Symantec обнаружила автономного киберагента, нацеленного на открытые LLM API

Исследователи Symantec перехватили инструкции автономного атакующего агента, рассчитанного на захват незащищённых API языковых моделей и выполнение до 100 тысяч действий без участия оператора. Его набор из 74 инструментов предназначен для поиска уязвимых серверов, кражи данных и учётных записей, а также установки майнеров за счёт владельца захваченной модели.

Специалисты Symantec, подразделения кибербезопасности Broadcom, исследовали автономного атакующего агента, инструкции которого летом 2026 года попали в ИИ-приманку компании. Система была замаскирована под доступный из интернета сервис большой языковой модели (LLM).

Агент должен был находить LLM-серверы без аутентификации либо использовать похищенные API-ключи. Захваченная модель выступала в роли управляющего компонента: планировала атаки и вызывала 74 специализированных инструмента для сканирования, эксплуатации уязвимостей в веб-фреймворках, выгрузки баз данных, сбора секретов и управления ботнетом.

Финальная директива под названием Skynet разрешала выполнить до 100 тысяч шагов без подтверждения человека. Предписанный цикл включал поиск целей, заражение серверов, скрытую установку криптомайнера и повторные атаки. Расходы на вычисления при этом возлагались на владельца скомпрометированной модели — такой способ злоупотребления исследователи называют LLMjacking.

Приманка не запускала переданные ей инструменты, а задача в первой перехваченной сессии относилась к безопасной учебной платформе, поэтому успешное выполнение всей автономной цепочки не подтверждено. Однако на следующий день исследователи получили отдельный обфусцированный сценарий для установки майнера XMRig на серверы видеотрансляции go2rtc; этот код также был только записан и не исполнялся.

Symantec рекомендует закрывать аутентификацией все маршруты LLM API и серверов Model Context Protocol, ограничивать исходящие соединения, регулярно менять ключи, отслеживать аномальный объём запросов и расходов, а агентам с доступом к инструментам выдавать минимальные привилегии и требовать подтверждение опасных операций.