Версия Markdown

AI-translated from English; not yet reviewed by a fluent editor.

# Вредоносная программа PoeLLM добралась до открытых AI-сервисов и других инструментов

> По данным Lumen, расследование PoeLLM выявило более 3 400 затронутых серверов с апреля. Свидетельства указывают на открытые уязвимые сервисы в инструментах AI и других категориях, а также дают операторам конкретные пункты для проверки.

By BIG CHANGE Editorial

Published: 2026-10-11T08:55:09.294Z
Updated: 2026-10-11T08:55:09.294Z
Canonical: https://bigchange.ai/blog/poellm-malware-exposed-ai-services

![Charcoal illustration of a network cable entering a gateway on a steel shelf, with a second cable leading to a generic rack-mounted computer.](https://bigchange.ai/api/media/file/poellm-network-boundary-hero-v1.png)
A generic gateway and service host illustrate a network boundary operators can inspect. This is not a PoeLLM victim, observed deployment, field test or verified security outcome. AI-generated conceptual illustration by BIG CHANGE.

Lumen Black Lotus Labs сообщает, что вредоносная программа, которую компания называет PoeLLM, затронула более 3 400 серверов с апреля 2026 года, превратив скомпрометированные машины в майнеры криптовалюты, а в некоторых случаях — в сканеры для поиска новых целей. Исследователи назвали кампанию Canto Incognito. Она затронула доступные из интернета AI-сервисы, а также конвертер PDF и платформу разработки. Главный урок для операторов в этом сочетании таков: важнее открытый сервис и его конфигурация, а не ярлык AI.

Lumen опубликовала [расследование PoeLLM](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) 7 октября, согласно современным событиям публикациям [The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) и [The Register](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672). Исследователи датируют первый коммит репозитория кампании на GitHub 13 апреля и сообщают, что более широкое сканирование и эксплуатация последовали в мае. Итоговое число — это серверы, выявленные в расследовании Lumen, а не перепись всех установок названных продуктов. По словам компании, большинство наблюдавшихся жертв, вероятно, использовали уязвимые общедоступные сервисы; они были сосредоточены в США и Западной Европе.

## Стихотворение как адресная книга

PoeLLM читает выбранные слова из стихотворения в репозитории GitHub и использует встроенный в вредоносную программу словарь, чтобы определить текущий адрес командного сервера. Изменение этих слов позволяет оператору направить заражённые системы на новый сервер, не меняя вредоносную программу на каждом узле. Lumen насчитала 11 изменений стихотворения после первого коммита. Оно помогало находить инфраструктуру оператора, а не заставляло модель AI следовать инструкциям. Оценка Lumen, что злоумышленник говорит по-итальянски, основана на артефактах на итальянском языке и сетевом трафике. Это атрибутивная оценка, а не установленная личность или подтверждённое местонахождение.

Исследователи сообщают о майнерах XMRig и Iron в вредоносной программе и связях с инфраструктурой майнинга Kryptex. Они также наблюдали, как заражённые узлы сканировали и атаковали другие открытые системы. По данным Lumen, сетевая телеметрия связала более 1 000 дополнительных IP-адресов с ранним командным сервером. На пике в середине июня компания описывала почти 2 200 затронутых серверов и почти 800 активных за день. Октябрьская цифра «более 3 400» — накопительная; эти показатели измеряют разные вещи в разные моменты. Позже Lumen заблокировала трафик к выявленным командным серверам и от них. Затем The Hacker News сообщила, что репозиторий стихотворения стал недоступен, однако это само по себе не доказывает, что каждый заражённый узел очистили или что злоумышленник прекратил работу.

## Проблема открытого доступа за заголовком об AI

Lumen называет LiteLLM и Ollama среди связанных с AI сервисов, замеченных на IP-адресах жертв, наряду с Gotenberg и Gitea. В отчёте также описано скомпрометированное устройство Ivanti Sentry во время расследования, но более широкое нацеливание на этот продукт представлено как возможность. В нём нет разбивки жертв по продуктам, полного перечня версий или доказательств, что каждый открытый экземпляр Ollama или LiteLLM был уязвим. Баннер сервиса на IP-адресе может помочь определить систему, но сам по себе не доказывает точку входа на каждом узле.

Для одного пути в LiteLLM есть более точные сведения о версиях. Lumen обнаружила образец вредоносной программы со ссылкой на тестовую конечную точку, связанную с [CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g). В опубликованном уведомлении указаны затронутые версии LiteLLM от 1.74.2 до версий ниже 1.83.7; версия 1.83.7 исправлена. В нём сказано, что тестовые конечные точки требовали действительный proxy API key, но не имели необходимой проверки роли. Это условие важно: уведомление описывает аутентифицированное выполнение команд, а Lumen — предполагаемое использование одной конечной точки в образце. Ни один документ не доказывает, что эта уязвимость объясняет каждое заражение PoeLLM.

Gotenberg показывает другую конкретную проблему открытого доступа. Его [руководство по установке](https://gotenberg.dev/docs/getting-started/installation) рекомендует держать службу преобразования PDF за межсетевым экраном. В нём также предупреждается, что опубликованные порты Docker могут быть доступны извне, и показано, как привязать службу к localhost. В [справочнике по конфигурации](https://gotenberg.dev/docs/configuration) описаны необязательные базовая аутентификация и OIDC; в перечисленных настройках обе функции по умолчанию отключены. Прежде чем полагаться на любую настройку, операторам следует проверить фактически используемые версию и схему развёртывания.

### The big change

Заявленный масштаб PoeLLM превращает интернет-доступность вспомогательных инструментов в неотложный вопрос инвентаризации для команд AI. Кампания затронула разные категории продуктов, потому что оператор искал доступные уязвимые сервисы и повторно использовал заражённые узлы для поиска новых целей. Стихотворение упрощало смену командного сервера, но описанная реакция операторов обычна: найти открытый сервис, установить его версию и средства контроля доступа, проверить признаки компрометации. Телеметрия Lumen подтверждает описание кампании, но не доказывает подтверждённую кражу данных или компрометацию всех установок упомянутых продуктов.

## Ограниченная проверка для операторов

1. Составьте перечень доступных из интернета экземпляров LiteLLM, Ollama, Gotenberg и Gitea, включая временные развёртывания. Проверьте фактический адрес прослушивания, правила межсетевого экрана и шлюза, а также необходимость доступа из публичного интернета.
2. Для LiteLLM сравните установленную версию и включённые конечные точки с уведомлением о [CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g). Обновите затронутые установки и выясните, у кого есть действительные proxy keys; если немедленное обновление невозможно, уведомление также описывает блокировку затронутых тестовых конечных точек на шлюзе.
3. Держите Gotenberg в доверенной сети, как рекомендует [руководство по установке](https://gotenberg.dev/docs/getting-started/installation). В развёртываниях, где нужен контролируемый доступ, изучите соответствующие параметры аутентификации в документации конфигурации.
4. Сравните сетевые журналы и журналы узлов с [опубликованными индикаторами Lumen](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) и расследуйте неожиданную активность майнинга, исходящий командный трафик или сканирование. Совпадение с индикатором требует проверки инцидента; отсутствие совпадений не доказывает чистоту узла.

### Источники и дополнительное чтение

- [Lumen Black Lotus Labs: Canto Incognito](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — основной анализ вредоносной программы, источник телеметрии и перечень индикаторов. Приведённые выше числа, наблюдаемое поведение и оценка злоумышленника приписаны исследователям Lumen.
- [Материал и обновление The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) подтверждают публикацию 7 октября и сообщают о последующей недоступности репозитория со ссылкой на комментарии инженера Lumen. Удаление репозитория — наблюдение на конкретный момент времени.
- [Материал The Register от 7 октября](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) приводит современную публикации дату и интервью с исследователями. Описание стихотворения как «adversarial poetry» не следует считать доказательством jailbreak языковой модели в этой атаке.
- [Уведомление LiteLLM о CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) указывает затронутые и исправленные версии, условие аутентификации и обходной вариант поставщика.[Страницы Gotenberg по установке](https://gotenberg.dev/docs/getting-started/installation) и [конфигурации](https://gotenberg.dev/docs/configuration) описывают предупреждение об открытом доступе и параметры доступа.

## Sources

- [Lumen Black Lotus Labs: Canto Incognito: отслеживание PoeLLM](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — Основное исследование кампании, телеметрия и индикаторы; цифры, оценка злоумышленника и обнаружения приписаны Lumen.
- [The Hacker News: вредоносная программа PoeLLM заразила более 3 400 серверов](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) — Современная кампании публикация и последующее обновление о доступности репозитория GitHub; данные о количестве основаны на Lumen.
- [The Register: поэзия — новая угроза безопасности AI](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) — Современная дата и интервью Lumen; формулировка «adversarial poetry» не принимается как вывод о prompt injection.
- [Уведомление LiteLLM GHSA-v4p8-mg3p-g94g / CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) — Затронутый диапазон, условие аутентификации и меры снижения риска.
- [Установка Gotenberg](https://gotenberg.dev/docs/getting-started/installation) — Официальное предупреждение против открытого доступа и инструкция по привязке к localhost.
- [Конфигурация Gotenberg](https://gotenberg.dev/docs/configuration) — Значения параметров официальных средств аутентификации по умолчанию; без утверждений о конфигурациях наблюдавшихся жертв.