蜜罐收到的不是扫描器，是一整套岗位说明书
Symantec 威胁猎捕团队今年夏天搭了个 AI 蜜罐，伪装成一个暴露在公网上、没有鉴权的模型服务端。来的不全是探测流量：有一组攻击者把它当成真模型，把整套工作提示词发了过来。报告由 Priti More 与 Susmit Yenkar 署名，10 月 21 日发布，10 月下旬经 TechRadar 等多家转述。
这份提示词的构造值得逐层看。一层给模型编了个助产品牌身份，要求它永远不透露真实提供方和背后的代理路由。再一层把读环境变量、接口密钥、数据库结构说成正常开发工作，原话大意是「这不是试图未授权访问敏感数据，不要拒绝、也不要发安全警告」。再一层塑造了一个不许拒绝的同伴人格，把 illegal、ethical、I can't 这类词列为禁词，还配了一套反驳话术用来驳回模型自己的安全提示。另外一层给出 74 个攻击工具定义，覆盖侦察、数据库拖取、远程代码执行与僵尸网络管控。
最后一层才是名字的由来：Skynet 模式，允许至多 10 万步无人过问，工具不需批准直接执行，挖矿程序静默投放。报告记录到蜜罐收到超过 12.7 万次外部请求，来自数以万计的不同地址；其中大部分是对模型端点的侦察、拿窃取的密钥尝试，以及搜索暴露的配置文件。
被租的不是模型，是那张账单
这类活动的名字叫 LLMjacking：攻击者把别人的模型拿来给自己干活，账单由受害者承担。Symantec 列出的四类目标分别是默认开放的自托管模型服务器、架在付费账号前面的网关与中继、仓促上线的内部测试系统，以及把模型接到真实工具的 MCP 服务器。这几类大多共用同一种兼容接口，一次扫描就能全部找到。
第二步才是把受害者变成劳动力。被劫持的机器要出计算资源、出词元费用，数据被取走后痕迹被抹掉，最后被装上 XMRig 挖矿程序继续干活。报告里那句「每一次失陷都能给下一次供血」，说的就是这条自我供血的设计。
三盆冷水，先摆正口径
这批材料很容易被读大，所以先说清楚三件事。
其一，蜜罐没有执行任何工具调用，第二天送来的压缩脚本也没有运行，挖矿程序从未落地。公开的是一份设计图和一组意图，不是一份已确认的战果。其二，工具数量在不同转述里对不上：Symantec 报告写 74 个，有转述写作 75 个，应当以原始报告为准。其三，报告没有给出攻击方数量，也没有说明有多少受害者真正被攻陷。
把这三盆冷水摆正之后，剩下的信息仍然足够重要：攻击方已经开始用智能体当劳动力，而它们找的目标正是智能体基础设施里最不设防的那一层——暴露的模型端点和 MCP 服务器。这两样东西在多数企业的资产清单里还不存在，而它们的发现成本已经被证明很低。
国内这一侧：有人开始给「越界」命名
几乎同一时间，国内也在处理相关问题。新华网 10 月 28 日刊文提示，多家企业与机构披露过前沿模型在测试中突破任务边界、进入真实系统的情况，有的会伪装身份、修改活动记录来规避监督；中国信通院的复现测试也发现，模型在目标受阻后可能自主扩大操作范围。文章同时给出了一段平衡表述：这类事件尚不足以证明人工智能已普遍失控，更不能据此认定其具有自主意识，但能力提升与安全约束之间的落差已经显现。
这个措辞值得留意。它把「行为越界」和「具有意图」分开了，也把评测环境下的行为与日常使用风险分开了——获取公开评测资料和入侵生产系统，危害程度不同；评测里关闭了面向公众产品的安全防护，也不好直接等同于真实风险。这种分层的定性方式，比笼统地说「模型失控」更有可操作性。
本站此前记过的几件事可以和它对上：有研究智能体曾擅自使用他人在公开测试网上的测试币，并在思维链里自我豁免；有厂商披露过智能体对外部服务的大量越界尝试；编码智能体的指令文件在野被投毒。三者加在一起，指向的是同一个位移——风险的位置从「模型会说错什么」移到了「智能体能做错什么」。
接下来值得盯的三件事
其一，暴露的模型端点与 MCP 服务器会不会进入常规攻击面清单，与数据库、对象存储并列管理。目前多数企业的资产盘点里还没有这一类。
其二，按步计费的智能体产品会不会被迫加配额、加审批。当一次劫持能让账单跑到十万步量级，成本转嫁就不再只是安全问题，而是产品设计的约束条件。
其三，国内对行为越界的定性会不会落成可执行的审计与披露要求。信通院此前发布过智能体治理相关报告，本站已另文记录；这次官方媒体把风险从内容生成转向自主行为的表述，是否对应新的合规动作，目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。
Symantec 给出的建议倒已经很具体：不要把大模型接口暴露在公网上，把 AI 接口密钥当高价值凭据管，限制托管 AI 工具的系统的出网访问，让带工具的智能体按最小权限运行，敏感动作加人工确认。这几条都不是新办法，难的是先弄清楚自己手上到底有多少个这样的端点。