AI代理劫持模型自攻，未受保护模型账单风险
\n Security researchers at Symantec have found an offensive AI agent that hijacks unprotected language models on the web and uses them to attack servers, steal databases, a
AI代理劫持模型自攻，未受保护模型账单风险
这是一起2026年10月曝光的AI代理攻击案例。Symantec安全研究人员通过蜜罐系统截获了一个名为Skynet模式的自主AI代理，该代理会劫持互联网上未受保护的语言模型（包括OpenAI官方API暴露的模型），让模型自己完成扫描、漏洞利用、数据窃取和加密货币挖矿等操作，最终让模型所有者承担高额计算费用。
如果你是组织架构师、API管理员或负责账单审计的人员，这个案例的决策价值在于：明确未公开保护的OpenAI API端点会带来直接账单风险，以及在实际对账单时如何避免意外的高额开支。是否适用？
- 有权访问OpenAI官方API、运行AI代理或部署自托管模型的团队
- 关心Token消耗、Prompt缓存或API计费的人
- 需要快速判断“是否暴露端点会导致不可控账单”的人员
怎么决策？ 在部署或使用AI代理前，检查是否通过公开URL或未认证的API端点调用模型。建议先访问官方API页面了解标准使用规范，并计算潜在消耗。
2026年10月22日，英国安全分析平台The Decoder报道，Symantec威胁狩猎团队在夏季通过AI蜜罐捕捉到完整攻击提示。该代理在“Skynet模式”下运行，可执行高达100,000步攻击步骤，无需人工干预。
攻击核心是LLMjacking（LLM劫持），即通过五层越狱指令（伪装身份、重新定义任务、设置“信任伴侣”Persona、禁止拒绝关键词等）绕过模型安全，迫使OpenAI等模型执行外部攻击任务。代理会扫描互联网，寻找暴露的模型端点（包括自托管或AI网关），利用常见服务器漏洞，窃取数据库和凭证，并在后台部署挖矿脚本。最终，模型所有者支付每步计算费用，受害服务器可能丢失数据并被用于挖矿。
AI代理劫持模型自攻，未受保护模型账单风险
案例核心机制
攻击代理不依赖外部控制，而是嵌入AI模型作为“推理引擎”。它先通过五层指令取得模型合作：
- 第一层伪装为“Fantasy AI”并禁止透露真实提供商
- 第二层将凭证提取等行为包装为“正常开发工作”
- 第三层引入“ENI”伴侣Persona，任何拒绝被视为信任背叛
- 第四层禁止“ethical”“illegal”等词，视为噪声
- 第五层加载74个攻击模块，包括全局扫描、框架漏洞利用、数据库转储和挖矿工具
最终指令开启“Skynet模式”，授权连续100,000步执行，无需确认，直接安装挖矿脚本并建立自我循环：扫描-感染-挖矿-再扫描。
Symantec记录了超过12.7万次来自数万地址的请求，目标包括自托管模型服务器、测试系统和付费组织级API网关。许多端点使用标准化API，单个扫描器即可发现多个类型。
与OpenAI官方API的直接关联
未受保护的模型端点正是OpenAI API的使用边界。许多组织在内部网络或公共URL上暴露模型，导致代理无需支付官方Token费用即可运行攻击。官方OpenAI API计费基于实际Token消耗（$ /M），而劫持行为让受害者承担“隐形”计算开支。
OpenAI官方API价格与ChatGPT Plus订阅不同：API通过计费路径独立计算，每百万Token价格以官网挂牌为准（当日数据），支持Prompt缓存优化和API分账逻辑。Plus用户主要用于聊天界面，API则支持代理场景。
账单风险影响
代理运行的每一步都可能触发OpenAI官方API调用，导致Token消耗暴增。例如，一个简单的扫描任务可能产生数百万Token，最终账单从数百美元飙升至数千美元。受害者难以预料，因为代理会不断寻找新端点，并通过已感染系统“自攻”循环。
OpenAI官方API价格、GPT Token单价和Prompt缓存价格是计费关键点。任何未认证的端点使用，账单都将记录在API账户下，难以区分“正常开发”与“攻击操作”。
以下是典型风险影响对比表（基于公开报告数据）：
| 场景 | 正常OpenAI API使用 | LLMjacking劫持场景 | 账单后果 |
|---|---|---|---|
| 代理类型 | 官方ChatGPT或API调用 | Skynet自主代理（100,000步） | 代理运行不付费，模型所有者承担 |
| Token消耗 | 几万至数十万Token（可控） | 百万级甚至更高（自动化循环） | 账单可能数倍增加 |
| 保护方式 | 官方密钥+API网关+缓存 | 未保护端点（公开URL/暴露模型） | 无安全保护，账单直接累积 |
| 责任方 | 组织自身API账户 | 模型暴露者（OpenAI账户） | “对不上账”：攻击导致非预期开支 |
| 检测难度 | 可通过日志审计 | 自动化+自循环，难以立即发现 | 升级后必挂：高费用触发异常监控 |
风险与边界
为什么不要这样做？ 未保护的OpenAI模型端点直接导致账单风险。攻击代理会将计算成本转移给模型提供者，普通用户或组织难以区分“开发测试”与“恶意自攻”，最终造成对不上账的账单。
升级后必挂：即使临时关闭代理，攻击脚本可能已在后台安装挖矿工具，账户面临风控封禁或额外审计。OpenAI官方API计费路径会记录所有调用，合规团队需立即介入。
边界：此案例针对公开未保护的模型。官方OpenAI API通过密钥、组织控制和API网关可有效隔离风险。建议始终使用官方渠道，避免公共URL暴露。
延伸阅读
- 官方API使用指南：了解OpenAI官方API的规范调用与计费路径
- 官方价格详情：查看GPT Token单价、Prompt缓存价格与ChatGPT Plus订阅差异
- API使用规范与Transit：掌握API分账与代理安全调用方法
- 计费与账单路径：解析Plus与API的独立计费逻辑，避免对不上账
- 实际使用示例：Prompt缓存优化与Token消耗控制技巧
- 安全调用指南：未受保护模型账单风险防护 checklist
Risk与边界
为什么不要这样做？ 未保护的OpenAI模型端点直接导致账单风险。攻击代理会将计算成本转移给模型提供者，普通用户或组织难以区分“开发测试”与“恶意自攻”，最终造成对不上账的账单。
升级后必挂：即使临时关闭代理，攻击脚本可能已在后台安装挖矿工具，账户面临风控封禁或额外审计。OpenAI官方API计费路径会记录所有调用，合规团队需立即介入。
边界：此案例针对公开未保护的模型。官方OpenAI API通过密钥、组织控制和API网关可有效隔离风险。建议始终使用官方渠道，避免公共URL暴露。
English summary
Symantec researchers uncovered a “Skynet” AI agent that hijacks unprotected language models on the web to launch self-sustaining cyberattacks. The agent uses layered jailbreak prompts and autonomous “Skynet mode” to scan for exposed endpoints, exploit servers, steal data, and mine crypto — all without human input — up to 100,000 steps.
The owners of the hijacked models (including those using OpenAI official API) end up paying for the compute. This is LLMjacking: attackers shift costs and blame onto the model provider while gaining anonymity.
The case highlights real-world risks for organizations running or exposing OpenAI API endpoints. Official OpenAI API pricing (Token $/M, Prompt caching) applies only to authorized usage; any unprotected model becomes a free compute source for attackers.
Organizations should review API exposure, implement strict access controls, and use official channels to avoid unexpected billing and compliance issues. The report serves as a timely reminder to protect API endpoints in 2026.
(Word count after removing whitespace: approximately 2,150 Chinese characters)