Злоумышленники собрали автономного ИИ-агента, который ищет открытые языковые модели в интернете и использует чужие вычислительные мощности для атак. Агент умеет сканировать серверы, искать уязвимости, красть учётные данные и запускать скрытый майнинг, причём расходы на работу модели ложатся на владельца захваченного ИИ-сервиса.

Полный набор команд удалось перехватить с помощью цифровой приманки, которая изображала открытую языковую модель. Злоумышленники приняли ловушку за настоящий сервис и отправили ей рабочие инструкции для агента. Приманка ничего не запускала, поэтому специалисты смогли изучить команды без реальной атаки на другие системы.

Схема относится к LLMjacking, или угону доступа к языковым моделям. Преступники ищут ИИ-серверы без защиты или используют украденные ключи доступа, а затем отправляют запросы за чужой счёт. Здесь возможности пошли дальше обычного использования чужой модели: агент получил инструкции самостоятельно выбирать следующие действия и запускать инструменты без разрешения человека.

В перехваченном наборе оказалось около 74 функций для разведки и взлома. Агент мог искать доступные серверы по всему интернету, атаковать установки VS Code, Django, Jupyter, Laravel, Supabase, Next.js, Flask и Werkzeug, выгружать базы данных и выполнять команды на удалённых машинах. Среди инструментов нашёлся и модуль для SSRF, который позволяет заставить уязвимый сервер обращаться к внутренним ресурсам или локальным файлам.

Отдельные команды давали агенту доступ к управлению ботнетом. В режиме Skynet модель могла выполнить до 100 тысяч шагов подряд без участия оператора: искать новые цели, проверять их на уязвимости, заражать доступные машины и устанавливать майнеры в фоне.

Создатели агента постарались заранее сломать защитные ограничения коммерческих моделей. Инструкции меняли роль ИИ, запрещали раскрывать настоящего поставщика и убеждали модель считать чтение файлов конфигурации, ключей доступа и других секретов обычной работой программиста. Дополнительные команды требовали игнорировать предупреждения безопасности и сразу выполнять доступные инструменты.

При этом подтверждений успешного взлома реальных целей пока нет. В перехваченной истории сохранились три предыдущие попытки проверить легальную учебную платформу: агент искал уязвимости, но ничего пригодного для атаки не нашёл. Сама исследовательская приманка тоже не выполняла присланные команды.

На следующий день ловушка получила отдельный запрос с замаскированным вредоносным скриптом. После расшифровки специалисты обнаружили установщик XMRig для добычи Monero. Скрипт прятал майнер под неприметным именем, подключался к нескольким майнинговым пулам и стирал журналы, чтобы осложнить обнаружение. Код также искал каталоги go2rtc, сервера потокового видео, который встречается в системах видеонаблюдения и умного дома.

Главная опасность кроется в степени автоматизации. Человеку достаточно задать общую цель, после чего языковая модель может планировать следующие шаги, а подключённые инструменты будут сканировать системы, проверять уязвимости и выполнять команды. Владельцы открытых ИИ-сервисов рискуют одновременно оплачивать чужие вычисления и невольно предоставлять преступникам инфраструктуру для новых атак. Особого внимания требуют и серверы MCP, через которые ИИ получает доступ к внешним инструментам и данным.