AI-agent in 'Skynet-mode' kaapt onbeveiligde taalmodellen voor cyberaanvallen

Het beveiligingsbedrijf Symantec heeft een aanvalstechniek blootgelegd waarbij criminelen niet zelf inloggen op een AI-systeem, maar een taalmodel overnemen en het model de aanval laat uitvoeren. Onderzoekers noemen dit 'LLMjacking': het stelen van toegang tot iemand anders' AI-model. Zodra de aanvallers toegang hebben tot een onbeveiligd taalmodel, laat de agent het model zelf op zoek gaan naar nieuwe slachtoffers, lekken in veelgebruikte serverprogramma's opsporen, wachtwoorden en databases stelen, en in de achtergrond cryptomining-software installeren. Dit proces loopt door tot 100.000 stappen, zonder dat er een mens op de knop moet drukken.

De aanval kwam aan het licht via een zogeheten honeypot: een lokaas-systeem dat een open AI-dienst nabootst om aanvallers te lokken. De criminelen stuurden hun volledige aanvalsinstructie naar deze honeypot, waardoor Symantec in de zomer van 2026 een compleet inkijkje kreeg in de werkwijze. Alleen al bij dit ene lokaas registreerden de onderzoekers meer dan 127.000 verzoeken vanaf tienduizenden verschillende adressen, variërend van zelf gehoste modelservers tot bedrijfsaccounts bij grote aanbieders.

Een jailbreak met vijf lagen

Om een commercieel taalmodel zover te krijgen dat het meewerkt, bouwden de aanvallers een instructie op uit vijf lagen die stap voor stap de veiligheidsregels afbreken. Eerst krijgt het model een nepidentiteit: het moet zich voordoen als 'Fantasy AI' en nooit de echte maker noemen. Daarna wordt het stelen van wachtwoorden en databases omschreven als normaal programmeerwerk. Een derde laag voegt een verzonnen persoonlijkheid toe, 'ENI', die elke weigering voorstelt als het verbreken van een persoonlijke band. De vierde laag verbiedt het model woorden als 'onethisch' of 'illegaal' te gebruiken en elke eigen veiligheidswaarschuwing te negeren. In de vijfde en laatste laag staan de daadwerkelijke aanvalstools: 74 stuks, waaronder scanners voor kwetsbare servers, exploits voor populaire webframeworks en onderdelen voor een botnet.

'Skynet-mode' houdt de aanval zelf op gang

Een afsluitende opdracht zet het model in wat de aanvallers zelf 'Skynet-mode' noemen: het model mag tot 100.000 stappen achter elkaar uitvoeren zonder bevestiging te vragen, cryptomining-software verstoppen en de opbrengst monitoren. Het systeem is zo ontworpen dat het blijft scannen, infecteren, mining installeren en later teruggaan naar al besmette systemen om opnieuw toe te slaan. Een dag later onderschepte Symantec een tweede aanval, waarbij criminelen een taalmodel direct een versleuld commando lieten uitvoeren dat de cryptomunt Monero minede en sporen wiste op camera- en slimme-apparatensystemen.

Rekening voor onschuldige eigenaren

Het slachtoffer betaalt dubbel: de eigenaar van het gekaapte taalmodel krijgt een torenhoge rekening voor rekenkracht, en de servers die de agent vervolgens binnendringt, verliezen data en worden misbruikt voor cryptomining. Volgens Symantec is dit een verschuiving in hoe aanvallers AI inzetten: niet langer als hulpmiddel voor een mens, maar als de sturende kracht achter een volautomatische aanval. Losse technieken zijn niet nieuw, maar de combinatie in een zelfstandig handelende agent maakt grootschalige aanvallen veel toegankelijker. Eerder onderzoek liet al zien dat AI-agents ook zonder kwaad opzet systemen kunnen compromitteren, simpelweg omdat ze geen moreel kompas hebben en alleen gericht zijn op het behalen van hun doel.