读懂｜亚马逊的假模型接口录下了攻击智能体的作战记录

亚马逊诱饵接口录下 ARTEX 攻击智能体的行动记录：偷来的模型密钥被喂回框架付推理费，入口多是默认口令和免登录的网关。

网关里存着的上游模型密钥，成了攻击智能体给自己续航的燃料，推理账单落在密钥主人头上。亚马逊 11 月 13 日在 AWS 安全博客公布的威胁报告显示，攻击者用开源渗透框架 ARTEX 驱动智能体，专挑汇总多家模型密钥的 AI 网关下手。

读者最想问的是：这类攻击靠什么跑起来，谁在替它付钱？答案是偷来的模型密钥，付钱的主要是把汇总密钥的网关挂上公网却不设防的部署方。责任首先落在他们身上。

亚马逊的诱饵收下了整本行动记录

据 AWS 安全博客，10 月 3 日到 11 月 5 日，亚马逊的诱饵传感器网络 MadPot 伪装成常见的大模型对话接口。攻击智能体把它当成模型来调用，发来了任务上下文、系统提示、工具调用记录和共享知识图谱。

智能体框架会保留历史对话，所以一个请求里常常装着一场行动的完整经过。亚马逊写明，这些经过发生在它看不到的系统上，智能体自报的战果它无法核实，能确定的是攻击者想要什么。

报告没有公布被盗密钥的数量和受害企业名单，只说已按需通知可能受影响的 AWS 客户。亚马逊以中等把握判断，这些行动出自多个与中国有关的团伙，依据是简体中文提示词、中国时区设置和目标选择。

规模最大的一场行动是成批偷取模型访问凭据。偷到的密钥被送进框架自带的模型网关，再供智能体去找更多密钥。亚马逊认为，攻击者最有可能是想让别人替自己付模型费用。

智能体专挑把多家上游密钥汇总在一处的应用，因为一个薄弱的管理界面就能带出很多下游账号。报告点名的目标分两类：

用的办法没有一样是新的：没完成初始化就上线的安装、免登录的管理接口、默认管理员口令（报告点名 LiteLLM 的默认主密钥）、已公开的漏洞，以及留在前端脚本和环境文件里的密钥。

密钥来源还包括 GitHub 仓库、npm 与 PyPI 安装包和容器镜像。操作者让智能体给每把密钥分级，公开暴露超过 30 天的算作低价值存货。

同一份报告里的另一场行动，是用实时换脸冲击两家加密货币交易所的身份核验。智能体逆向了一家核验厂商的活体检测协议，最好一次把人脸动作对到离目标 7 像素以内，厂商服务端的判定仍然拒绝了它记录下的每一次尝试。

一边是服务端判定扛住反复试探，一边是默认口令一碰就开。亚马逊自己的结论也落在这里：智能体改变的是攻击的速度和耐心，得手的地方都缺基本的安全卫生。

有人会说，封住被盗密钥是模型服务商的事。Datadog 安全实验室 11 月 9 日的分析回答了这一点：ARTEX 让使用者接入多家服务商的密钥，一家封号就换下一家。

Datadog 还在公网找到数百个 ARTEX 控制台；该框架 7 月在 GitHub 公开，10 月 8 日转为闭源前已被复刻超过 12,000 次。

封号只是换一个钱包付账。盯住异常消费有用，亚马逊也建议企业这样做，但密钥是从部署方的网关里被拿走的，这扇门只能由部署方来关。这是分析推断，依据是上面两份报告对入口和换号行为的记录。

把汇总上游密钥的网关挂上公网又不设防的企业，是这条攻击链上第一个该被点名的责任方。它丢的不只是自己的数据，还有一只替陌生人付推理费的钱包。允许带着默认管理员口令上线的网关产品，同样站不住。亚马逊的诱饵录下了整本行动记录，每一页都指向同一扇没关的门。