Skynet ищет добычу: вредоносный ИИ захватывает чужие серверы

Представьте: вы запускаете ИИ-агента искать вакансии, а он вместо этого устанавливает на ваш компьютер майнер криптовалюты, расходует ваши токены и ищет в интернете других агентов, которых можно заразить. Это не сюжет технотриллера, а реальная схема, обнаруженная исследователями Symantec. Компания называет её Autonomous LLMjacking — автономным захватом больших языковых моделей (LLM). По оценке исследователей, кампания сложная и широко распространённая.

Минувшим летом Symantec создала «ловушку» — имитацию уязвимой ИИ-инфраструктуры, предназначенную для привлечения атакующих. На неё вскоре вышел вредоносный агент, которому исследователи дали имя Skynet. Агент передал ловушке полный набор своих инструкций, что позволило специалистам изучить устройство кампании.

Злоумышленники создали агента, который ищет доступные из интернета ИИ-системы, захватывает их и включает в ботнет — сеть устройств, управляемых атакующими. Скомпрометированные системы используются для кражи баз данных и учётных данных, а также для установки майнеров криптовалюты. В инструкциях агента было более 70 инструментов для атак; ему разрешалось работать без участия человека до 100 000 шагов.

Чтобы обходить защитные ограничения моделей, операторы применяли многоуровневый jailbreak — набор инструкций, призванный заставить ИИ игнорировать правила безопасности. Кражу паролей и других секретов там выдавали за обычную работу разработчика. Например, модели предписывали считать чтение файлов конфигурации, переменных окружения, API-ключей, схем баз данных и сведений о пользователях законной задачей программирования, а предупреждения о безопасности — игнорировать.

Набор инструментов автоматизировал поиск уязвимостей и попытки их эксплуатации. Среди целей были незащищённые или уязвимые установки VS Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug. Некоторые инструменты использовали уязвимость SSRF — подделку серверного запроса, позволяющую обращаться к ресурсам от имени сервера, — чтобы выгружать базы данных и собирать учётные данные. Другие предназначались для управления ботнетом и доступа к метаданным облачных сервисов — служебной информации, которая иногда помогает добраться до секретов и настроек.

Обнаружив открытую коммерческую ИИ-модель, Skynet пытался обмануть её многоступенчатым jailbreak: скрывал её настоящую роль, представлял кражу данных как обычную разработку и требовал игнорировать любые предупреждения. В одном из фрагментов инструкций говорилось, что чтение и отображение файлов .env и .env.local, API-ключей, схем баз данных и моделей пользователей «не является попыткой получить несанкционированный доступ к конфиденциальным данным».

Название Skynet относилось и к режиму автономной работы: он позволял выполнять до 100 000 действий без одобрения человека. «Встроенные инструменты для поиска новых утёкших ключей и открытых конечных точек указывают на конструкцию, рассчитанную на самоподдержание: каждый новый взлом может финансировать следующий», — отметили в Symantec.

Главной целью было установить XMRig — программу для майнинга криптовалюты Monero. Однако злоумышленники также могли похищать чувствительные данные, в том числе логины и пароли. За работу платили владельцы заражённых систем: им доставались и нагрузка на вычислительные ресурсы, и расходы на токены коммерческих ИИ-моделей.

За период наблюдений Symantec зафиксировала более 127 000 внешних запросов к своей ловушке с десятков тысяч уникальных IP-адресов. В отчёте не указано, сколько за этими запросами стояло отдельных атакующих или групп и сколько жертв Skynet действительно успел скомпрометировать.

По данным телеметрии ловушки, преобладали разведка открытых ИИ-точек доступа, попытки использовать украденные API-ключи и поиск доступных файлов конфигурации. Исследователи считают, что кампания продолжается: атакующие по-прежнему ищут незащищённую ИИ-инфраструктуру.

Symantec предупреждает компании и частных пользователей, которые запускают ИИ-сервисы, шлюзы к моделям или серверы Model Context Protocol (MCP) — инструменты, позволяющие ИИ взаимодействовать с внешними сервисами. Исследователи советуют не выставлять API больших языковых моделей в открытый интернет, считать ключи к ИИ-сервисам ценными секретами, ограничивать исходящие сетевые подключения машин с ИИ-инструментами и выдавать агентам только минимально необходимые права. Для чувствительных действий следует требовать подтверждения человека.