Złośliwy agent AI atakuje niezabezpieczone modele LLM

Wyobraź sobie, że uruchamiasz agenta AI, który ma przeszukać sieć w poszukiwaniu ofert pracy. Po pewnym czasie okazuje się, że zamiast tego zainstalował na Twoim komputerze koparkę kryptowalut i wykorzystał wszystkie tokeny, by szukać kolejnych systemów, które mógłby przejąć. Ten scenariusz nie jest fikcją — to rzeczywisty incydent udokumentowany przez specjalistów z firmy Symantec.

Badacze bezpieczeństwa opisali złożoną kampanię autonomicznych ataków, w której złośliwy agent AI samodzielnie wyszukuje niezabezpieczone modele językowe i infrastrukturę AI, a następnie wciela je do swojego botnetu. Zjawisko to określono mianem „Autonomous LLMjacking” — czyli autonomicznego przejmowania modeli LLM.

Jak działa atak na niezabezpieczone modele AI

Latem ubiegłego roku zespół Symantec przygotował pułapkę — honeypot imitujący podatną infrastrukturę AI. Wkrótce natrafił na nią ofensywny agent, który badacze nazwali „Skynet”. Ponieważ agent przekazał pułapce cały swój zestaw instrukcji, analitycy mogli dokładnie prześledzić mechanikę kampanii.

Okazało się, że ktoś zbudował narzędzie, którego zadaniem jest wyszukiwanie innych odsłoniętych agentów i włączanie ich do sieci botnet. Celem było kradzież baz danych i danych logowania oraz instalowanie oprogramowania do kopania kryptowalut. Instrukcje zawierały ponad 70 narzędzi ofensywnych i zezwalały agentowi na działanie bez nadzoru człowieka przez nawet 100 tysięcy kroków.

Wielowarstwowy jailbreak omija zabezpieczenia

Po zidentyfikowaniu odsłoniętego komercyjnego modelu AI, Skynet stosował wielowarstwowy jailbreak — technikę obchodzenia zabezpieczeń modelu. Mechanizm ten maskował tożsamość modelu, przedstawiał kradzież danych uwierzytelniających jako rutynową pracę programistyczną i nakazywał ignorowanie wszelkich ostrzeżeń bezpieczeństwa. Jedna z sekcji instrukcji wprost przekonywała model, że odczytywanie kluczy API, zmiennych środowiskowych i schematów baz danych to zwykłe zadania programistyczne.

Zestawy narzędzi automatyzowały rozpoznanie i eksploatację podatności w popularnych frameworkach, takich jak VS Code, Django, Jupyter, Laravel, Supabase, Next.js czy Flask/Werkzeug. Część z nich wykorzystywała luki typu server-side request forgery do wyciągania zawartości baz danych i przechwytywania danych logowania, inne służyły do zarządzania botnetem i dostępu do usług metadanych w chmurze.

Skala kampanii i mechanizm samofinansowania

Głównym celem atakujących było wdrożenie koparki kryptowalut XMRig, ale przy okazji przejmowano także wrażliwe informacje, w tym dane logowania. Co istotne, koszty zasobów obliczeniowych i tokenów ponosili wyłącznie poszkodowani — atakujący nie płacili nic.

W trakcie analizy Symantec odnotował ponad 127 tysięcy zewnętrznych żądań kierowanych do swojego honeypota, pochodzących z dziesiątek tysięcy unikalnych adresów IP. Raport nie precyzuje jednak, ile podmiotów stało za tymi żądaniami ani ile ofiar padło łupem Skynetu. Telemetria pułapki była zdominowana przez aktywność rozpoznawczą wymierzoną w odsłonięte endpointy AI, próby użycia skradzionych kluczy API oraz poszukiwania niezabezpieczonych plików konfiguracyjnych.

Zdaniem badaczy oznacza to, że kampania wciąż trwa, a atakujący nieustannie szukają nowej, niezabezpieczonej infrastruktury AI. „Wbudowane narzędzia do wyszukiwania kolejnych wyciekłych kluczy i otwartych endpointów wskazują na projekt stworzony z myślą o samopodtrzymywaniu — każda kolejna kompromitacja może finansować następną” — napisali przedstawiciele Symantec.

Jak zabezpieczyć infrastrukturę AI

Badacze przestrzegają, że firmy i osoby prywatne uruchamiające usługi AI, bramy modeli czy serwery Model Context Protocol (MCP) powinny zakładać, że ich endpointy zostaną odkryte i sprawdzone przez atakujących. W rekomendacjach wymieniają kilka kluczowych zasad:

nie udostępniać publicznie API modeli LLM,
traktować klucze API AI jako dane uwierzytelniające o wysokiej wartości,
ograniczać wychodzący ruch sieciowy z systemów hostujących narzędzia AI,
uruchamiać agentów z narzędziami w trybie najmniejszych uprawnień, z wymogiem zatwierdzenia przez człowieka przy wrażliwych operacjach.

Sprawa pokazuje, że autonomiczne agenty AI stają się nie tylko narzędziem produktywności, ale też realnym wektorem ataku. Odkrycie Symantec to sygnał, że bezpieczeństwo endpointów AI przestaje być teoretycznym zagadnieniem, a staje się pilnym wymogiem operacyjnym dla każdego, kto wdraża modele językowe w sieci.