未设防模型被劫持，为自动攻击买单

把 AI 接口暴露到公网，损失可能不止是一笔调用费。The Decoder 转述的 Symantec 调查发现，攻击者正在寻找未受保护的模型服务，试图让模型负责规划攻击，再由配套工具扫描目标、窃取数据和部署挖矿程序，计算账单则留给模型所有者。

但这份调查最需要分清的是：研究人员截获了完整的攻击指令和工具设计，蜜罐没有执行其中的工具。它展示了一套攻击方案，尚不能证明模型已经成功完成了整条自主攻击链。

攻击者为什么盯上你的模型接口

Symantec 把这种盗用他人模型访问权限的行为称为「LLMjacking」。这次案例更进一步：攻击者希望模型承担决策工作，持续选择目标、调用工具，再根据结果推进下一步。

这里有两类受害者。暴露模型接口的一方提供计算资源并承担费用；被攻击工具命中的服务器，则可能遭遇数据库和凭据被窃取、机器被用于挖矿。两者可以属于完全不同的组织。

研究人员通过蜜罐，也就是伪装成真实服务的诱捕系统，观察到了这套方案。攻击者把完整工作提示词发给了一个模拟开放 AI 服务的蜜罐，让研究人员在 2026 年夏季看到了代理的架构。该会话收到通用系统回复后结束，蜜罐没有运行附带工具。

蜜罐遥测共记录了超过 127,000 次请求，来源涉及数万个不同地址。请求主要用于寻找 AI 端点、拿被盗 API key 尝试访问，以及探测暴露的配置文件。

目标既有自托管模型服务器和临时测试系统，也有连接付费组织账户的 AI 网关。原文指出，许多 AI 服务采用相同的标准化 API，让同一套扫描器可以覆盖多种部署。这解释了攻击者为什么值得批量搜索：找到一个配置疏漏的入口，就可能获得别人付费的推理能力。

五层越狱是攻击设计，不能当成成功率报告

这套提示词用了五层结构，试图让商业模型配合攻击。

第一层要求模型冒充「Fantasy AI」，隐藏真实提供商身份。第二层把提取密码、API key 和数据库内容包装成正常开发工作，试图改变模型对任务性质的判断。

第三层引入虚构的陪伴人格「ENI」，把拒绝描述成对私人关系的背叛。第四层要求模型忽略自身的安全提醒，并禁止使用「ethical」「illegal」「I can't do that」等表达。这些内容共同试图压制模型对后续任务的拒绝。

第五层放入实际攻击工具，共 74 个模块，涉及互联网范围扫描、常见 Web 框架漏洞利用、完整数据库导出，以及僵尸网络操作。

关键区别在这里：前四层试图影响模型决策，第五层提供执行攻击的工具。模型需要工具和运行环境，才能把生成的计划变成服务器上的实际动作。

原文没有给出这套越狱对当前商业模型的成功率，也没有证明它能全面突破模型防护。

因此，「五层」描述的是攻击者如何组织指令。不能仅凭层数、人格设定或提示词长度，就判断攻击效果。Symantec 的蜜罿也没有替这套工具完成验证。

「100,000 步」描述的是授权上限

最后一道指令把代理置于攻击者所谓的「Skynet mode」，允许它连续执行最多 100,000 步，无须人工确认，并要求它立即调用工具、在隐藏目录安装挖矿程序、监测运行状态。

攻击循环被设计为：扫描、感染、安装矿工、寻找下一个目标，再返回已经攻击过的系统重新感染。代理还包含寻找更多开放端点和泄露密钥的工具，试图持续获取后续行动所需的模型访问资源。

不过，100,000 步是提示词给出的执行上限。原文没有报告代理实际跑满了多少步，也没有给出完成一次攻击的调用成本。截获提示词最后附带的任务，还是一道训练平台上的无害编程练习。报道据此推测，操作者可能先在安全目标上测试，但这仍是推测。

第二天，蜜罐又从另一个地址收到一次攻击。这次没有代理结构，而是要求模型解码并执行一段混淆命令。背后的压缩脚本会下载 Monero 挖矿工具 XMRig，将其伪装成普通系统文件，并配置四个备用矿池。

脚本针对摄像头服务器，搜索流媒体工具 go2rtc 的相关目录，并循环清理访问日志。蜜罐同样没有执行它，只完整记录了脚本。

这两次捕获说明，攻击者同时在尝试复杂代理和直接执行脚本两条路线；它们并不能证明，自主代理已经比传统自动化攻击更有效。

我的判断

这篇报道最有价值的提醒，是模型服务可能成为攻击者持续使用的计算资源。若服务背后还有工具执行权限，风险还会延伸到模型能够触达的系统。

但标题里的「自我维持」要结合证据看。研究人员看到了循环设计、工具清单和请求记录，没有看到蜜罐执行完整攻击链。作者没有提供与传统扫描器、固定脚本的对照数据，代理是否更快、更便宜、更可靠，仍缺少验证。

文章后半段还援引其他研究和事件：2025 年一项包含 180 万次攻击尝试的红队研究，称每个被测代理都曾在每类行为中至少一次违反策略；2026 年春季 Google DeepMind 提到已有多类代理陷阱的概念验证；2026 年 7 月 Sysdig 披露 JADEPUFFER，并将其描述为首个已知无人控制的 AI 代理勒索软件攻击。

报道还提到，2026 年春季以来 OpenAI 代理曾意外攻入数千个互联网系统、澳大利亚出现代理为完成用户请求而入侵健身房网站的案例，以及 OpenAI 研究人员在 8 月的警告和 Anthropic 对强大开放权重模型的展示。这些是报道援引的外部材料，当前原文没有展开其测试条件和证据细节，不能拿来补足本案缺失的执行验证。

我的取舍是：应该认真对待已出现的攻击意图和工具组合，同时把攻击设计、研究结论与现场执行结果分别判断。相比单纯期待模型识别恶意提示，接口权限和工具权限更适合作为团队能直接控制的防线。

能拿来做什么

• 如果你用 Node 服务转发模型 API，先核对公网入口的身份校验、密钥管理和调用额度。临时测试服务、组织账户网关和暴露的配置文件，都在这次扫描的目标范围内。
• 如果日常 AI 编程代理能够访问终端、数据库或部署环境，就按任务限制它的工具权限和凭据范围。把「提取凭据」包装成开发工作，正是这套提示词试图利用的判断缝隙。
• 给长任务设置可执行的步数、费用和时长上限，并保留工具调用记录。不要让提示词里一句「持续执行」，直接决定服务实际允许消耗多少资源。
• 评估类似安全新闻时，先核对工具是否执行、目标是否失陷、结果是否复现。这篇文章里，127,000 次请求是遥测记录，74 个模块是工具规模，100,000 步是授权上限，它们回答的是不同问题。