Ловушки помогли выявить операторов LLM jacking

Специалисты из команды Symantec Threat Hunter обнаружили нового бота, разработанного для проведения полноценных кибератак без участия человека. Он способен использовать скомпрометированные ИИ-модели с целью автономного выполнения до 100 тысяч вредоносных операций — от поиска целей, эксплуатации уязвимостей и кражи учётных данных до развёртывания майнеров и повторного заражения систем.

Свою роль в достигнутом результате сыграл ханипот (AI honeypot), имитирующий незащищённый, доступный из интернета ИИ-сервис, привлекающий злоумышленников и позволяющий изучить атаки на инфраструктуру. Летом 2026 года исследователям удалось перехватить полный набор инструкций агента, который раскрыл принципы его автономной работы. За несколько месяцев ловушка зафиксировала более 127 тысяч внешних запросов, поступивших с десятков тысяч уникальных адресов.

Проведённый анализ убедил экспертов Symantec в том, что бот ищет открытые конечные точки (эндпоинты), связанные с LLM — включая нейросети, развёрнутые на собственных серверах, ИИ-шлюзы и серверы протокола контекста моделей (Model Context Protocol, MCP), — чтобы использовать их вычислительные мощности бесплатно. Этот метод получил название LLM jacking.

«Запуск любой модели требует затрат: либо на вычислительные ресурсы (при размещении на собственных мощностях), либо на оплату каждого токена (в случае коммерческих сервисов). Направляя запросы через чужие конечные точки или применяя украденные ключи доступа, злоумышленники перекладывают эти расходы на жертву», — пояснили аналитики. Есть и другие плюсы — анонимность и возможность избежать блокировки аккаунтов, которую ИИ-вендоры могли бы запустить в ответ на злоупотребления.

Перехваченные инструкции включали около 74 инструментов для разведки в сети, эксплуатации уязвимостей в распространённых веб-фреймворках, кражи БД, сбора учётных данных и управления ботнетами. Многоуровневые настройки были рассчитаны на обход встроенных механизмов безопасности коммерческих ИИ-моделей; при этом кража учётных данных маскировалась под легитимные задачи по разработке софта. В одном из запросов также содержался замаскированный скрипт, предназначенный для установки ПО для майнинга криптовалюты Monero, сокрытия факта его присутствия в системе и удаления журналов событий.

Со слов авторов отчёта, несмотря на отсутствие новизны в применённых методах, их объединение в единого автономного агента значительно упрощает проведение масштабных акций для некомпетентных хакеров: «Оператор может поставить перед моделью задачу — и позволить ей действовать самостоятельно».

Вывод сделан следующий: теперь преступники внедряют искусственный интеллект непосредственно в инструменты для кибератак, вместо того чтобы пытаться манипулировать общедоступными чат-ботами. Исследователи охарактеризовали эту модель как «механизм логического вывода, который планирует атаку и управляет ею», в то время как отдельные модули инструмента выполняют сканирование, эксплуатацию уязвимостей и майнинг на устройствах жертв.

Усам Оздемиров