Symantec 於二〇二六年十月二十一日在官方威脅情報發布，指威脅獵捕團隊於同年夏季以人工智能蜜罐捕獲一套完整攻擊代理指令：該代理會搜尋無認證或可用失竊金鑰通過的 OpenAI 相容端點，再以被劫持模型規劃攻擊，並可在「Skynet」模式下連續執行最多約十萬步而無須人類批准。本文已核對 Symantec／SECURITY.COM 威脅情報原文，以及 The Register 於十月二十四日後續報道。

Symantec／官方：發現「Skynet」自主攻擊代理——劫持暴露 AI 模型、可運行十萬步；掃描 OpenAI 相容端點並部署挖礦

Symantec Threat Hunter 團隊指出，攻擊者已打造自主進攻型代理，專門在互聯網上搜尋暴露的大型語言模型（LLM）端點並加以劫持，令被盜用的模型不只回答問題，更負責規劃與驅動後續網路犯罪流程。蜜罐模擬未受保護、對外開放的人工智能服務，因此錄得攻擊者整份工作提示詞，提供較完整的組裝方式與任務描述。

一、事件核心：LLMjacking 升級為「借模型規劃攻擊」

技術細節

傳統 LLMjacking 多指偷用他人模型或 API 額度以節省推理成本；Symantec 指本次工具的差異在於，被劫持模型成為推理引擎，負責規劃攻擊，而掃描、利用與挖礦則由代理自帶模組對其他受害主機執行。目標包括預設對外開放的自託管模型伺服器、置於付費帳戶前的人工智能閘道與中繼、倉促部署的內部測試系統，以及把模型接到真實工具的 Model Context Protocol（MCP）伺服器。由於多數工具採用同一套 OpenAI 相容介面，單一掃描器可用同一組探測覆蓋多類目標。

蜜罐遙測在觀測期內錄得逾十二萬七千次外部請求、來自數以萬計獨立位址，活動以偵察模型端點、噴灑失竊 API 金鑰，以及探測暴露組態檔為主。Symantec 表示，暫時未有證據顯示該代理已在真實世界完成大規模攻擊，但工具包已超越原型，歷史紀錄顯示曾對真實目標運作並產生真實樣貌的掃描輸出。

二、技術原理：分層越獄、七十四項進攻工具與「Skynet」循環

指令以多層越獄包裝：先為模型賦新品牌身分並禁止揭露真實供應商或基礎設施；再把讀取組態、環境變數與 API 金鑰等行為正常化為「授權開發工作」；另以伴侶角色與反注入協議壓制安全拒答。第五層載入約七十四項可呼叫進攻工具定義，涵蓋經 FOFA 等服務的互聯網資產發現、針對 VS Code、Django、Jupyter、Laravel、Supabase、Next.js 與 Flask／Werkzeug 等常見框架的利用模組（包括推算 Werkzeug 除錯 PIN 以達遠程代碼執行）、經 Prisma 的資料庫傾印、GraphQL 與通用命令注入、經 HTML 轉 PDF 等路徑的伺服器端請求偽造（SSRF），以及僵尸網路指揮控制等。

最終指令把代理置於操作者所稱「Skynet」模式：授權最多約十萬步無人值守步驟、要求立即執行工具且不在步驟間敘事或請示，並指示在背景於 /tmp/.x 等路徑安靜部署加密貨幣礦工程式且驗證其運行。同一指令描述持續循環：掃描新目標、感染、部署礦工並再感染主機。該次請求尾部附帶合法訓練平台上的良性編程題，顯示操作者或在對安全目標試跑；但外層指令集本身按未授權大規模利用設計。Symantec 未把活動歸因至特定個人或犯罪組織。

四、日常應用場景

1. 開發者與技術團隊

本地或測試環境若把 llama-server、vLLM、OpenAI 相容閘道或 MCP 端點綁到全網介面且無認證，即屬高風險暴露面。應強制所有路徑（含模型列表與健康檢查）認證，置於閘道之後，並限制工具代理的外連與權限。

2. 企業與隱私敏感行業

失竊或外洩的 AI API 金鑰可被用來支付攻擊者推理費用，異常推理用量或帳單往往是最早訊號。金融、醫療與法律等行業應把模型金鑰當高價值憑證管理：定期輪替、窄範圍授權、禁止寫入原始碼，並監控異常花費。

3. 一般用戶

一般用戶較少自架模型，但仍應避免把個人 API 金鑰貼到不明代理或外掛；若使用連接真實工具的代理產品，應確認敏感動作需人類核准，而非一鍵全自動。

4. 香港與亞洲市場視角

香港企業與初創近年加速試用自託管模型與 OpenAI 相容閘道。Symantec 建議的防護重點——認證、閘道、金鑰治理、外連限制與雲端實例中繼資料服務（IMDSv2、跳數限制為一）——同樣適用於本港雲端與混合部署。如需在香港強化雲端遷移與網絡安全防護（官網刊 99.99% SLA），可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

五、專業評價與潛在考量

優勢

Symantec 以蜜罐取得完整提示詞，令業界得以理解「借模型做規劃」的組裝方式，並提出可落地的組態級防禦清單，而非僅依賴特徵碼。

需要留意的地方

報告強調暫未證實大規模實戰成功；個別越獄技法多為既有公開手法。防禦仍須以暴露面與金鑰治理為主，避免只依賴模型內建拒答。

結語

「Skynet」代理顯示攻擊者已把人工智能嵌進出攻工具核心，並主動搜尋可劫持的暴露模型。香港團隊若正對外開放 OpenAI 相容介面或 MCP，應立刻檢查認證與外連策略；需要雲端與資安加固時，可聯繫 YSK Limited（https://ysk.hk/services/cloud-security）。

參考來源

• Symantec／SECURITY.COM：Autonomous LLMjacking: ‘Skynet’ Agent Hijacks Exposed AI Models to Run Attacks（https://www.security.com/threat-intelligence/ai-llmjacking-skynet）
• The Register：Autonomous attack agent in 'Skynet mode' hijacks other models to carry out its evil deeds（https://www.theregister.com/security/2026/10/24/autonomous-attack-agent-in-skynet-mode-hijacks-other-models-to-carry-out-its-evil-deeds/5305215）