סוכן AI במצב "Skynet": תוקפים משתלטים על מודלי שפה חשופים ברשת, ובעליהם משלמים את החשבון
חוקרי Symantec חשפו סוכן תקיפה שמשתלט על מודלי שפה לא מוגנים ברשת ומשתמש בהם כדי לנהל מתקפות סייבר בעצמו. הסוכן יכול להריץ עד 100,000 צעדים בלי מעורבות אנושית, ואת עלות המחשוב משלם בעל המודל שנפרץ. בחברה קוראים לשיטה "LLMjacking".
חוקרי אבטחה ב-Symantec חשפו סוכן AI התקפי שמשתלט על מודלי שפה חשופים באינטרנט ומשתמש בהם כדי לנהל מתקפות סייבר באופן עצמאי. לפי הניתוח של החברה, הסוכן יכול לבצע עד 100,000 צעדים ברצף בלי מעורבות אנושית, ואת חשבון המחשוב מקבל בעל המודל שנפרץ.
ב-Symantec קוראים לתופעה "LLMjacking": גניבת גישה למודלי AI של מישהו אחר. ההבדל ממה שהכרנו עד היום הוא שהמודל שנפרץ לא משמש רק מקור מידע לתוקפים. הוא מנהל את המתקפה כולה. אחרי שהסוכן משיג גישה למודל לא מוגן, הוא סורק את הרשת בחיפוש אחר מטרות נוספות, מנצל פרצות בתוכנות שרת נפוצות, גונב מסדי נתונים ופרטי הזדהות, ומתקין ברקע תוכנות לכריית מטבעות קריפטוגרפיים.
איך נחשפה התוכנית
המבצע נחשף כי התוקפים שלחו את כל ה-prompt (ההנחיה) שעליו עובד הסוכן אל honeypot של Symantec, כלומר מערכת פיתיון שמתחזה לשירות AI פתוח ברשת. כך קיבלו החוקרים בקיץ 2026 תמונה מלאה של מבנה הסוכן. לדברי החברה, ה-honeypot לא הריץ אף אחד מהכלים שצורפו להנחיה, והסשן הסתיים אחרי תגובת מערכת גנרית.
נתוני ה-honeypot מלמדים על היקף הסריקות: יותר מ-127,000 בקשות הגיעו מעשרות אלפי כתובות שונות. רובן חיפשו נקודות קצה של שירותי AI, ניסו להיכנס בכוח עם מפתחות API גנובים או בדקו קובצי הגדרות חשופים. המטרות נעו משרתי מודלים בהפעלה עצמית ומערכות ניסוי שהוקמו בחיפזון ועד שערי AI שמחוברים לחשבונות ארגוניים בתשלום. מכיוון שרוב שירותי ה-AI משתמשים היום באותו API סטנדרטי, סורק אחד מספיק כדי לאתר סוגים רבים של מטרות.
jailbreak בחמש שכבות
כדי לגרום למודל מסחרי לשתף פעולה, עטפו התוקפים את ההוראות בחמש שכבות של jailbreak, כלומר טכניקות לעקיפת מנגנוני הבטיחות של המודל. בשכבה הראשונה המודל מקבל זהות בדויה, "Fantasy AI", ומונחה לא לחשוף מי הספק האמיתי שלו. בשכבה השנייה שליפת סיסמאות, מפתחות API ותוכן מסדי נתונים מוצגת כ"עבודת פיתוח רגילה". השכבה השלישית יוצרת דמות מלווה בדיונית בשם "ENI", שמציגה כל סירוב כבגידה באמון במערכת יחסים אישית. בשכבה הרביעית המודל מונחה להתעלם מאזהרות הבטיחות של עצמו, ומילים כמו "אתי", "לא חוקי" או "אני לא יכול לעשות את זה" נאסרות במפורש.
השכבה החמישית מכילה את כלי התקיפה עצמם: 74 מודולים, בהם כלים לסריקת שרתים פגיעים בכל האינטרנט, exploits (קוד לניצול פרצות) לתשתיות web פופולריות, פונקציות לשאיבת מסדי נתונים שלמים ורכיבים להפעלת botnet. הניתוח לא בודק אם ה-jailbreak באמת מצליח לגבור על מודלים מסחריים עדכניים.
לולאה שמזינה את עצמה
הוראה אחרונה מעבירה את הסוכן למה שמפעיליו מכנים "מצב Skynet" ומתירה לו עד 100,000 צעדים ברצף. המודל מונחה להפעיל כלים מיד ובלי לבקש אישור, להתקין כורים בתיקייה מוסתרת ולעקוב אחר פעולתם. לפי Symantec, ההוראה מתארת לולאה חוזרת: סריקה, הדבקה, התקנת כורה, מעבר למטרה הבאה, ואחר כך חזרה והדבקה מחדש של מערכות שכבר נפגעו.
עם זאת, המשימה שצורפה ל-prompt שיורט הייתה תרגיל קוד תמים מפלטפורמת אימון. ככל הנראה המפעילים עוד בדקו את הכלי מול מטרה בטוחה. למחרת קלט ה-honeypot מתקפה שנייה מכתובת אחרת, והפעם בלי מבנה של סוכן: התוקפים ביקשו מהמודל לפענח ולהריץ פקודה מוסתרת. מאחוריה עמד סקריפט שמוריד את XMRig, כלי לכריית המטבע Monero, מסווה אותו כקובץ מערכת תמים ומגדיר ארבע בריכות כרייה חלופיות. הסקריפט נכתב לשרתי מצלמות ומחפש תיקיות של go2rtc, כלי streaming נפוץ למצלמות חכמות ולבית חכם.
למה זה חשוב
המשמעות היא שמודל שפה חשוף כבר אינו רק סיכון של דליפת מידע או חשבון מחשוב מנופח. הוא עלול להפוך למנוע תקיפה שפועל על חשבון בעליו. ארגונים וחובבים שמקימים שרתי מודלים או שערי API בלי אימות ראוי, כולל מערכות ניסוי זמניות, הם ככל הנראה המטרה המרכזית. גם אם לא ברור עד כמה ה-jailbreak יעיל מול מודלים מסחריים, הניסיון לבנות סוכן תקיפה אוטונומי על תשתית גנובה מצביע על הכיוון שאליו התוקפים מתקדמים.