Lumen Black Lotus Labs称，其所说的PoeLLM恶意软件自2026年4月以来影响了3,400多台服务器，将遭入侵的机器变成加密货币矿机，有些还被用作扫描器以寻找更多目标。研究人员将这场活动命名为Canto Incognito。它侵入了面向互联网的AI服务，也涉及PDF转换器和开发平台。对运营者而言，这种组合带来的教训是：暴露的服务及其配置，比AI标签更重要。
Lumen于10月7日发布了其PoeLLM调查；根据同期的The Hacker News和The Register报道，研究人员将该活动GitHub仓库的首个提交日期定为4月13日，并称更广泛的扫描与利用随后在5月出现。总数是Lumen调查发现的服务器数量，并非对所有相关产品部署的全面普查。该公司称，大多数被观察到的受害者似乎运行着易受攻击且公开暴露的服务，受害者集中在美国和西欧。
被当作地址簿的诗
PoeLLM会读取GitHub仓库中一首诗的特定词语，并利用恶意软件内置的词典推导当前的命令与控制地址。修改这些词语，就能让操作者将受感染系统指向新服务器，而无需逐台更改恶意软件。Lumen统计，初次提交后这首诗被修改了11次。诗的作用是定位操作者的基础设施；它并没有诱使AI模型遵从指令。Lumen根据意大利语痕迹和网络流量判断该行为者会说意大利语。这只是归因判断，并非已确认的个人身份或地点。
研究人员称，恶意软件中包含XMRig和Iron挖矿程序，并与Kryptex挖矿基础设施建立连接。他们还观察到受感染主机扫描并攻击其他暴露系统。Lumen称，其网络遥测将1,000多个额外IP地址关联到一台早期命令服务器。6月中旬的高峰期，该公司描述了近2,200台受影响服务器，以及一天内近800台处于活动状态。10月标题中的3,400多台是累计数字；这些数据在不同时间衡量不同事项。Lumen后来阻断了与其识别出的命令服务器之间的流量。The Hacker News随后报道诗歌仓库已无法访问，但仅凭这一观察，不能证明每台受感染主机都已清理，也不能证明行为者已停止活动。
AI标题背后的暴露问题
Lumen将LiteLLM和Ollama列为在受害者IP上观察到的AI相关服务，同时还提到Gotenberg和Gitea。报告也描述了调查期间一台Ivanti Sentry设备遭入侵的情况，但将该产品受到更广泛攻击视为一种可能性。报告未提供按产品划分的受害者数量、完整版本清单，也没有证明每个暴露的Ollama或LiteLLM实例都存在漏洞。IP地址上的服务横幅可以帮助识别系统，但本身不能证明每台主机的确切入侵途径。
LiteLLM的一条攻击路径有更明确的版本信息。Lumen发现一个恶意软件样本引用了与CVE-2026-42271相关的测试端点。已发布的公告列出LiteLLM 1.74.2至1.83.7之前的版本为受影响版本，1.83.7则已修复。公告称，测试端点需要有效的代理API密钥，但缺少必要的角色检查。这一条件很重要：公告描述的是经过身份验证的命令执行，而Lumen描述的是样本中可能使用了某个端点。两份文件都没有证明该漏洞可以解释所有PoeLLM感染。
Gotenberg体现了另一种具体的暴露问题。其安装指南建议将PDF转换服务放在防火墙后。指南还警告，已发布的Docker端口可能从外部访问，并演示了将服务绑定到localhost的方法。其配置参考记录了可选的基本身份验证和OIDC；在列出的设置中，两者默认均处于禁用状态。运营者在依赖任何设置前，应核实实际运行的版本和部署方式。
The big change
PoeLLM报告的规模，使AI团队必须立即盘点辅助工具是否暴露于互联网。操作者寻找可访问且存在漏洞的服务，并重复利用受感染主机寻找更多目标，因此这场活动跨越了多个产品类别。诗歌让更换命令服务器变得容易，但文件所描述的运营者应对方式很常规：找到暴露服务，确认其版本与访问控制，并检查是否有遭入侵迹象。Lumen的遥测支持了对这场活动的描述；它并未证明发生了已确认的数据窃取，也未证明报告点名的所有产品部署都遭到入侵。
给运营者的有限检查
- 盘点可从互联网访问的LiteLLM、Ollama、Gotenberg和Gitea实例，包括临时部署。检查实际监听地址、防火墙和网关规则，以及是否确实需要从公共互联网访问。
- 对LiteLLM，将已安装版本和启用的端点与CVE-2026-42271公告进行对照。更新受影响的安装，并核查谁持有有效的代理密钥；公告还说明，如果无法立即更新，可在网关阻断受影响的测试端点。
- 按照安装指南的建议，将Gotenberg留在可信网络内。对于需要受控访问的部署，查看配置文档中的相关身份验证选项。
- 将网络和主机日志与Lumen公布的指标进行对照，调查意外挖矿活动、外发命令流量或扫描行为。指标匹配需要进行事件审查；没有匹配并不能证明主机未受感染。
来源与延伸阅读
- Lumen Black Lotus Labs：Canto Incognito是主要的恶意软件分析、遥测来源和指标清单。上文的数量、观察到的行为及对行为者的判断均归于Lumen研究人员。
- The Hacker News的报道及更新确认了10月7日的发布，并根据Lumen工程师的评论报道仓库后来无法访问。仓库被移除只是一个时间点的观察。
- The Register于10月7日的报道提供了同期发布时间和对研究人员的采访。其将诗称为“对抗性诗歌”，不应被解读为这次攻击发生了LLM越狱的证据。
- LiteLLM的CVE-2026-42271公告列出了受影响与已修复的版本、身份验证条件及供应商提供的替代措施。Gotenberg的安装和配置页面介绍了暴露警告和访问设置。
