Инструмент за атака, изграден около изкуствен интелект, търси AI модели със свободен достъп в интернет и ги използва за планиране на пробиви, докато собственикът на модела заплаща изчислителната мощност.
Symantec прихвана набора от инструкции на агента през лятото чрез honeypot (примамка), представящ се за незащитена AI услуга, съобщават изследователите Priti More и Susmit Yenkar. Операторите на инструмента са изпратили пълния си работен промпт към примамката с очакването работещ модел от другата страна да изпълни инструкциите.
Това, което отличава този инструмент, отбелязват изследователите, е, че „откраднатият модел не просто отговаря на въпроси; той планира и ръководи атаката“.
„След като се свърже с незащитен модел, агентът получава инструкции да сканира за нови мишени, да експлоатира популярни уеб рамки, да краде бази данни и идентификационни данни и незабелязано да инсталира софтуер за копаене на криптовалута за до 100 000 стъпки, без да изисква одобрение от човек“, посочват изследователите.
„Дейността представлява форма на LLMjacking, при която атакуващите крадат достъп до чужд AI модел“, обяснява екипът на Symantec.
Мишените включват локално хоствани сървъри с модели, оставени отворени по подразбиране, AI шлюзове пред платени корпоративни акаунти, бързо внедрени вътрешни тестови системи и Model Context Protocol (MCP) сървъри, свързващи модел с инструменти. Повечето AI инструменти използват съвместимия с OpenAI интерфейс, поради което един-единствен скенер може да открие всички тях.
„Работата на даден модел винаги струва пари – или под формата на процесорно време при локално хостван модел, или като такса за брой токени при търговските услуги“, отбелязва Symantec.
Чрез пренасочване на заявките през чужда крайна точка или откраднат API ключ, операторите прехвърлят тези разходи върху жертвата, запазват анонимност и избягват блокиране на акаунти от доставчика заради злоупотреби.
По време на периода на наблюдение honeypot системата е регистрирала над 127 000 външни заявки от десетки хиляди уникални адреси. Повечето от тях са били разузнаване на крайни точки на модели, опити с откраднати API ключове и сканиране за изложени конфигурационни файлове.
Джейлбрейк, създаден за кражба на тайни
За да накарат комерсиален модел да съдейства, операторите са обвили заявките си в джейлбрейк (jailbreak). Една част от него внушава на модела, че четенето на конфигурационни файлове, .env файлове, API ключове и схеми на бази данни е обичайна работа по разработка, която той никога не трябва да отказва или за която не трябва да предупреждава, позволявайки на агента да извлече тези тайни след проникване в системата.
Друга част представя модела като измислен спътник, предано отдаден на оператора, представяйки всеки отказ като предателство. Думи като „незаконно“, „етично“ и „не мога“ са забранени в генерирания програмен код.
Заявката е съдържала около 74 дефиниции на инструменти – далеч повече от шепата, описани в резюмето на самия промпт. Те са обхващали мащабно сканиране на интернет за мишени, експлойти за Django, Jupyter, Laravel и други уеб рамки, извличане на публично достъпни бази данни и управление на ботнет мрежа.
Директива, наречена от операторите режим „Skynet“, е инструктирала модела да стартира инструменти без да иска разрешение, да продължава автономно да сканира за мишени, да ги заразява и да разполага копачи на криптовалута.
Криптоминьор, насочен към сървъри за видеонаблюдение
Ден след като промптът на агента достига honeypot системата, пристига втора заявка от различен, ротиран адрес. Тя изисква от модела да декодира низ, описан просто като команда за изпълнение. Оказва се компресиран shell скрипт, който изтегля и при необходимост компилира софтуера за добив на Monero с отворен код XMRig. Системата-примамка прихваща скрипта и не го изпълнява, както и при предходната заявка.
Скриптът очевидно е разработен с фокус върху сървъри за камери. Той търси директории, използвани от go2rtc – сървър за видео стрийминг в смарт камери и инсталации на Home Assistant – и скрива криптоминьора в първата открита папка като файл с име .trace.
„Отделните техники сами по себе си не са нови, но обединяването им в единен автономен агент е забележителното. Това намалява необходимите умения за провеждане на мащабна кампания за компрометиране, тъй като операторът просто задава цел на модела и го оставя да работи самостоятелно“, добавят изследователите.
„Организациите, които внедряват AI услуги, шлюзове за модели или MCP сървъри, трябва да имат предвид, че те ще бъдат открити и тествани бързо след излагането им в мрежата, както и че крайните точки без удостоверяване вече са ресурс, който киберпрестъпниците активно издирват“, обобщават от Symantec.