AI-translated from English; not yet reviewed by a fluent editor.
# PoeLLM恶意软件侵入暴露的AI服务及其他工具
> Lumen称，其对PoeLLM的调查发现，自4月以来有3,400多台服务器受到影响。证据指向AI及其他工具中暴露且存在漏洞的服务，并为运营者提供了具体检查事项。
By BIG CHANGE Editorial
Published: 2026-10-11T08:55:09.294Z
Updated: 2026-10-11T08:55:09.294Z
Canonical: https://bigchange.ai/blog/poellm-malware-exposed-ai-services
A generic gateway and service host illustrate a network boundary operators can inspect. This is not a PoeLLM victim, observed deployment, field test or verified security outcome. AI-generated conceptual illustration by BIG CHANGE.
Lumen Black Lotus Labs称，其所说的PoeLLM恶意软件自2026年4月以来影响了3,400多台服务器，将遭入侵的机器变成加密货币矿机，有些还被用作扫描器以寻找更多目标。研究人员将这场活动命名为Canto Incognito。它侵入了面向互联网的AI服务，也涉及PDF转换器和开发平台。对运营者而言，这种组合带来的教训是：暴露的服务及其配置，比AI标签更重要。
Lumen于10月7日发布了其[PoeLLM调查](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)；根据同期的[The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html)和[The Register](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672)报道，研究人员将该活动GitHub仓库的首个提交日期定为4月13日，并称更广泛的扫描与利用随后在5月出现。总数是Lumen调查发现的服务器数量，并非对所有相关产品部署的全面普查。该公司称，大多数被观察到的受害者似乎运行着易受攻击且公开暴露的服务，受害者集中在美国和西欧。
## 被当作地址簿的诗
PoeLLM会读取GitHub仓库中一首诗的特定词语，并利用恶意软件内置的词典推导当前的命令与控制地址。修改这些词语，就能让操作者将受感染系统指向新服务器，而无需逐台更改恶意软件。Lumen统计，初次提交后这首诗被修改了11次。诗的作用是定位操作者的基础设施；它并没有诱使AI模型遵从指令。Lumen根据意大利语痕迹和网络流量判断该行为者会说意大利语。这只是归因判断，并非已确认的个人身份或地点。
研究人员称，恶意软件中包含XMRig和Iron挖矿程序，并与Kryptex挖矿基础设施建立连接。他们还观察到受感染主机扫描并攻击其他暴露系统。Lumen称，其网络遥测将1,000多个额外IP地址关联到一台早期命令服务器。6月中旬的高峰期，该公司描述了近2,200台受影响服务器，以及一天内近800台处于活动状态。10月标题中的3,400多台是累计数字；这些数据在不同时间衡量不同事项。Lumen后来阻断了与其识别出的命令服务器之间的流量。The Hacker News随后报道诗歌仓库已无法访问，但仅凭这一观察，不能证明每台受感染主机都已清理，也不能证明行为者已停止活动。
## AI标题背后的暴露问题
Lumen将LiteLLM和Ollama列为在受害者IP上观察到的AI相关服务，同时还提到Gotenberg和Gitea。报告也描述了调查期间一台Ivanti Sentry设备遭入侵的情况，但将该产品受到更广泛攻击视为一种可能性。报告未提供按产品划分的受害者数量、完整版本清单，也没有证明每个暴露的Ollama或LiteLLM实例都存在漏洞。IP地址上的服务横幅可以帮助识别系统，但本身不能证明每台主机的确切入侵途径。
LiteLLM的一条攻击路径有更明确的版本信息。Lumen发现一个恶意软件样本引用了与[CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)相关的测试端点。已发布的公告列出LiteLLM 1.74.2至1.83.7之前的版本为受影响版本，1.83.7则已修复。公告称，测试端点需要有效的代理API密钥，但缺少必要的角色检查。这一条件很重要：公告描述的是经过身份验证的命令执行，而Lumen描述的是样本中可能使用了某个端点。两份文件都没有证明该漏洞可以解释所有PoeLLM感染。
Gotenberg体现了另一种具体的暴露问题。其[安装指南](https://gotenberg.dev/docs/getting-started/installation)建议将PDF转换服务放在防火墙后。指南还警告，已发布的Docker端口可能从外部访问，并演示了将服务绑定到localhost的方法。其[配置参考](https://gotenberg.dev/docs/configuration)记录了可选的基本身份验证和OIDC；在列出的设置中，两者默认均处于禁用状态。运营者在依赖任何设置前，应核实实际运行的版本和部署方式。
### The big change
PoeLLM报告的规模，使AI团队必须立即盘点辅助工具是否暴露于互联网。操作者寻找可访问且存在漏洞的服务，并重复利用受感染主机寻找更多目标，因此这场活动跨越了多个产品类别。诗歌让更换命令服务器变得容易，但文件所描述的运营者应对方式很常规：找到暴露服务，确认其版本与访问控制，并检查是否有遭入侵迹象。Lumen的遥测支持了对这场活动的描述；它并未证明发生了已确认的数据窃取，也未证明报告点名的所有产品部署都遭到入侵。
## 给运营者的有限检查
1. 盘点可从互联网访问的LiteLLM、Ollama、Gotenberg和Gitea实例，包括临时部署。检查实际监听地址、防火墙和网关规则，以及是否确实需要从公共互联网访问。
2. 对LiteLLM，将已安装版本和启用的端点与[CVE-2026-42271公告](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)进行对照。更新受影响的安装，并核查谁持有有效的代理密钥；公告还说明，如果无法立即更新，可在网关阻断受影响的测试端点。
3. 按照[安装指南](https://gotenberg.dev/docs/getting-started/installation)的建议，将Gotenberg留在可信网络内。对于需要受控访问的部署，查看配置文档中的相关身份验证选项。
4. 将网络和主机日志与[Lumen公布的指标](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)进行对照，调查意外挖矿活动、外发命令流量或扫描行为。指标匹配需要进行事件审查；没有匹配并不能证明主机未受感染。
### 来源与延伸阅读
- [Lumen Black Lotus Labs：Canto Incognito](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)是主要的恶意软件分析、遥测来源和指标清单。上文的数量、观察到的行为及对行为者的判断均归于Lumen研究人员。
- [The Hacker News的报道及更新](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html)确认了10月7日的发布，并根据Lumen工程师的评论报道仓库后来无法访问。仓库被移除只是一个时间点的观察。
- [The Register于10月7日的报道](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672)提供了同期发布时间和对研究人员的采访。其将诗称为“对抗性诗歌”，不应被解读为这次攻击发生了LLM越狱的证据。
- [LiteLLM的CVE-2026-42271公告](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)列出了受影响与已修复的版本、身份验证条件及供应商提供的替代措施。[Gotenberg的安装](https://gotenberg.dev/docs/getting-started/installation)和[配置](https://gotenberg.dev/docs/configuration)页面介绍了暴露警告和访问设置。
## Sources
- [Lumen Black Lotus Labs：Canto Incognito：追踪PoeLLM恶意软件](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — 主要活动研究、遥测和指标；数量、行为者判断及检测结果均归于Lumen。
- [The Hacker News：PoeLLM恶意软件感染了3,400多台服务器](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) — 同期报道及有关GitHub仓库可用性的后续更新；数量依据Lumen。
- [The Register：诗歌成为AI安全的新威胁](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) — 同期时间线和Lumen采访；不将“对抗性诗歌”的表述当作提示注入结论。
- [LiteLLM公告 GHSA-v4p8-mg3p-g94g / CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) — 受影响范围、身份验证条件和缓解措施。
- [Gotenberg安装](https://gotenberg.dev/docs/getting-started/installation) — 官方关于避免公开暴露的警告及绑定到localhost的指南。
- [Gotenberg配置](https://gotenberg.dev/docs/configuration) — 官方身份验证选项的默认值；不对观察到的受害者配置作出断言。