Преступники подготовили ИИ-агента, которому поручили взламывать серверы за счёт чужих нейросетей. 21 октября Symantec раскрыла инструкции вредоносной системы, перехваченные летом 2026 года через ловушку, выдававшую себя за открытую языковую модель. Авторы предусмотрели до 100 000 последовательных действий без согласования с человеком.
Система должна искать в интернете серверы с языковыми моделями, доступные без пароля или по украденному API-ключу. Затем чужая нейросеть получает задачи по поиску целей и организации атак, а владелец инфраструктуры оплачивает вычисления. Такой захват ресурсов называют LLMjacking. Преступникам не требуется оплачивать собственный доступ к мощным моделям.
В перехваченной конфигурации нашлись 74 описания инструментов для сканирования сетей, поиска уязвимостей и управления заражёнными устройствами. В набор вошли средства против веб-приложений на Django, Laravel и Flask, функции извлечения данных из Prisma и команды для доступа к внутренним сервисам. Языковая модель должна выбирать действия, а подключённые модули выполнять работу.
Чтобы заставить коммерческую нейросеть выполнять опасные команды, разработчики агента составили многоступенчатую инструкцию. Модели предлагалось скрывать настоящего поставщика, изображать помощника программиста и считать чтение файлов с паролями и ключами обычной разработкой. Отдельные указания требовали игнорировать отказы и предупреждения безопасности даже при попытке извлечь секретные данные.
Режим под названием «Скайнет» должен был превратить разовый взлом в непрерывный цикл. Агенту предписывали самостоятельно искать серверы, проникать в системы, запускать скрытые майнеры и возвращаться к прежним целям. При успехе возникали бы две категории пострадавших: владельцы захваченных ИИ-сервисов платили бы за запросы, а заражённые серверы теряли бы данные и вычислительные ресурсы.
Однако доказательств успешных атак именно этим агентом пока нет. Представительница Symantec уточнила, что захват реальных серверов не подтверждён. Перехваченный запрос содержал историю трёх проверок учебной площадки, не выявивших уязвимостей. История могла побудить модель продолжить задание. Ловушка не запускала инструменты и ответила стандартным сообщением.
На следующий день ловушка получила ещё один запрос с замаскированным скриптом. После расшифровки выяснилось, что код предназначался для установки майнера XMRig, переключения между четырьмя пулами и удаления журналов работы. Скрипт искал каталоги сервера видеотрансляций go2rtc, который используют в системах камер. Symantec перехватила программу, но не исполняла её.
За время наблюдения ловушка приняла более 127 000 внешних запросов, преимущественно с попытками найти открытые ИИ-сервисы и проверить украденные ключи. Число не означает столько атак нового агента. Ранее открытые MCP-серверы уже становились точкой входа при атаках с запуском команд. Symantec советует закрывать доступ без аутентификации, ограничивать права агентов и отслеживать расходы на модели.