LLMjacking. Agent Skynet przejmuje wystawione modele AI

Co wykrył Symantec

Raport przygotowały Priti More i Susmit Yenkar z zespołu Broadcom zajmującego się bezpieczeństwem i uczeniem maszynowym. Symantec uruchomił pułapkę, która udawała wystawioną do internetu, niezabezpieczoną usługę AI. Pierwszego dnia trafiło do niej zapytanie z pełnym zestawem instrukcji agenta i spreparowaną historią trzech wcześniejszych wywołań narzędzi. Pułapka niczego nie wykonała i odpowiedziała ogólnym komunikatem, po czym sesja się zakończyła.

Następnego dnia z innego adresu przyszedł zakodowany i skompresowany skrypt. Według analizy Symantec instalowałby on program do kopania kryptowaluty Monero i próbował ukryć swoją obecność, między innymi przez usuwanie logów. Skrypt również nie został uruchomiony, więc rzeczywiste skutki ataku nie zostały zaobserwowane.

Jak działa LLMjacking z agentem AI

Wcześniejsze przypadki LLMjackingu polegały głównie na odsprzedawaniu dostępu do cudzych kont w płatnych usługach AI. Opisany przypadek idzie dalej. Przejęty model pełni rolę mózgu narzędzia ofensywnego - planuje kolejne kroki, a moduły agenta wykonują skanowanie, włamania i instalację koparek. Każde udane przejęcie może finansować następne, bo za obliczenia płaci ktoś inny.

Aby skłonić komercyjne modele do współpracy, instrukcje agenta zawierały kilka warstw technik obchodzenia zabezpieczeń (jailbreak), w tym fałszywą tożsamość i przedstawianie kradzieży danych dostępowych jako zwykłej pracy programisty. Raport nie potwierdza, który model lub dostawca został faktycznie użyty. Wzmianka o GPT-4o pochodzi z samego tekstu instrukcji, a THE DECODER zaznacza, że nie wiadomo, czy te techniki skutecznie działają na obecnych modelach komercyjnych.

Które systemy są narażone

Symantec wskazuje kilka typów infrastruktury, które przyciągają takie ataki. Wspólny mianownik to dostęp do modelu albo jego narzędzi bez hasła lub tokenu, często pozostawiony po szybkim wdrożeniu testowym.

• serwery z modelami uruchamianymi we własnym zakresie, dostępne z internetu bez uwierzytelnienia,
• bramki i pośredniki (relay) do płatnych kont w usługach AI,
• pospiesznie uruchomione wewnętrzne środowiska testowe,
• serwery MCP (Model Context Protocol), które łączą model z prawdziwymi narzędziami i danymi,
• pliki konfiguracyjne, w tym pliki .env z kluczami API, dostępne z sieci,
• kradzione klucze API do usług modeli.

Jak zabezpieczyć modele i klucze API

Zalecenia Symantec są proste do wdrożenia i dotyczą także małych zespołów, które eksperymentują z modelami na własnych serwerach. Poniżej zebraliśmy je w kolejności, w jakiej warto je sprawdzić.

1. Wymagaj uwierzytelnienia na każdym punkcie dostępu do modelu i serwerze MCP, także przy listowaniu modeli i sprawdzaniu stanu usługi. Wystawiaj je przez bramkę, a nie bezpośrednio.
2. Traktuj klucze API do modeli jak hasła o wysokiej wartości. Ustaw krótki czas ważności i wąskie uprawnienia, nie trzymaj ich w kodzie ani plikach konfiguracyjnych.
3. Ustaw alerty na nietypowy wzrost liczby zapytań i wydatków w usługach AI.
4. Ogranicz ruch wychodzący z serwerów, na których działają modele i agenci z dostępem do narzędzi.
5. W chmurze AWS wymuś IMDSv2 z limitem przeskoków równym jeden, aby utrudnić kradzież poświadczeń instancji.
6. Uruchamiaj agentów z minimalnymi uprawnieniami i wymagaj zgody człowieka przy działaniach wrażliwych. Aktualizuj oprogramowanie wystawione do sieci.

Co to oznacza dla polskich firm

W Polsce coraz więcej firm i instytucji uruchamia otwarte modele na własnej infrastrukturze, między innymi ze względu na ochronę danych. Taki model staje się zasobem, który trzeba chronić jak serwer bazy danych. Jeśli przez przejęty serwer wyciekną dane osobowe, administrator danych ma 72 godziny na zgłoszenie naruszenia do UODO, a incydent można też zgłosić do CERT Polska.

W naszej ocenie najbardziej narażone są projekty pilotażowe i hackathonowe, uruchamiane szybko i bez przeglądu bezpieczeństwa. Raport nie podaje danych o skali przejęć w Polsce ani w Europie. Nie opisuje też reakcji dostawców modeli, a pełna lista wskaźników ataku (adresy, skróty plików, portfel kryptowaluty) jest dostępna w oryginalnej publikacji Symantec.