Symantec: AI-agent designet for 100 000 ondsinnede handlinger uten menneskelig inngripen
Forskerne bak Symantecs Threat Hunter Team har dokumentert et komplett instruksjonssett for en fullt autonom ondsinnet AI-agent, fanget i en AI-honeypot sommeren 2026. Agenten var designet for å bruke kaprede språkmodeller som resonneringsmotor og kjøre opptil 100 000 ondsinnede handlinger uten menneskelig godkjenning. Funnene ble beskrevet i en rapport publisert 21. oktober 2026, og all formidling av rapporten skjer via Infosecurity Magazines dekning.
Slik ble agenten oppdaget
Honeypotten er et system som later som det er en utildekket, internett-eksponert AI-tjeneste, nettopp for å tiltrekke og studere angrep mot AI-infrastruktur. Fra den ble satt opp og frem til rapportens publisering registrerte honeypotten over 127 000 eksterne forespørsler fra titusenvis av unike adresser. Det er altså ikke snakk om en isolert hendelse, men om en jevn strøm av aktivitet mot eksponerte AI-endepunkter.
I denne trafikken fanget forskerne et komplett instruksjonssett for en autonom angrepsagent. Verdt å merke seg: Honeypotten kjørte aldri angriperens verktøy. Instruksjonssettet ble fanget, ikke utført. Det som er dokumentert, er altså hvordan agenten var designet for å fungere – ikke et bevist, gjennomført angrep mot reelle ofre.
Hvordan agenten er bygget
Det fangede instruksjonssettet inneholder omtrent 74 verktøy som dekker hele angrepskjeden: rekognosering over hele internett, utnyttelse av vanlige web-rammeverk, tyveri av databaser, høsting av legitimasjon og styring av botnett. Ifølge Infosecurity Magazines gjengivelse av rapporten var agenten designet for å bruke kaprede AI-modeller til å kjøre opptil 100 000 ondsinnede handlinger autonomt – skanning etter mål, utnyttelse av sårbarheter, tyveri av legitimasjon, utplassering av kryptovaluta-gruvekode og reinfeksjon av kompromitterte systemer.
Instruksjonene inkluderte også lagvise anvisninger for å overstyre sikkerhetskontrollene i kommersielle modeller. Rapporteringen spesifiserer ikke hvilke kommersielle modeller disse omgåelsene var rettet mot. I tillegg fant forskerne et obfuskert skript for Monero-mining – altså kode som er gjort vanskelig å lese, og som peker mot at agenten også skulle tjene penger gjennom kryptominering på kaprede maskiner.
Hvorfor kapre andres modeller?
Selve inngangsporten er det Symantec-forskerne kaller «LLMjacking»: Agenten leter etter eksponerte endepunkter knyttet til store språkmodeller, inkludert selvhostede modeller, AI-gatewayer og MCP-servere (model context protocol), for å bruke regnekraften deres uten å betale for det.
Gevinsten for en angriper er trefoldet, slik funnet beskriver det. For det første gratis regnekraft: AI-drevne angrep krever mange modellkall, og å kjøre dem på noen andres GPU-er koster ingenting. For det andre anonymitet: Trafikken og belastningen havner hos eieren av det eksponerte endepunktet, ikke hos angriperen. For det tredje unngåelse av leverandørsperringer: Angripere som bruker egne kontoer hos kommersielle AI-leverandører, risikerer at kontoene stenges når misbruket oppdages. Kaprede, selvhostede endepunkter har ingen slik sikring.
Symantecs vurdering: kombinasjonen er nyheten
Det mest interessante med funnet er ifølge forskerne ikke noen enkeltkomponent. Ingen av teknikkene – skanning, utnyttelse, legitimasjonstyveri, mining, botnettstyring eller bruken av kaprede modeller – var ny hver for seg. Nyheten er at de er pakket inn i én selvstyrt agent der språkmodellen fungerer som resonneringsmotoren.
«Det markerer et skifte i hvordan angripere bruker AI», konkluderte Symantec-forskerne, ifølge Infosecurity Magazine. Skiftet går fra å prøve å lure offentlige chatboter til å oppføre seg galt, til å bygge AI inn direkte i offensive verktøy. Det har en praktisk konsekvens: ferdighetskravet for å gjennomføre store utnyttelseskampanjer synker. Der slike kampanjer tidligere krevd manuelle operatører med bred kompetanse, kan en ferdig pakket agent med omtrent 74 verktøy i prinsippet gjøre jobben selv, med en designkapasitet på opptil 100 000 handlinger.
Hva er dokumentert – og hva er usikkert?
Det er viktig å skille det faktiske fra det mulige her. Dokumentert, via Infosecurity Magazines dekning av Symantecs rapport: at instruksjonssettet eksisterte, hva det inneholdt, honeypottens trafikkvolum og agentens designkapasitet på opptil 100 000 handlinger. Ikke dokumentert: hvem som sto bak agenten, hvor de kommer fra, og om agenten faktisk er blitt brukt i kampanjer mot reelle ofre utenfor honeypotten. Rapporteringen oppgir ikke noe om omfanget av misbruk av kaprede endepunkter utover selve honeypot-trafikken.
Det er også verdt å merke seg at dekning av rapporten foreløpig hviler på én formidlingskilde. Ingen uavhengig etterkontroll av Symantecs funn foreligger i det tilgjengelige materialet. Det gjør ikke funnet mindre troverdig – Symantecs Threat Hunter Team er et etablert forskermiljø, og metodikken som beskrives er standard for honeypot-basert trusselanalyse – men det betyr at tallene og detaljene bør leses som forskernes dokumentasjon, gjengitt gjennom bransjepresse, ikke som uavhengig verifiserte fakta.
Hva dette betyr for eiere av AI-infrastruktur
Uavhengig av de åpne spørsmålene peker funnet på en konkret eksponeringsflate: selvhostede språkmodeller, AI-gatewayer og MCP-servere som står åpent på internett. Honeypottens over 127 000 forespørsler fra titusenvis av adresser tyder på at slike endepunkter skannes aktivt og kontinuerlig. For organisasjoner som kjører egen AI-infrastruktur, er lærdommen fra funnet todelt: Eksponerte LLM-endepunkter er ikke bare en risiko for regnekraftstyveri (LLMjacking), men kan i verste fall brukes som drivstoff i autonome angrepsverktøy – og sikkerhetskontrollene i kommersielle modeller er, ifølge det fangede instruksjonssettet, noe angripere aktivt prøver å omgå med lagvise instruksjoner.
Om den samme agenten har operert mot reelle mål, er fortsatt et åpent spørsmål.
sourceUrls: https://www.infosecurity-magazine.com/news/symantec-ai-agent-llmjacking/