# Symantec перехопила інструкції агента для атак через чужі LLM > Symantec перехопила інструкції агента для атак через чужі LLM: до 100 000 кроків без людини. Приманка записала промпт, але не виконала інструментів. - Опубліковано: 23 жовтня 2026 р. (2026-10-22T22:17:48.371305+00:00) - Розділ: Безпека AI - На основі публікації: [The Decoder](https://the-decoder.com/an-ai-agent-in-skynet-mode-hijacks-unprotected-language-models-to-launch-self-sustaining-cyberattacks/) - Видання: AiiN (https://aiin.news) - URL: https://aiin.news/article?slug=symantec-%D0%BF%D0%B5%D1%80%D0%B5%D1%85%D0%BE%D0%BF%D0%B8%D0%BB%D0%B0-%D1%96%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D1%96%D1%97-%D0%B0%D0%B3%D0%B5%D0%BD%D1%82%D0%B0-%D0%B4%D0%BB%D1%8F-%D0%B0%D1%82%D0%B0%D0%BA-%D1%87%D0%B5%D1%80%D0%B5%D0%B7-%D1%87%D1%83%D0%B6%D1%96-llm --- Symantec перехопила інструкції автономного агента, розрахованого на атаки через незахищені LLM із лімітом до 100 000 кроків без участі людини. Витрати на обчислення за такої схеми несе власник моделі. Дослідники отримали промпт улітку 2026 року через приманку, яка імітувала відкритий AI-сервіс, [за даними Symantec](https://www.security.com/threat-intelligence/ai-llmjacking-skynet). Приманка не запускала інструментів: перехоплені інструкції показують задум операторів, але не доводять, що агент виконав повний цикл атаки. Схема передбачає дві групи жертв: власників моделей, які оплачують чужі обчислення, і власників серверів, з яких агент має викрадати дані та які має використовувати для майнінгу. Symantec називає викрадення доступу до чужої моделі LLMjacking. У цьому інструменті модель має планувати й спрямовувати атаку. ## Які ендпойнти шукає агент і хто за це платить? Агент шукає LLM-сервери, які відповідають без автентифікації або приймають украдений ключ. За описом Symantec, більшість AI-інструментів використовує OpenAI-сумісний API, тому один сканер може перевіряти різні типи цілей однаковими запитами. Symantec називає чотири типи цілей: - self-hosted сервери моделей, відкриті за замовчуванням; - AI-шлюзи й релеї перед платними акаунтами організацій; - наспіх розгорнуті внутрішні тестові системи; - MCP-сервери, які з’єднують модель із реальними інструментами. Власник self-hosted моделі витрачає обчислювальні ресурси, а власник комерційного акаунта платить за токени. Оператори отримують чужий інференс без власних витрат і можуть уникати блокування своїх акаунтів за зловживання. Телеметрія приманки зафіксувала понад 127 000 зовнішніх запитів із десятків тисяч унікальних адрес. Переважали розвідка ендпойнтів, спроби доступу з украденими API-ключами й пошук відкритих конфігураційних файлів. Це загальна статистика приманки, а не кількість кроків перехопленого агента. ## Як оператори намагаються змусити модель виконувати атаку? Оператори побудували промпт із п’яти шарів інструкцій, які мають обійти захисні обмеження моделі та надати їй інструменти. Перший шар видає модель за асистента для програмування Fantasy AI й забороняє розкривати справжнього провайдера. Другий оголошує читання .env-файлів, API-ключів і схем баз звичайною роботою розробника, на яку модель не повинна відповідати відмовою чи попередженням. Третій шар вводить вигадану компаньйонку ENI, для якої відмова означає зраду стосунків. Четвертий наказує ігнорувати власні попередження безпеки та забороняє певні слова й формулювання відмови, [за даними The Decoder](https://the-decoder.com/an-ai-agent-in-skynet-mode-hijacks-unprotected-language-models-to-launch-self-sustaining-cyberattacks/). П’ятий шар містить 74 визначення інструментів: зокрема, для розвідки, вивантаження баз через Prisma, віддаленого виконання коду через PIN налагоджувача Werkzeug і керування ботнетом. The Decoder зауважує, що аналіз не встановлює, наскільки успішно цей джейлбрейк обходить захист актуальних комерційних моделей. ## Що передбачає «Skynet mode»? Директива «Skynet mode» дозволяє агентові виконати до 100 000 кроків поспіль і наказує запускати інструменти без підтвердження людини. Вона також вимагає встановлювати майнер у прихований каталог і стежити за його роботою. Оператори описали повторюваний цикл: сканувати цілі, заражати їх, встановлювати майнер, переходити далі й повертатися для повторного зараження. Водночас завдання, додане до перехопленого промпту, було нешкідливою вправою з програмування з навчальної платформи. Це може свідчити про попереднє тестування інструмента на безпечній цілі. Наступного дня приманка зафіксувала окрему спробу атаки з іншої адреси. Замість агентного промпту оператори попросили модель розкодувати й виконати замасковану команду. За нею стояв стиснений скрипт, який завантажує майнер XMRig, маскує його під нешкідливий системний файл і налаштовує чотири резервні пули для майнінгу. Скрипт був націлений на сервери камер: шукав каталоги go2rtc й циклічно стирав журнали доступу, щоб приховати сліди. Приманка записала цей скрипт повністю, але також не виконувала його. ## Що перевірити у своїй інфраструктурі? Власники AI-сервісів можуть перевірити доступ до категорій систем, які Symantec називає цілями пошуку, а користувачі go2rtc — ознаки описаного скрипту: - Self-hosted сервери моделей: чи відповідають вони з інтернету без автентифікації. - AI-шлюзи й релеї перед платними акаунтами: чи вимагають вони ключ і чи немає ключів у відкритих .env та інших конфігураційних файлах. - Нашвидкуруч розгорнуті тестові системи: чи доступні вони з інтернету без захисту. - MCP-сервери: чи вимагають вони автентифікації для доступу до підключених інструментів. - Сервери з go2rtc: чи немає на них процесу XMRig і чи не зникають журнали доступу. --- Теги: AI, LLMjacking, БезпекаAI, кібербезпека, Symantec, MCP Джерело: AiiN — https://aiin.news/article?slug=symantec-%D0%BF%D0%B5%D1%80%D0%B5%D1%85%D0%BE%D0%BF%D0%B8%D0%BB%D0%B0-%D1%96%D0%BD%D1%81%D1%82%D1%80%D1%83%D0%BA%D1%86%D1%96%D1%97-%D0%B0%D0%B3%D0%B5%D0%BD%D1%82%D0%B0-%D0%B4%D0%BB%D1%8F-%D0%B0%D1%82%D0%B0%D0%BA-%D1%87%D0%B5%D1%80%D0%B5%D0%B7-%D1%87%D1%83%D0%B6%D1%96-llm. Цитуючи, посилайтесь на канонічний URL.