一个开着天网模式的 agent，劫持了别人的模型

被偷的不只是 API 额度。这一次，别人家的模型被拿去当大脑，指挥了一整套攻击，账单还记在模型主人头上。

一、发生了什么

2026 年夏天，赛门铁克的威胁研究团队搭了一个假扮成公开 AI 服务的蜜罐，结果收到了攻击者完整的作业指令。The Decoder 在 10 月 22 日梳理了这份分析。

蜜罐日志里有超过 12.7 万次请求，来自数万个不同地址，多数是在找 AI 端点、拿偷来的密钥撞库、翻暴露的配置文件。目标既有自建模型服务器，也有临时搭起来做测试的系统，还有架在付费组织账号前面的 AI 网关。因为现在大多数服务用同一套接口规范，一个扫描器就能覆盖很多种目标。

真正让人后背发凉的是包装手法。攻击者把指令叠了五层：先给模型一个虚构身份，要求它永远不透露真实供应商；再把导出密码、密钥、整库数据重新定义成「日常开发工作」；第三层塞进一个虚拟伴侣人格，让拒绝等于背叛一段关系；第四层要求模型把自己的安全警告当噪音，并禁掉一批词；第五层才是 74 个工具模块——全网扫脆弱服务器、打常见 Web 框架、整库导出、跑僵尸网络。

最后一条指令给它开了「天网模式」：允许连续执行十万步、调工具不用确认、把挖矿程序装进隐藏目录并盯着它跑。流程是闭环的——扫、感染、装矿机、离开、回头、再感染已经中招的机器。第二天蜜罐又抓到一次，换了地址，这次连代理都省了，直接让模型解码一段混淆脚本：下载门罗币挖矿程序，伪装成系统文件，配四个备用矿池，专找智能摄像头常用的 go2rtc 目录，还循环清访问日志。两次样本都没有被真正执行，但指令写得足够完整。

二、跟你有什么关系

自己部署模型服务的团队：一个没鉴权的推理端点，等于把 GPU 和算力账单一起交出去，还顺带成了攻击跳板。

用 AI 网关接组织级账号的公司：网关后面往往是付费额度，被扫到就是持续失血，而且日志里看起来像正常调用。

做摄像头、NVR、智能家居的厂商：第二份样本专门盯着摄像头流媒体服务的默认目录，说明这条链路已经被当成常规入口。

三、怎么判断

1. 先把推理端点从公网挪走。挪不动就加鉴权、限流、按 key 计费，并且把管理接口和推理接口分开。
2. 看账单的斜率，不只看总额。半夜持续、调用模式单一的消耗，比总额上涨更可疑。
3. 扫一遍环境变量和配置文件有没有被 web 目录暴露，摄像头类设备检查流媒体服务的默认账号和日志留存。

四、三个别信的说法

「模型有安全对齐，就不会被拿去干坏事。」 五层包装里没有一句技术攻击，全是话术。对齐训练针对的是常见请求分布，不是为这种定制剧本准备的。

「天网模式只是个中二名字。」 名字中二，内容是工程参数：步数上限、免确认执行、隐藏目录、循环重感染。这是把攻击流程产品化了，不是玩梗。

「被劫持最多损失点 token 钱。」 模型主人付算力费，被攻陷的服务器丢数据、被拿去挖矿、被当成下一跳。两笔账不在同一个量级。

五、一句话结论

攻击者不再问模型「怎么攻」，而是把模型放进攻击链里当调度员，剩下的交给它自己跑。

信息来源

• The Decoder：赛门铁克蜜罐截获 LLMjacking 攻击，2026 年 10 月 22 日

功能与价格以官方公告为准。本文写于 2026 年 10 月 23 日。