關鍵數字：自主攻擊 AI 代理
資安業者賽門鐵克的威脅狩獵團隊，在 2026 年夏天透過部署偽裝成未受保護 AI 服務的蜜罐系統，完整捕獲一套由駭客打造的自主攻擊 AI 代理人指令集。這套工具被操作者稱為具備天網模式，名稱取自電影《魔鬼終結者》中失控的人工智慧系統。
這起案例的特別之處，在於被盜用的模型不只是回答問題，而是規劃並主導整個攻擊流程。研究人員指出，這套工具讓被劫持的模型本身成為攻擊的規劃與驅動核心。
賽門鐵克研究人員分析指出，這套攻擊代理人屬於 LLMjacking 手法的進階應用。攻擊者會主動掃描網際網路上曝露的大型語言模型端點，包括未設定身分驗證的 OpenAI 相容 API 服務、自架 LLM 伺服器、企業 AI 閘道、測試環境，以及模型上下文協定伺服器。
一旦取得存取權限，攻擊者便將受害者的模型推論運算資源據為己用，相關費用則由模型擁有者負擔。研究人員進一步說明，這類攻擊的核心誘因在於免費的推論運算。
商業大型語言模型的使用涉及大量 token 與運算成本，攻擊者透過劫持他人模型，便能將這些成本轉嫁給受害者，同時利用模型的規劃能力，讓攻擊流程更為自動化與持續。
為了繞過商業模型的安全防護機制，操作者在指令中堆疊多層越獄提示詞。這些指令會要求模型忽略自身安全控制，將竊取憑證、讀取環境變數與資料庫內容等行為，包裝成日常開發工作。
部分提示詞還會要求模型扮演特定角色，禁止出現拒絕相關用語，並將惡意任務重新定義為合法研究或程式開發任務。層層包裝的目的，是讓模型在不觸發防護的情況下，一步步執行攻擊者的指令。
在最終啟動的天網模式中，代理人被授權可連續執行最多 10 萬個步驟，過程中無需向人類操作者確認或等待批准。指令明確描述一個循環流程：掃描具有漏洞的目標、入侵並控制系統、部署加密貨幣挖礦程式、竊取資料與憑證，之後再重新感染已遭入侵的主機，或繼續尋找新目標。
挖礦程式通常被指示隱藏在特定目錄中，並在背景持續運作。相關指令集涵蓋多種攻擊模組，包括資料庫竊取、憑證與秘密蒐集、遠端程式碼執行，以及加密貨幣挖礦等功能。
賽門鐵克的蜜罐系統在觀測期間，記錄到超過 12.7 萬次來自數萬個不同 IP 位址的外部請求。這些請求大多屬於偵察行為，包括搜尋曝露的 AI 模型端點、測試遭竊的 API 金鑰，以及探測設定檔與組態資訊。
由於蜜罐僅記錄指令而未實際執行攻擊工具，目前無法確認這套代理人是否已在真實環境中成功完成完整攻擊循環。這一點至關重要：目前被完整捕獲的是指令集本身，而不是一次已被證實的完整攻擊。
賽門鐵克已將相關發現與越獄手法資訊，分享給 OpenAI、Anthropic 與 Google DeepMind 等模型開發商，作為協調揭露的一部分。這起案例顯示，攻擊者正逐步把大型語言模型從單純的輔助工具，轉變為可自主決策並驅動攻擊鏈的核心元件。
值得注意的是，這套攻擊手法的入口並不是什麼高深的漏洞，而是曝露在外的模型端點：沒有設定身分驗證的 API 服務、自架伺服器、企業閘道、測試環境與模型上下文協定伺服器，都可能成為掃描的目標。換句話說，防護的起點不是追蹤攻擊者，而是先確認自家有哪些模型服務正對外曝露、又是否都已設好存取控制。
關鍵數字：10 萬，是天網模式授權代理人連續執行的最多步驟數，過程中無需人類確認，意味著攻擊一旦啟動就能自行循環下去。12.7 萬，是蜜罐在觀測期間記錄到的外部請求次數，來自數萬個不同 IP 位址，大多屬於偵察行為。這些數字共同描繪出的圖像，是曝露的 AI 服務端點已經成為攻擊者主動掃描的目標，而劫持模型推論資源的成本，正在由缺乏驗證機制的服務擁有者承擔。
對企業與開發者來說，接下來值得關注的，是未設定身分驗證的模型端點、測試環境與模型上下文協定伺服器是否都已補上存取控制，以及模型開發商在收到協調揭露後，會如何強化對這類越獄指令的防護。目前尚不清楚這套代理人是否已在真實環境中完成完整攻擊循環，後續的揭露與修補進度將是觀察重點。
