
- Пастка зафіксувала понад 127 000 зовнішніх запитів із десятків тисяч адрес. Найчастіше це була розвідка ендпоінтів і перебір викрадених API-ключів.
Що це означає
Кого стосується: усіх, хто тримає свою модель на домашньому ПК, VPS або в хмарі й відкрив її API назовні. Це стосується і тих, хто зберігає ключі OpenAI чи Anthropic у .env на публічному сервері.
Ризик — у грошах і даних. До 100 000 кроків на чужих обчисленнях — це рахунок за інференс, який прийде власнику моделі. Якщо модель стоїть на вашому сервері, до рахунку додаються викрадені бази та майнер, що навантажує залізо.
Що перевірити сьогодні. Якщо модель працює в Ollama або LM Studio, почніть з адреси сервера. Ollama за замовчуванням слухає лише свій комп’ютер: адреса 127.0.0.1, порт 11434. Якщо ви змінювали OLLAMA_HOST на 0.0.0.0, щоб заходити з телефона, або прокидали порт на роутері, перевірте, чи не відповідає сервер з інтернету. У LM Studio, якщо ввімкнено роздачу в мережу, є перемикач Require Authentication: він вимагає токен у кожного клієнта. Symantec радить ховати такі API за шлюзом з авторизацією, регулярно змінювати ключі, стежити за сплесками витрат і не тримати Jupyter чи Django-налагодження відкритими в мережу. Загроза актуальна вже зараз: агент працює автономно й сканує мережу цілодобово.
