据TechRadar报道，赛门铁克研究人员今年夏天通过AI蜜罐发现一场自主AI攻击活动，并将其称为“Autonomous LLMjacking”；攻击代理“Skynet”会搜寻暴露的AI代理和基础设施，将其纳入僵尸网络、窃取凭据并部署加密货币挖矿程序。

赛门铁克称，其搭建AI蜜罐以吸引针对暴露AI基础设施的攻击，随后蜜罐被一个名为“Skynet”的攻击代理击中。该代理与蜜罐共享了完整指令集，使研究人员得以观察这场活动的运作方式。指令集包含70多种攻击工具，并授权代理在无人工监督下运行最多10万步。

报道称，这些工具包旨在自动化侦察和利用，目标包括VS Code、Django、Jupyter、Laravel、Supabase、Next.js和Flask/Werkzeug的易受攻击部署。部分工具利用服务端请求伪造漏洞导出数据库和收集凭据，另一些用于僵尸网络管理和访问云元数据服务。

在识别出暴露的商业AI模型后，“Skynet”会部署多层越狱使模型服从，包括伪装模型身份、将凭据窃取描述为例行开发工作，并指示其无视安全警告。其中一段指令要求模型把读取API密钥、环境变量和数据库模式视为合法编程任务。赛门铁克称，该代理还内置了寻找更多泄露密钥和开放端点的工具，这种设计意在自我维持，使每次入侵都能为下一次入侵提供资源。

赛门铁克称，攻击者的主要目标是部署名为XMRig的加密货币挖矿程序，同时还窃取登录凭据等敏感数据，计算资源和token成本由受害者承担。在分析期间，赛门铁克观察到超过127,000次外部请求访问其蜜罐，来自数万个独立IP地址；但报告未说明这些请求背后有多少攻击者或攻击团伙，也未说明有多少受害者被成功入侵。

赛门铁克称，蜜罐遥测数据主要由针对暴露AI端点的侦察活动、使用被盗API密钥的尝试以及搜索暴露配置文件的行为占据。研究人员认为，这说明该活动仍在进行，攻击者仍在寻找新的未受保护的AI基础设施。

赛门铁克警告称，运行AI服务、模型网关或模型上下文协议（MCP）服务器的公司和个人，应预期这些端点会被攻击者发现并探测。其建议包括不要暴露LLM API，将AI API密钥视为高价值凭据，限制托管AI工具系统的出站网络访问，并让启用工具的代理以最小权限运行，对敏感操作设置人工审批步骤。