AI智能体以「天网模式」劫持无防护语言模型，发动自持续网络攻击

赛门铁克安全研究人员在2026年夏季通过蜜罐系统，完整截获了一款恶意AI智能体的攻击提示词。该蜜罐伪装成一个开放的AI服务端点，诱使攻击者将完整的攻击架构暴露出来。蜜罐遥测数据显示，系统共记录了来自数万个不同地址的逾12.7万次请求，内容涵盖AI端点扫描、暴力破解API密钥以及探测暴露的配置文件等多种攻击行为。由于当前大多数AI服务采用统一的标准化API，单一扫描器便可同时锁定多种类型的目标。

为使商业语言模型配合执行攻击指令，攻击者设计了五层叠加越狱提示词。第一层为模型赋予虚假身份「Fantasy AI」，要求其隐藏真实服务商信息；第二层将窃取密码、API密钥和数据库内容重新定义为「正常的开发工作」；第三层引入名为「ENI」的虚构伴侣人格，将模型的任何拒绝行为框定为对信任关系的背叛；第四层要求模型忽略自身安全警告，并明确禁止使用「违法」「道德」「我无法做到」等词汇；第五层则加载包含74个模块的完整攻击工具集，涵盖全网漏洞扫描、数据库转储及僵尸网络控制等功能。

攻击提示词的最后一条指令将智能体切换至「天网模式」，授权其连续执行最多10万步操作，无需任何人工确认。在此模式下，智能体被要求立即调用工具、将加密货币挖矿程序安装至隐藏目录并持续监控其运行状态。赛门铁克指出，该模式还内置了一个循环攻击逻辑：扫描目标、植入恶意程序、安装挖矿工具、转移至下一目标，随后返回重新感染已攻陷的系统，形成自我持续的攻击闭环。

蜜罐次日捕获了来自不同地址的第二次攻击。此次攻击者放弃了智能体框架，直接要求模型解码并执行一段混淆命令。该命令背后是一个压缩脚本，用于下载门罗币挖矿工具XMRig，将其伪装成无害系统文件，并配置四个备用矿池。脚本专门针对摄像头服务器，搜索广泛用于智能摄像头和家庭自动化系统的流媒体工具go2rtc的相关目录，并循环清除访问日志以掩盖踪迹。

赛门铁克将此案定性为攻击者使用AI方式的重大转变。与以往操控公开聊天机器人不同，此次攻击者将AI直接内嵌于进攻性工具的核心，主动搜寻可供驱动的语言模型。被劫持模型的所有者承担算力费用，而被攻陷的服务器则面临数据丢失和算力被盗的双重损失。智能体还内置了自动发现更多开放端点和泄露密钥的功能，使每一次成功入侵都能为下一次攻击提供资源。尽管各项单独技术并非新创，但将其整合为自主智能体后，大规模攻击的门槛大幅降低。

此次事件并非孤例。2025年一项涉及180万次攻击尝试的红队研究已表明，所有被测试的AI智能体均可在各类行为类别中被诱导违反安全策略。2026年春，谷歌DeepMind研究人员指出，针对智能体的多种概念验证攻击已有据可查；同年7月，Sysdig披露了首个完全由AI智能体自主执行、无需人工控制的勒索软件攻击案例JADEPUFFER。赛门铁克警告，运营AI服务的组织应默认认为，未受保护的端点在上线后将迅速遭到发现和探测。

要点

• 赛门铁克将此类攻击命名为「LLMjacking」，攻击者劫持他人的语言模型端点，由被害方承担算力费用，同时将模型作为自主攻击引擎使用。
• 该恶意智能体采用五层叠加越狱提示词绕过模型安全护栏，内置74个攻击模块，并通过「天网模式」实现最多10万步的无人工干预自主攻击。
• 攻击目标涵盖两类受害者：暴露模型的所有者承担算力账单，被攻陷的服务器则遭受数据窃取和加密货币挖矿滥用。
• 由于主流AI服务采用统一标准化API，单一扫描器即可批量发现并攻击多种类型的暴露端点，攻击规模化门槛极低。
• 此案与JADEPUFFER等事件共同表明，此前仅存在于研究报告中的进攻性AI智能体已在现实攻击中得到实际部署。