新型惡意攻擊活動(dòng)盯上暴露的大模型服務(wù)端點(diǎn) 非法利用AI基礎(chǔ)設(shè)施牟利

一款惡意攻擊活動(dòng)正針對(duì)暴露在外的大語言模型服務(wù)端點(diǎn)展開精準(zhǔn)攻擊，通過非法獲取AI基礎(chǔ)設(shè)施的未授權(quán)訪問權(quán)限實(shí)現(xiàn)商業(yè)化牟利。

研究人員在40天的監(jiān)測(cè)中，于蜜罐系統(tǒng)上記錄到超3.5萬次攻擊會(huì)話，由此發(fā)現(xiàn)這起大規(guī)模網(wǎng)絡(luò)犯罪活動(dòng)——攻擊者通過利用暴露或認(rèn)證機(jī)制存在缺陷的AI服務(wù)端點(diǎn)，將非法訪問權(quán)限變現(xiàn)并實(shí)施一系列惡意操作。

研究人員將該攻擊活動(dòng)命名為Bizarre Bazaar，并指出這是首起可明確歸因于特定威脅組織的“大模型劫持”（LLMjacking）攻擊案例。

研究人員稱攻擊者通過獲取防護(hù)薄弱的大模型基礎(chǔ)設(shè)施端點(diǎn)未授權(quán)訪問權(quán)限，主要實(shí)施以下惡意行為：

1. 竊取計(jì)算資源用于虛擬貨幣挖礦；

2. 在暗網(wǎng)市場(chǎng)轉(zhuǎn)售API訪問權(quán)限；

3. 竊取提示詞與對(duì)話記錄中的數(shù)據(jù)；

4. 試圖通過模型上下文協(xié)議（MCP）服務(wù)器橫向滲透至內(nèi)部系統(tǒng)。

該攻擊活動(dòng)的常見攻擊載體包括：自部署的大模型環(huán)境、暴露在外或未做認(rèn)證的AI接口、公網(wǎng)可訪問的MCP服務(wù)器，以及分配了公網(wǎng)IP的AI開發(fā)/測(cè)試環(huán)境。

攻擊者通常利用各類配置漏洞發(fā)起攻擊，例如11434端口上未做認(rèn)證的Ollama服務(wù)端點(diǎn)、8000端口上兼容OpenAI協(xié)議的未認(rèn)證接口，以及未做權(quán)限校驗(yàn)的生產(chǎn)環(huán)境聊天機(jī)器人。

研究人員指出，一旦存在配置漏洞的服務(wù)端點(diǎn)出現(xiàn)在Shodan、Censys等網(wǎng)絡(luò)空間測(cè)繪平臺(tái)的掃描結(jié)果中，攻擊者會(huì)在數(shù)小時(shí)內(nèi)發(fā)起針對(duì)性攻擊。

這類威脅與傳統(tǒng)的接口濫用存在本質(zhì)區(qū)別，被攻陷的大模型服務(wù)端點(diǎn)不僅會(huì)產(chǎn)生高額成本——大模型推理計(jì)算的開銷本就居高不下，還會(huì)導(dǎo)致企業(yè)敏感數(shù)據(jù)泄露，更會(huì)為攻擊者提供橫向滲透的可乘之機(jī)。

此前，GreyNoise的一份報(bào)告也曾披露過類似攻擊行為，彼時(shí)攻擊者主要針對(duì)商用大模型服務(wù)展開信息探測(cè)。

而此次研究則發(fā)現(xiàn)，這起攻擊活動(dòng)背后形成了一條犯罪供應(yīng)鏈，涉及三名威脅者，且三者大概率為同一犯罪團(tuán)伙協(xié)同作案：

第一位通過自動(dòng)化機(jī)器人對(duì)全網(wǎng)進(jìn)行掃描，尋找大模型及MCP服務(wù)端點(diǎn)；

第二位體對(duì)掃描結(jié)果進(jìn)行驗(yàn)證，測(cè)試目標(biāo)端點(diǎn)的訪問權(quán)限；

第三位行為體則在Telegram、Discord等平臺(tái)運(yùn)營(yíng)著一個(gè)名為silver[.]inc的商業(yè)化服務(wù)平臺(tái)，將非法獲取的AI服務(wù)訪問權(quán)限以虛擬貨幣或PayPal轉(zhuǎn)賬的方式轉(zhuǎn)售牟利。

該平臺(tái)還推出了一個(gè)名為NeXeonAI的項(xiàng)目，對(duì)外宣稱是“一體化AI基礎(chǔ)設(shè)施”，可提供50余款頭部廠商的大模型訪問權(quán)限。

Bizarre Bazaar行動(dòng)階段

研究人員還將這起犯罪活動(dòng)溯源至一名特定威脅者，該行為體曾使用“Hecker”“Sakuya”“LiveGamer101”等多個(gè)別名。

除了聚焦大模型接口濫用的Bizarre Bazaar，還監(jiān)測(cè)到另一起獨(dú)立的攻擊活動(dòng)，該活動(dòng)專門針對(duì)MCP服務(wù)端點(diǎn)展開偵察探測(cè)。

針對(duì)MCP端點(diǎn)的攻擊，能為攻擊者創(chuàng)造更多橫向滲透的機(jī)會(huì)——可通過與Kubernetes容器平臺(tái)交互、獲取云服務(wù)訪問權(quán)限、執(zhí)行Shell命令等方式進(jìn)一步入侵，其背后的牟利價(jià)值遠(yuǎn)高于單純利用計(jì)算資源挖礦的變現(xiàn)手段。

目前尚無證據(jù)表明這起MCP端點(diǎn)攻擊活動(dòng)與Bizarre Bazaar存在關(guān)聯(lián)，但安全研究人員推測(cè)，二者或有潛在聯(lián)系。

參考及來源：https://www.bleepingcomputer.com/news/security/hackers-hijack-exposed-llm-endpoints-in-bizarre-bazaar-operation/