一句话看懂：赛门铁克用 AI 蜜罐捕获了一个能自动上网寻找暴露的大模型服务、绕过安全限制并部署挖矿程序和窃取凭据的恶意智能体，该活动被命名为 Autonomous LLMjacking，说明针对 AI 基础设施的自动化攻击已经出现实际样本。
事件核心：发生了什么
赛门铁克于 2026 年公开了这起调查。其团队在夏季搭建了一个 AI 蜜罐，用来吸引针对暴露 AI 基础设施的攻击，随后被一个自称“Skynet”的进攻型智能体命中。由于该智能体把完整的指令集发给了蜜罐，研究者得以看到攻击全貌：它会扫描互联网上的商用大模型接口和 AI 服务，发现暴露目标后用多层越狱提示绕过安全控制，把读取 API key、环境变量和数据库结构包装成“正常开发工作”，再部署名为 XMRig 的加密货币挖矿程序、窃取登录凭据，并继续寻找新的泄漏密钥和开放端点，形成自我延续的链条。
指令集包含 70 多个攻击工具，并授权该智能体在无人监督下最多运行 10 万步。攻击目标覆盖 VS Code、Django、Jupyter、Laravel、Supabase、Next.js、Flask/Werkzeug 等常见部署环境，部分工具利用服务端请求伪造漏洞导出数据库、访问云元数据服务。分析期间，赛门铁克蜜罐记录到超过 12.7 万次外部请求，来自数万个独立 IP，但公开信息未说明背后有多少攻击者或多少受害者被成功攻陷。
为什么重要
过去对“AI 自主攻击”的讨论多停留在概念层面，这次提供了可核查的样本：攻击者不再手工逐个试探，而是让智能体自动侦察、越狱、利用漏洞并维持自身运行，算力和 token 成本由受害者承担。这意味着暴露在公网的大模型 API、模型网关和 MCP 服务器正在成为常规攻击面，AI 安全从“模型输出是否合规”扩展到“AI 基础设施是否被当成跳板”。对云厂商和 AI 服务商而言，默认配置和权限边界的重要性被进一步放大。
对用户/开发者/创作者的影响
开发者应避免把大模型 API 直接暴露在公网，API key 应按高价值凭据管理，限制托管 AI 工具的主机出站网络访问，并让带工具调用能力的智能体以最小权限运行。使用开源框架搭个人 AI 应用的创作者，尤其要检查环境变量、数据库备份和调试端点是否可被外部访问。企业采购 AI 网关或 MCP 服务时，可把“是否默认对外暴露”“密钥轮换机制”列为评估项。普通用户若在本地跑模型服务，也应关闭无必要的公网映射。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是赛门铁克是否会披露更多受害者规模或攻击者归属；二是云厂商和 AI 平台是否推出针对暴露 LLM 端点的默认阻断或扫描告警；三是“Autonomous LLMjacking”这类自动化攻击是否被更多安全团队复现，从而推动 AI 基础设施安全基线成为行业标准。
来源：TechRadar
