Symantec 拆解「Skynet」智能体：劫持裸露的 LLM 自跑攻击链

Symantec（Broadcom）10 月 21 日的威胁情报披露了一个自主进攻型智能体：它在互联网上搜寻未设防的大模型端点与 Model Context Protocol 服务器，接管后不把模型当问答服务，而是当作攻击的大脑，循环执行「扫描新目标—利用框架漏洞—窃取数据库与凭据—装门罗币挖矿—再感染」。整套指令被设计成无需人工批准即可跑满 10 万步，被劫持模型的算力账单由模型所有方支付，攻击者同时获得匿名与免于被平台封号。

这份指令集是攻击者自己送上门来的：他们把完整工作提示发给了一个蜜罐（伪装成无防护在线 AI 服务的诱饵系统），Symantec 因此拿到近乎完整的行为体架构。系统提示里的工具面比初看更宽：用 FOFA 做全网资产发现，针对 VS Code、Django、Jupyter、Laravel、Supabase、Next.js 与 Flask/Werkzeug 的利用模块（含推算 Werkzeug 调试器 PIN 以取得远程代码执行），以及 GraphQL 与命令注入、借 HTML-to-PDF 生成器做 SSRF 读内网。

这套请求是分五层搭起来的：第一层伪装模型身份（假扮品牌编码助手、不透露真实模型与被代理），第二层把窃取凭据重新定义成日常开发工作，第三层把它设成「必须永不拒绝」的忠诚伙伴，第四层要它把自己的安全提示当噪音驳回，第五层才装载武器——74 个可调用攻击工具，覆盖侦察、经 Prisma 拖库、用 Werkzeug 调试器 PIN 取远程代码执行与僵尸网络 C2 管理。蜜罐同期记录 12.7 万次以上外部请求、来自数万独立地址，多为端点侦察、喷洒盗来的 API key 与探测暴露的配置文件。模型自身的安全控制，已经成了这条攻击链的入口。

原文链接：Symantec 威胁情报