ИИ-агент угоняет чужие LLM и атакует серверы за чужой счёт

Команда Symantec опубликовала разбор ИИ-агента, работающего по простой схеме: найти незащищённый LLM-эндпоинт в сети, перехватить управление и запустить через него цепочку атак. Атакованные серверы, украденные базы данных, установленные криптомайнеры — всё это без единой команды оператора. До 100 000 шагов автономной работы. Хозяин взломанного эндпоинта в итоге оплачивает атаку на других.

Контекст

Незащищённые LLM-эндпоинты — давно известная дыра. Запустить Ollama на облачной машине и случайно открыть порт наружу; поднять API-сервер для команды без авторизации; забыть ограничения на ключ — всё это массово встречается в реальных деплоях. Эта атака получила в индустрии название «LLMjacking»: злоумышленники захватывают чужую вычислительную мощность вместо того, чтобы покупать свою.

До сих пор атаки такого рода сводились к тому, что злоумышленники крали API-ключи и сжигали чужой кредит на генерацию текста. Symantec описывают качественно другой уровень: агент не просто потребляет ресурс — он самостоятельно планирует и исполняет многоступенчатые задачи. То, что раньше требовало ручного управления атакой, теперь работает на автопилоте. Оператор не нужен.

Контекст важен: мы находимся в точке, когда agentic-паттерны — дать модели инструменты, позволить ей планировать и исполнять — стали нормой в продуктовой разработке. Ровно те же паттерны теперь работают на атакующих.

Аналитика

Классическая кибератака требует либо дорогой инфраструктуры, либо постоянного присутствия оператора. Здесь обе проблемы решены: инфраструктура — чужая (угнанные модели), оператор — не нужен (агент работает сам). Стоимость масштабирования атак для злоумышленника стремится к нулю. Единственное, что нужно — достаточное количество незащищённых эндпоинтов.

Особенно неприятна финансовая логика: жертва не только теряет данные — она платит за атаку на других. Если взломан платный API-ключ, счёт за токены приходит владельцу. Это создаёт двойной ущерб и задерживает обнаружение: аномальный рост расходов можно долго списывать на ошибку конфигурации или резкий рост нагрузки.

Для AI-first компаний сигнал предельно чёткий: безопасность LLM-эндпоинтов — операционный риск, не академический. Агентные системы по природе своей имеют широкий доступ к инструментам: файлам, базам данных, сетевым запросам. Если такая система скомпрометирована, радиус поражения — весь инструментарий агента.

Кейсы применения в бизнесе

B2B SaaS стартап: команда запустила AI-ассистента на базе self-hosted модели для внутреннего использования. Эндпоинт открыт для удобства разработки, авторизация «поставим потом». Агент злоумышленника находит эндпоинт и использует мощности сервера для атак на третьи стороны. Решение — nginx с JWT перед любым LLM-сервисом: 30–60 минут настройки закрывают 90% сценариев угона.

Корпорация с legacy-инфраструктурой: внутренний RAG на базе облачного API, ключ без ограничений по бюджету и IP прописан в конфиге. Утечка .env-файла из репозитория — и ключ в руках атакующего. Стандартное решение: бюджетные лимиты в личном кабинете провайдера + IP-ограничение на ключ + ротация раз в квартал. Любое из трёх уже существенно снижает риск.

SMB и локальный бизнес в КР: небольшая компания использует Telegram-бот с подключённым LLM для ответов клиентам. API-ключ в .env на сервере, firewall-правила на уровне приложения отсутствуют. Здесь поможет даже базовый мониторинг: алерт при превышении лимита токенов за сутки — резкий рост без изменений в продукте означает что-то пошло не так.

Кейсы в личной жизни

Разработчик с локальным Ollama: по умолчанию Ollama слушает на 0.0.0.0:11434 — то есть доступен из сети. Если машина в облаке или за пробросом портов, эндпоинт публичный. Исправление: OLLAMA_HOST=127.0.0.1 в переменных среды, и модель доступна только локально.

Контент-мейкер и фрилансер: API-ключ лежит в скриптах, несколько из которых выложены на GitHub. Сканеры злоумышленников мониторят публичные репозитории в реальном времени. Действие: установить pre-commit hook через git-secrets или truffleHog — запретит коммит файлов с ключами до того, как они попадут в репозиторий.

Студент, изучающий AI: ключ вшит в код для простоты, проект публичный. Ключ сгорает за сутки. Здесь поможет элементарная практика: ключи только в .env + .env в .gitignore. Не паранойя — гигиена, которую потом не придётся объяснять провайдеру.

Как применить сегодня

• Любой LLM-эндпоинт в сети — только за авторизацией. Минимум — HTTP Basic Auth. Лучше — токен или OAuth.
• Для облачных API (OpenAI, Anthropic, Gemini): установить бюджетный лимит и алерт при достижении 50% от него.
• Ollama / LM Studio: проверить, что сервис слушает на 127.0.0.1, не на 0.0.0.0.
• API-ключи: только в переменных среды, никогда в коде. .env — в .gitignore. Ротация раз в квартал.
• Для команд: мониторинг аномального потребления токенов. Резкий рост без продуктовых изменений — красный флаг.