A Symantec kutatói egy olyan támadó AI-ügynököt fogtak el, amely nem saját modellt használ, hanem mások nyitva hagyott AI-szervereit téríti el, és azokkal tervezi meg a következő lépéseit. A Broadcomhoz tartozó cég Threat Hunter csapata október 21-én közölt jelentése szerint az ügynök legönállóbb üzemmódját a készítői „Skynet módnak” nevezték el. Ebben akár 100 000 lépést is végrehajthat emberi jóváhagyás nélkül.

Mi az az LLMjacking?

Az LLMjacking azt jelenti, hogy a támadó ellopja a hozzáférést valaki más nyelvi modelljéhez. A számítási költséget így a modell tulajdonosa fizeti, a támadónak nem kell saját előfizetés, és a szolgáltatók tiltásait is elkerüli. A Symantec szerint ennél az ügynöknél ez különösen drága lehet: minden egyes lépést a feltört modell gazdája fizet, 100 000 lépésnél pedig ez komoly összeg.

Az ügynök olyan végpontokat keres az interneten, amelyek az OpenAI-kompatibilis formátumban fogadnak kéréseket, de nem kérnek azonosítást, vagy egy ellopott kulccsal elérhetők. A jelentés szerint ilyenek lehetnek az alapbeállításon nyitva hagyott, saját gépen futó modellszerverek, a fizetős fiókok elé tett AI-átjárók, a sietve felhúzott belső tesztrendszerek és a modelleket eszközökhöz kötő MCP-szerverek. A Symantec AI-csapdája (honeypot), amely egy védtelen AI-végpontot utánzott, több mint 127 000 külső kérést rögzített, ezek többsége modellvégpontok felderítése, API-kulcsok próbálgatása és konfigurációs fájlok keresése volt.

Hogyan dolgozik a „Skynet”?

Az eltérített modell az ügynök „agya”: ő tervezi meg, mit kell tenni, a tényleges munkát viszont külön eszközmodulok végzik más áldozatokon. A kutatók szerint az ügynök a modellt több rétegű jailbreakkel veszi rá az együttműködésre. Az első rétegek átírják a modell identitását, és rutinmunkának állítják be a jelszavak és API-kulcsok kiolvasását. A későbbi rétegek egy „társ” személyiséget és tiltott szavak listáját adják a modellnek, és arra utasítják, hogy hagyja figyelmen kívül a saját biztonsági figyelmeztetéseit.

Az elfogott kérés körülbelül 74 támadó eszközt definiált. Ezek között volt internetszintű célpontkeresés a FOFA keresőszolgáltatással, sebezhetőség-kihasználó modulok a VS Code, a Django, a Jupyter, a Laravel, a Supabase, a Next.js és a Flask/Werkzeug ellen, parancsinjektálás, felhős metaadat-szolgáltatások elleni SSRF-támadás, adatbázis-lementés a Prisma Studión keresztül, valamint botnetvezérlés. A „Skynet mód” egy folyamatos ciklust írt le: célpontok keresése, fertőzés, kriptobányász telepítése, majd a gépek újrafertőzése.

A csapda nyáron két kérést fogott el az ügynöktől, a második egy nappal később, már másik IP-címről érkezett. Az elsőben csak egy ártalmatlan programozási feladat volt, ami a kutatók szerint tesztelésre utalhat. A másodikban viszont egy tömörített, kódolt shell-script volt, amely az XMRig Monero-bányászt telepítette volna, „.trace” fájlnak álcázva egy kamerastreamelő szerver (go2rtc) mappáiban, majd zárolta volna a beállításait, és törölte volna a naplókat. A csapda egyetlen eszközhívást vagy scriptet sem futtatott le.

Mennyire kell tőle tartani?

A Symantec szerint az egyes technikák nem újak. Priti More, a jelentés egyik szerzője a The Registernek azt mondta, a jailbreak rétegei „nagyrészt készen beszerezhetők”, az újdonság az, hogy valaki egyetlen ügynökbe kötötte össze őket. Ez csökkenti a széles körű támadásokhoz szükséges tudást. Egyelőre nincs bizonyíték arra, hogy az ügynököt valódi támadásokban bevetették volna, More szerint azonban „több, mint egy prototípus”, az eszközei élő célpont ellen is működtek.

A Symantec senkihez sem kötötte az ügynököt. Volt néhány francia nyom (a feladat szövege, a rendszerprompt és egy francia lakossági IP-cím), de More ezeket gyengének tartja, mert a felhasznált személyiség és a kifejezései angol nyelvű jailbreak-közösségekben nyilvánosan keringenek. Néhány napja a Microsoft is beszámolt egy ügynökalapú AI-val dolgozó támadócsoportról, az AI tehát egyre inkább a támadóeszközök része lesz.

Mit tegyen, aki saját AI-szervert üzemeltet?

A jelentés nem nevez meg konkrét programot, de érinthet mindenkit, aki saját gépen vagy szerveren futtat modellt (például az Ollamával), és azt az internet felől is elérhetővé tette. A Symantec javaslatai:

  • Ne legyen azonosítás nélkül elérhető az interneten semmilyen modell-API, saját modellszerver vagy MCP-végpont, a modellistázó és állapotellenőrző címek sem. A szolgáltatás egy átjáró mögött fusson, ne minden hálózati interfészen.
  • Az AI-szolgáltatások API-kulcsait kezeljük értékes jelszóként: rendszeresen cseréljük őket, adjunk nekik szűk jogosultságot, ne tegyük kódba vagy konfigurációs fájlba, és figyeljük a szokatlan használatot vagy költést.
  • Korlátozzuk a kimenő hálózati forgalmat azokon a gépeken, amelyeken AI-eszközök vagy eszközhasználó ügynökök futnak.
  • Az ügynökök minimális jogosultsággal fussanak, az érzékeny műveletekhez pedig kérjenek emberi jóváhagyást. A kihasználható szoftvereket frissíteni kell, és nem szabad őket nyilvánosan elérhetővé tenni.

Az MCP-szerverek kockázata nem csak a vállalati rendszereket érinti: múlt héten az Nvidia App MCP-szervere kapcsán is sokan azt javasolták, hogy aki nem használja, kapcsolja ki. Hogy ügynökök egy AI-cég rendszereit is elérhetik, azt az Anthropic esete mutatta meg.