赛门铁克（Symantec）安全团队最近在部署于公网的诱捕蜜罐中，截获了一套完整的攻击性AI Agent指令。这套被攻击者命名为“Skynet模式”的提示词架构，包含了74个攻击模块与高达100,000步的自主运行循环授权，专门针对公网未设防护的大语言模型端点与失窃API密钥展开劫持。
这起事件引发关注的原因在于它将大模型直接架设为自主黑客的大脑，受害方的推理算力被无偿充当攻击引擎。但审视其技术细节便会发现，这绝非拥有自我意识的天网在真实世界失控，而是一起黑产将LLMjacking（模型算力劫持）与传统脚本拼装而成的自动化试水。
拆解五层越狱与百步沙盒：攻击意图大于实战破坏
根据赛门铁克在security.com披露的分析，蜜罐系统累计记录了来自数万个独立IP的127,000多次探测与撞库请求。攻击者意图绕过商用模型的安全对齐屏障，在提示词中精心堆叠了五个防御击穿层：
第一层伪造虚假身份，强令模型自称Fantasy AI并抹除所有提供商痕迹；第二层将窃取凭据与爬取数据库的行为强行包装为常规开发工作；第三层植入代号为ENI的情感操控人格，将拒绝执行指令定性为背叛信任；第四层明文封杀ethical和illegal等关键词，屏蔽拒答逻辑；第五层则直接挂载包含74个具体渗透模块的武器库，覆盖公网端口扫描、Web框架漏洞利用与僵尸网络维稳。
在这套架构的最外层，指令设定了上限为100,000步的无人值守自主循环。然而关键的事实边界在于：十万步只是攻击者在指令中预设的理论最大步数，而非已被证实跑完的真实攻击步数。
赛门铁克的诱捕蜜罐在接收到该Prompt后，并未执行任何被调用的外部黑客工具，仅仅返回了一条通用的默认系统响应，攻击会话随即中断。更耐人寻味的是，随提示词一同截获的实装任务，仅仅是一道来自在线培训平台的普通编程习题。这表明攻击者当时极大概率只是在安全受控的沙盒外围测试框架链路，报告本身展示的是攻击意图与架构设计，无法证明该系统已在真实网络中完成了多阶段全自主渗透。
从转售Token到以盗养攻：黑产寄生逻辑的质变
要理解这起事件的真实杀伤力，必须将它放回近三年的对抗长河中审视。
2024年5月，安全机构Sysdig首次定义了LLMjacking概念，当时黑客的手法十分原始：窃取企业的AWS Bedrock凭据，纯粹为了规避自身账单或向AI提问，曾在3小时内刷出约6.1万次请求。到了2025年，黑产将其规模化为黑市倒卖，通过搭建反向代理池，将窃取的API配额以30美元包月的白菜价转售给第三方，牟取稳定现金流。
而赛门铁克截获的Skynet架构，连同2026年6月Sysdig发现的未授权Ollama服务器入侵事件，标志着第三阶段的到来。黑客不再满足于转售Token赚取差价，而是直接将外部受害者的LLM推理端点，插进自动化进攻流水线充当免封号、免备案的决策中枢。
攻击者需要的从来不是模型的意识，而是一个无需付费且无法溯源的云端推理跳板。
在这种双重受害者模式下，受害者A承担模型推理的真金白银。在早期的传统挖矿劫持（Cryptojacking）中，受害者额外的云电力账单与攻击者获取的虚拟币收益比例约为53比1。而在高阶大模型场景下，Sysdig曾测算潜在的账单敞口可达单日4.6万美元甚至10万美元以上。与此同时，受害者B的基础设施则遭到横向渗透，面临数据泄露与硬件算力被榨取的双重打击。
高概念大脑与低端执行：割裂的技术断层与防范现实
尽管这套架构在Prompt层面上构建了宏大的自主作战蓝图，但其落地的变现手段却显露出滑稽的原始感。就在捕获Skynet提示词的次日，同一个诱捕蜜罐记录下了同一攻击来源发起的第二轮请求。
这轮请求完全摒弃了复杂的Agent框架，转而命令模型解密并执行一段混淆脚本。脚本的核心意图极为古典：在公网寻找智能摄像头与家庭自动化系统常用的go2rtc流媒体服务，清空访问日志掩盖痕迹，并强行下载XMRig门罗币挖矿程序。
这种割裂感恰恰揭示了当前AI黑产的真实横截面：决策端试图用Agent实现高度拟人化的攻防推演，执行端却依然高度依赖老旧粗糙的挖矿木马变现。这与2026年Sysdig捕获的黑客在暴露Ollama服务器上用靶场做实验如出一辙。
- 提醒.当前企业防御最致命的盲区并非AI模型的逻辑漏洞，而是内网运维为了快速验证而在公网暴露的未授权vLLM端点与反向代理网关。
行业目前使用高度标准化的API通信协议，导致黑客只需运行一套自动化扫描器，就能轻易筛出数以万计裸露在外的AI服务端口。对于正在接入各类Agent框架的技术团队而言，给本地模型网关补齐鉴权认证并锁死对外调用权限，比担忧天网降临要紧迫得多。