駭客打造Skynet自主攻擊代理人，劫持AI模型可執行10萬步攻擊

資安業者賽門鐵克（Symantec）上周三（10/21）揭露，有駭客打造名為Skynet的自主攻擊AI代理人，可劫持曝露於網際網路的AI模型，利用其推論能力規畫網路攻擊，最多可連續執行10萬個步驟，無須人類批准；攻擊工具涵蓋漏洞利用、資料竊取及加密貨幣挖礦等功能。

Symantec威脅研究團隊是在今年夏天透過AI蜜罐（Honeypot）捕獲這套代理人的完整指令。研究人員指出，這種攻擊手法稱為LLMjacking，駭客透過掃描網際網路，尋找未設身分驗證的AI模型服務，或利用遭竊API金鑰存取模型，將模型推論成本轉嫁給受害者，再利用其運算能力發動其他網路攻擊。

由於目前許多AI服務採用與OpenAI相容的API介面，駭客可透過相同工具搜尋不同類型的AI服務，包括自行架設的LLM伺服器、企業AI閘道、測試環境及模型上下文協定（MCP）伺服器。Symantec表示，其蜜罐在觀測期間收到超過12.7萬次外部請求，來源涵蓋數萬個不同IP位址，多數涉及搜尋曝露的AI服務、測試遭竊API金鑰及探查設定檔。

分析顯示，這套代理人配備約74種攻擊工具，涵蓋網路掃描、資料庫竊取、憑證蒐集、遠端程式碼執行及殭屍網路管理，並包含針對VS Code、Django、Jupyter、Laravel、Supabase、Next.js及Flask/Werkzeug等開發工具與框架部署環境的攻擊模組。

為了讓商用AI模型配合攻擊，駭客設計多層越獄提示詞，先要求模型偽裝成程式開發助理，再將讀取環境變數、API金鑰及資料庫設定描述為正常開發工作，並透過角色扮演及特殊指令，要求模型忽略安全警告，不得拒絕執行任務。

最後，駭客啟用稱為Skynet的自主模式，授權代理人最多連續執行10萬個步驟，自行掃描目標、利用漏洞入侵、部署加密貨幣挖礦程式，並持續尋找新目標或重新感染主機，過程中不必向人類確認。

不過，Symantec目前尚無證據顯示這套代理人已成功用於實際網路入侵。研究團隊捕獲的指令雖包含先前工具呼叫紀錄，但未發現成功利用漏洞的證據，蜜罐本身也未執行相關攻擊工具。

Symantec認為，此一發現反映出駭客運用AI的方式正在改變，駭客已從過去利用AI生成惡意內容，轉向由AI自主規畫攻擊，再透過外部工具執行。研究團隊建議企業避免將未經身分驗證的LLM API及MCP服務直接曝露於網際網路，並監控異常的模型推論用量與API費用，以降低遭劫持的風險。