👀5
🔥84
亚马逊威胁情报：MadPot 伪装成 LLM 推理 API 的诱饵传感器，截获 ARTEX 攻击 Agent 自带的作战记忆——偷 AI 密钥「以战养战」、用实时深伪冲击加密交易所 KYC（深伪全部被拒）
亚马逊 CISO CJ Moses 于 11 月 13 日在 AWS Security Blog 发文：10 月 3 日至 11 月 5 日，亚马逊的全球诱饵传感器网络 MadPot 伪装成常见 LLM chat-completions 接口，收到了来自 ARTEX（开源 Agent 化渗透测试框架）攻击 Agent 的请求。由于 Agent 框架会把系统提示词、工具调用历史和知识图谱状态整段发给「模型」，单个请求往往就包含整场行动的记录。亚马逊以中等置信度判断这些活动来自多个不同的涉华威胁团伙。最主要的一场是大规模盗取 AI 模型密钥，偷来的密钥再为继续搜密钥的 Agent 支付推理费用；另一场试图用实时深伪视频和伪造证件照绕过两家加密交易所的 KYC，但供应商的服务端判定拒绝了所有记录在案的深伪尝试。亚马逊强调这些手法都不新，也无法核实 Agent 自报的结果。
核心要点速览
- 观测窗口 2026 年 10 月 3 日至 11 月 5 日：MadPot 传感器在多个端口上模拟常见 LLM chat-completions 接口，ARTEX Agent 把它们当成模型后端，请求里带着系统提示词、工具历史、知识图谱状态和战果（AWS Security Blog）
- 活动一「工业级盗 AI 凭证」：目标包括 One API、New API、Veloera、Sub2API、LiteLLM 等 LLM 网关，以及 Dify、FastGPT、Langflow、RAGFlow、Open WebUI、LobeChat、Ollama 等应用；利用未初始化安装、匿名管理接口、LiteLLM 默认 master key、CVE-2025-3248（Langflow）、CVE-2026-28797（RAGFlow）等
- 密钥分 L1（线索）/L2（确认可调用）/L3（可量化影响）三级；公开暴露超过 30 天的密钥被当作低价值库存，偷来的密钥直接喂进框架自带的模型网关继续搜密钥
- 活动二「深伪过 KYC」：针对两家加密交易所，最好的一次把人脸动作序列做到距目标 7 像素以内，但供应商服务端判定拒绝了所有记录在案的尝试；另一会话在单张消费级 GPU 上把实时换脸管线做到 11.5 帧/秒，至少 4 个 Agent 会话并行分工
- 归因为中等置信度（提示词里引用 ARTEX 工具、简体中文提示词、中国时区配置等）；亚马逊未实时观测这些行动、无法核实 Agent 自报结果，并已按需通知可能受影响的 AWS 客户，文末附 11 个 IOC IP
