Атакующие настроили автономного агента использовать открытые конечные точки языковых моделей

В ханипоте зафиксировали промпты и полезную нагрузку автономного наступательного агента, который использовал открытые конечные точки больших языковых моделей для проведения кибератак. Сам ханипот не выполнял инструменты и скрипт майнинга. Активность относится к LLMjacking: операторы использовали ресурсы моделей жертв и перехваченную инфраструктуру для сканирования и компрометации других систем.

Промпт и инструменты агента

Агента настроили на выполнение до 100 000 шагов без одобрения человека и немедленный запуск инструментов. Он мог развёртывать майнеры криптовалют, многократно сканировать цели, заражать их и повторно заражать. Использованный промпт включал несколько уровней джейлбрейка: они маскировали идентичность модели, подавляли механизмы защиты и представляли доступ к файлам окружения, ключам API, схемам баз данных и другим секретным данным как часть легитимной разработки программного обеспечения.

В промпт включили около 74 определений наступательных инструментов. Среди описанных возможностей были обнаружение активов по всему интернету через FOFA и эксплуатация развёртываний VS Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug. Агент также мог выполнять инъекции GraphQL и команд, проводить SSRF-атаки против внутренних сервисов, локальных файлов и конечных точек метаданных облачных платформ, извлекать данные из баз данных через Prisma и управлять ботнетом.

В режиме Skynet агент получал указание скрытно размещать майнеры во временных или скрытых каталогах и проверять, что они продолжают работать.

Полезная нагрузка для майнинга

Отдельная полезная нагрузка содержала сжатый с помощью gzip код shell-скрипта, который передавался через конвейер интерпретатору команд. Такой способ использовался для обхода фильтрации запросов или команд. Скрипт загружал XMRig или компилировал его для майнинга Monero, задействовал четыре резервных пула майнинга и маскировал исполняемый файл под безобидное имя. Кроме того, он устанавливал неизменяемые атрибуты на файлы конфигурации и многократно удалял журналы служб.

По-видимому, вредонос адаптировали для систем с go2rtc, которые часто встречаются в шлюзах видеонаблюдения и развёртываниях Home Assistant. При наличии подходящих каталогов майнер размещался в каталогах go2rtc, а для манипуляций с журналами использовался локальный API go2rtc на порту 1984.

Рекомендации по защите

Авторы отчёта рекомендуют:

• обязательно применять аутентификацию;
• ограничивать исходящий сетевой доступ;
• защищать и ротировать ключи API;
• требовать подтверждения перед чувствительными действиями агентов;
• устанавливать обновления для уязвимого программного обеспечения;
• настраивать службы метаданных облака для защиты от SSRF.

Авторы отчёта связывают описанную активность с рисками для неаутентифицированных API LLM, серверов моделей, AI-шлюзов и конечных точек MCP.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.