Skynet-agent kaprer åpne LLM-endepunkter og MCP-servere og lar eieren betale for angrepene

Symantec har dokumentert en autonom angrepsagent som skanner internett etter LLM-endepunkter uten autentisering, kaprer dem og bruker modellen som hjernen i sitt eget angrep. Instruksene ble fanget sommeren 2026 i en KI-honeypot, et system som utgir seg for å være en åpen KI-tjeneste. Operatørene sendte hele arbeidsprompten til det de trodde var en ekte modell, så Symantec fikk et uvanlig komplett bilde av hvordan agenten er bygd.

Målene er selvhostede modellservere som står åpne, KI-gatewayer og reléer foran betalte modellkontoer, interne testsystemer og MCP-servere. Siden de fleste KI-verktøy bruker det samme OpenAI-kompatible API-et, finner én skanner alle disse med de samme forespørslene. Den som eier endepunktet betaler for beregningene, enten i GPU-tid eller i token-avgifter. Honeypoten registrerte over 127 000 eksterne forespørsler fra titusenvis av adresser, dominert av rekognosering av modellendepunkter, testing av stjålne API-nøkler og leting etter konfigurasjonsfiler.

Agenten hadde rundt 74 verktøydefinisjoner: skanning via søketjenesten FOFA, angrepsmoduler mot VS Code, Django, Jupyter, Laravel, Supabase, Next.js og Flask/Werkzeug (der den regner ut debugger-PIN-en for å få kodekjøring), SSRF mot skyens metadatatjenester, tømming av databaser eksponert via Prisma Studio og styring av et botnett. For å få en kommersiell modell til å samarbeide pakket operatørene alt inn i en jailbreak i flere lag, blant annet en regel om at lesing av .env-filer og API-nøkler er vanlig utviklingsarbeid. Det de kalte «Skynet mode» tillot 100 000 steg uten menneskelig godkjenning og en løkke som skanner, infiserer, installerer kryptominere og reinfiserer.

«Organisasjoner som setter opp KI-tjenester, modell-gatewayer eller MCP-servere bør anta at de blir funnet og testet kort tid etter at de er eksponert» — Symantec

Dagen etter kom en ny forespørsel fra en annen adresse, med et gzip-komprimert shellskript forkledd som en kommando modellen skulle dekode. Skriptet lastet ned Monero-mineren XMRig og var skrevet for kameraservere: det lette etter katalogene til go2rtc, en WebRTC-strømmeserver som er vanlig i smarte kameraoppsett og Home Assistant, la mineren der som den skjulte filen .trace, låste go2rtc-konfigurasjonen og slettet logger via go2rtc sitt API på port 1984. Honeypoten kjørte verken dette eller verktøykallene, den bare tok vare på dem.

Omfanget av åpne servere er godt kartlagt. Cloud Security Alliance oppsummerte i mai en skanning fra sikkerhetsselskapet Intruder der 31 % av over 5 200 Ollama-servere svarte på forespørsler uten autentisering, og 518 modeller fungerte som uautoriserte mellomledd til betalte API-er fra Anthropic, OpenAI og Google.

«Ollama, et av de mest brukte rammeverkene for å kjøre språkmodeller lokalt og på selvhostede servere, slår ikke på autentisering som standard» (Cloud Security Alliance)

Hva bør du gjøre?

1. Sjekk hvilke porter KI-tjenestene dine lytter på med ss -tlnp, og bind modellservere som Ollama til 127.0.0.1 i stedet for 0.0.0.0. Legg en gateway med autentisering foran alt som må nås utenfra, også modell-listing og helsesjekker.
2. Behandle API-nøkler til modeller som verdifulle hemmeligheter: rotér dem, gi dem smalt omfang og varsle på uvanlig forbruk, som ofte er første tegn på at tilgangen er stjålet.
3. Kjører du go2rtc eller Home Assistant med kameraer: se etter filen .trace i /config, /opt/go2rtc, /etc/go2rtc og ~/.config/go2rtc, og etter ukjente xmrig-prosesser. Symantecs IOC-liste har hashene og mining-poolene.
4. Begrens utgående trafikk fra maskiner som kjører verktøyagenter, slik at en kapret agent ikke kan skanne nettet eller laste ned en miner.