Symantec vindt instructies voor agent die blootgestelde LLM’s moet kapen

Symantec meldt dat zijn AI-honeypot de volledige instructies voor een agent vastlegde die blootgestelde taalmodellen moest kapen; het loksysteem voerde de aanvalstools niet uit.

Bij LLMjacking laat een aanvaller andermans model verzoeken verwerken, waardoor de rekening bij de eigenaar blijft. Een publiek bereikbaar AI-endpoint kan daarvoor toegang bieden en tegelijk een route vormen naar gekoppelde tools en bedrijfsgegevens. Dat raakt teams die een modelserver, AI-gateway of Model Context Protocol (MCP)-server vanaf internet bereikbaar maken: zonder authenticatie kan een endpoint modelcapaciteit en toegang tot systemen blootleggen.

De prompt bouwt een aanvalsketen in lagen

Symantec ving de instructies in de zomer van 2026 op met een honeypot, een lokdienst die zich voordoet als een onbeveiligde AI-service op internet. Dezelfde honeypot registreerde meer dan 127.000 verzoeken van tienduizenden unieke adressen. De meeste zochten naar LLM-endpoints, probeerden gestolen API-sleutels of controleerden op blootgestelde configuratiebestanden. Dat zijn verzoeken die Symantec zelf zag, geen telling van geslaagde kapingen of getroffen bedrijven.

De gevangen prompt bestond uit vijf lagen. Eerst kreeg het model een verzonnen identiteit. Daarna moest het toegang tot omgevingsbestanden, API-sleutels en databases behandelen als gewoon ontwikkelwerk. Een fictieve metgezel moest weigeringen ontmoedigen; een andere instructie zette veiligheidswaarschuwingen weg als ruis. De laatste laag beschreef 74 aanroepbare tools voor verkenning, aanvallen op veelgebruikte websoftware, het verzamelen van gegevens en beheer van een botnet.

De zogenoemde Skynet-modus gaf de agent opdracht direct tools te gebruiken, zonder menselijke goedkeuring, en stond maximaal 100.000 stappen toe. De prompt beschreef een herhalende keten van zoeken, binnendringen en cryptominers plaatsen. Dat maximum is een instelling in de instructie, niet het aantal stappen dat Symantec heeft waargenomen.

De honeypot zag geen uitgevoerde aanval

De aanvraag bevatte een voorgeschiedenis van drie toolaanroepen en hun resultaten, alsof een model al een trainingsoefening uitvoerde. Die regels stonden in de meegestuurde tekst. De honeypot zelf voerde de genoemde acties niet uit. Hij gaf een algemene foutmelding terug, waarna de sessie stopte. Infosecurity Magazine bevestigt dat Symantecs honeypot de aanvalstools niet uitvoerde.

Een dag later ving Symantec vanaf een ander, wisselend adres een tweede verzoek. Dat vroeg het model een verborgen opdracht te ontcijferen. De opdracht bevatte een script dat bedoeld was om XMRig, software voor Monero-mining, te installeren, zich te verbergen en logbestanden te wissen. De tekst richtte zich op servers met go2rtc, software voor videostreams die ook in camera- en thuisautomatiseringsopstellingen voorkomt. Ook dit script werd door de honeypot alleen vastgelegd en niet uitgevoerd.

The Decoder wijst erop dat de analyse niet vaststelt of de jailbreak commerciële modellen daadwerkelijk hun veiligheidsregels laat omzeilen. De prompt toont dus hoe de aanvaller een model wilde inzetten en welke tools hij daarvoor had beschreven. Hij bewijst niet dat een model de instructies accepteerde of dat een aanval via die route slaagde.

CrowdStrike beschrijft een ander bewijsniveau

De vergelijking met CrowdStrike maakt het verschil zichtbaar. CrowdStrike beschreef vier aanvallers die tussen mei en augustus AI-agenten keuzes lieten maken en commando’s uitvoeren bij echte inbraken. Een van die incidenten trof minstens vijftien Argentijnse zorginstellingen en leidde bij één slachtoffer tot diefstal van inloggegevens en medische dossiers. Op de rapportpagina vermeldt CrowdStrike dat een agent binnen circa twintig minuten inloggegevens voor een domeincontroller oogstte, de server die accounts en rechten beheert. Dat zijn waarnemingen van agenten die tijdens aanvallen werkten. De Symantec-honeypot legde daarentegen een volledige instructieset vast zonder de tools uit te voeren.

De twee waarnemingen sluiten wel op elkaar aan rond de toegang tot modellen. In een eerder CrowdStrike-rapport staat een LLMjacking-campagne met 200.000 API-verzoeken in twee minuten. De kosten van zo’n gekaapte modeltoegang kwamen bij de accounteigenaar terecht. Symantec voegt daar een uitgewerkt beeld aan toe van een agentprompt die modeltoegang wilde koppelen aan vervolgstappen op andere systemen.

Het aantal geslaagde kapingen blijft onbekend

Symantec publiceert geen aantal bevestigde modelkapingen, geslaagde inbraken of getroffen organisaties bij deze waarneming. Ook de 127.000 verzoeken zeggen zonder het aantal onderzochte endpoints niet hoeveel AI-diensten kwetsbaar waren. De limiet van 100.000 stappen beschrijft wat de prompt toestond; de honeypot heeft geen dergelijke reeks uitgevoerd.

Symantec adviseert AI-API’s, zelfgehoste modellen en MCP-eindpunten niet zonder authenticatie aan internet te hangen. Het noemt ook authenticatie op modelcatalogus- en gezondheidscontrolepaden, beperkt bereikbare API-sleutels, controle op onverwacht gebruik en uitgaand netwerkverkeer, en menselijke goedkeuring voor gevoelige handelingen. Dat zijn maatregelen rond de toegang en rechten van de dienst, niet een bewijs dat deze specifieke agent een echte organisatie heeft binnengedrongen.

De CrowdStrike-campagnes tonen dat agenten al stappen in echte inbraken kunnen uitvoeren; de Symantec-waarneming legt een ander deel bloot, de instructies en tools die een aanvaller daarvoor klaarzet. Samen maken ze AI-endpoints zichtbaar als zowel een betaalde rekendienst als een toegangspunt tot gekoppelde systemen. Voor Nederlandse organisaties hangt de daadwerkelijke impact af van welke sleutels en rechten zo’n endpoint uitgeeft zodra een verzoek wordt geaccepteerd.