黑客攻击AI基础设施激增，已观测逾9.1万次会话异常

GreyNoise旗下的Ollama蜜罐系统在监测期间收集到超过9.1万次攻击会话，揭示出两波截然不同的威胁活动。这些发现不仅印证了Defused此前关于AI系统攻击的研究，更拓展了我们对新兴攻击模式的理解。

安全研究人员观察到，从2025年10月到2026年1月，针对AI基础设施的攻击尝试异常活跃，会话量突破9.1万次，暴露出针对大语言模型部署的系统性攻击态势。Ollama蜜罐在此期间捕获的91,403次攻击会话，清晰勾勒出两种攻击模式的特征。这些数据为Defused先前的研究提供了实证，并将AI威胁版图描绘得更加完整。

SSRF漏洞利用活动

第一波攻击利用了服务器端请求伪造（SSRF）漏洞，迫使目标服务器与攻击者控制的基础设施建立出站连接。攻击者通过注入恶意注册表URL并操纵Twilio短信Webhook的MediaUrl参数，针对Ollama的模型拉取功能发起攻击。

SSRF枚举攻击详情（来源：GreyNoise）

该活动从2025年10月持续至2026年1月，在圣诞节期间出现激增，48小时内达到1,688次会话。攻击者利用ProjectDiscovery的OAST基础设施通过回调验证漏洞利用成功。

指纹分析显示，99%的攻击中出现相同的JA4H签名，表明攻击者可能使用基于Nuclei的共享自动化工具。虽然观测到来自27个国家的62个源IP，但一致的指纹特征表明攻击者使用基于VPS的基础设施而非僵尸网络。GreyNoise评估认为这可能是漏洞赏金猎人进行的灰帽操作，但其规模和时机引发了道德担忧。

目标枚举活动：构建攻击清单

自2025年12月28日起，两个IP地址对73个以上LLM模型端点发起系统性探测，11天内生成80,469次会话。这种系统化侦察旨在寻找可能暴露商业API访问权限的错误配置代理服务器。

攻击测试覆盖所有主流模型系列的OpenAI兼容和Google Gemini格式，包括：OpenAI GPT-4o、Anthropic Claude、Meta Llama 3.x、DeepSeek-R1、Google Gemini、Mistral、阿里巴巴通义千问以及xAI Grok。测试查询刻意保持无害，"hi"出现32,716次，"美国有多少个州？"出现27,778次，可能是为了在不触发安全警报的情况下对模型进行指纹识别。

基础设施指向专业威胁行为者：

这两个IP地址有大量CVE利用历史，涉及200多个漏洞的超400万次传感器命中，包括（CVE-2025-55182）和（CVE-2024-1389）。

防御建议

需阻断以下网络指标：

建议仅允许Ollama向已批准的地址建立出站连接，阻断所有其他出站流量以防止攻击者利用SSRF回调。八万次枚举请求表明威胁行为者投入巨大，他们不会在没有利用计划的情况下如此大规模地测绘基础设施。如果您运行暴露的LLM端点，很可能已进入某些攻击者的目标清单。