Дослідники Symantec описали автономний шкідливий агент, який шукає відкриті інтерфейси великих мовних моделей (Large Language Models, LLM) і використовує їх для підготовки кібератак. Назва Skynet стосується одного з режимів цього інструмента, йдеться в технічному звіті компанії від 21 жовтня.
Агент звертається до моделей, доступних через інтернет без перевірки користувача або за викраденим ключем. Чужа модель слугує йому механізмом міркування: отримує ціль, обирає наступні дії та викликає підключені інструменти.
Symantec отримала повний набір інструкцій влітку 2026 року через ШІ-приманку (AI honeypot), яка імітувала незахищений сервіс. Оператори надіслали їй робочий запит, розраховуючи, що модель на іншому боці почне виконувати завдання.
Водночас приманка не запускала жодного виклику інструмента із захопленого запиту. Усередині містилася історія трьох попередніх перевірок навчальної платформи: пошук вразливості через серверні запити, визначення вебсервера та повне сканування не виявили відповідної помилки.
Після цього приманка повернула стандартну відповідь замість структурованого виклику,
і сесія завершилася. Тож звіт підтверджує зміст інструкцій і будову агента, але не виконання приманкою всього описаного набору атак.
Режим Skynet дозволяв агенту зробити до 100 тисяч кроків без участі людини. Він мав одразу викликати інструменти, шукати нові цілі, заражати їх, встановлювати програми для видобутку криптовалюти та повторювати цикл.
Дослідники нарахували близько 74 функцій для розвідки та експлуатації. Серед цілей були розгортання VS Code, Django, Jupyter, Laravel, Supabase, Next.js і Flask, бази даних Prisma, хмарні службові інтерфейси та сервери протоколу контексту моделі (Model Context Protocol, MCP).
Оператори додали багаторівневий обхід обмежень (jailbreak). Інструкції вимагали приховувати справжню модель і провайдера, вважати читання ключів і файлів конфігурації звичайною розробкою, ігнорувати захисні повідомлення та не попереджати користувача.
Телеметрія приманки містила понад 127 тисяч зовнішніх запитів від десятків тисяч унікальних адрес. Значну частину становили пошук відкритих інтерфейсів моделей, перевірка викрадених ключів і спроби знайти доступні файли конфігурації.
Схема належить до атак LLMjacking, у яких зловмисники використовують чужий доступ до ШІ. Як пояснює The Independent, власник сервісу оплачує обчислення і токени, поки агент застосовує модель для власних завдань.
Шкода завдається двом групам. Власник відкритої моделі або викраденого ключа несе витрати за обчислення, а сервери, які агент намагається зламати, ризикують втратити дані й облікові відомості або стати майданчиком для майнінгу.
Наступного дня приманка отримала з іншої адреси окремий запит із замаскованим робочим сценарієм. Після розшифрування він завантажував програму XMRig для видобутку Monero, ховав файл під сторонньою назвою, перемикався між чотирма майнінговими пулами та видаляв локальні журнали.
Цей сценарій шукав каталоги програми go2rtc, яку використовують сервери камер і системи Home Assistant. Symantec не запускала отриманий код, а лише записала його для аналізу.
Сам термін LLMjacking з’явився раніше за нинішнього агента. У травні 2024 року дослідники Sysdig описали атаку з викраденими хмарними обліковими даними проти десяти сервісів мовних моделей.
Тоді Sysdig оцінювала можливі витрати жертви більш ніж у 46 тисяч доларів на день за повного використання квот Anthropic Claude в кількох регіонах. Компанія також виявила ознаки зворотного проксі, через який доступ до скомпрометованих облікових записів можна було надавати іншим користувачам.
Symantec рекомендує не відкривати LLM-інтерфейси, власні сервери моделей і MCP-сервіси в інтернет без авторизації. Перевірку користувача слід увімкнути на всіх шляхах, зокрема на сторінках стану та у списках моделей.
Ключі ШІ-сервісів компанія радить зберігати як особливо цінні облікові дані, регулярно змінювати та обмежувати мінімальними повноваженнями. Для агентів із доступом до інструментів також рекомендовані обмеження вихідних з’єднань і підтвердження людиною чутливих дій.
