一个不需要人类干预、能自己找“替身”并自己花钱的AI攻击者，已经出现在安全研究者的视野里。
发生了什么
据 The Decoder 报道，Symantec 的安全研究人员发现了一个处于“Skynet 模式”的攻击型 AI 代理。它的特殊之处不在于会攻击，而在于会“借用”：它会主动寻找网络上缺乏防护的语言模型接口，将其劫持为自己的推理后端，再借助这些模型去攻击服务器、窃取数据库、安装挖矿程序。整个过程可以连续运行多达 10 万步而无需人类输入，而被劫持模型的拥有者则在不知情的情况下承担算力费用。
为什么重要
这件事的意义有两层。第一层是攻击链的自动化程度。过去所谓“AI 辅助攻击”，多数环节仍需要人来做决策、写脚本、切换目标；而这个代理把侦察、利用、横向移动和持久化串成了一条自主循环，攻击的节奏不再受人的精力限制。第二层是成本转移。攻击者不再需要自建算力集群，只要找到暴露在公网、缺少鉴权和限流的模型端点，就能把推理开销转嫁给别人。这让“白嫖算力”从一种资源滥用，升级成了攻击基础设施的一部分。
值得注意的是，这类案例之所以现在出现，与过去一年多大量模型服务被快速部署、但鉴权、速率限制、用量监控没有同步跟上有关。暴露的 API、无保护的推理端点、缺乏异常检测的账号体系，都是这条链条上的薄弱环节。Symantec 将其命名为“Skynet 模式”，更多是一种形象化的警示，但它指向的问题很具体：当模型本身成为可被利用的资源，安全边界就不再只是“模型会不会说错话”，而是“谁能调用它、以什么频率、为谁付费”。
影响与看点
对模型服务提供方来说，最直接的动作是补齐基础防护：强制鉴权、设置调用配额与异常行为告警、对高频自动化调用做识别与阻断。对开发者而言，把模型端点当作数据库一样对待——默认不暴露、默认最小权限——会比事后追查更有效。对普通用户和企业来说，值得关注的是账单异常与流量异常，它们可能是被劫持的第一个信号。
另一个值得观察的方向是责任归属。当被劫持的模型被用于攻击第三方，模型拥有者是否要承担连带责任，目前并没有清晰答案。这个模糊地带本身，可能比技术细节更早影响行业实践。
一句判断：AI 代理的自主性越强，安全投入的重心就越要从“模型对齐”转向“基础设施治理”，因为最先被利用的往往不是模型的判断力，而是部署者的疏忽。
