Lumen Black Lotus Labs 表示，它稱為 PoeLLM 的惡意軟體自 2026 年 4 月以來已影響超過 3,400 台伺服器，將遭入侵的機器變成加密貨幣挖礦設備，有些還被用來掃描更多目標。研究人員將這場行動命名為 Canto Incognito；它觸及對外開放的 AI 服務，也包括 PDF 轉換器和開發平台。對營運者而言，這種組合帶來的教訓是：服務是否暴露及其設定，比它是否貼上 AI 標籤更重要。
Lumen 於 10 月 7 日發布了PoeLLM 調查，根據當時The Hacker News和The Register的報導。研究人員將該行動 GitHub 儲存庫的第一筆提交日期定為 4 月 13 日，並表示更廣泛的掃描與利用在 5 月接踵而至。其總數是 Lumen 調查辨識出的伺服器數量，並非所有相關產品部署的普查。該公司表示，多數觀察到的受害者似乎執行了有漏洞且對外公開的服務，受害者集中在美國與西歐。
詩歌充當地址簿
PoeLLM 會讀取 GitHub 儲存庫中一首詩的特定詞語，再利用惡意軟體內嵌的字典推導目前的命令與控制位址。修改這些詞語，就能讓操作者將受感染系統指向新伺服器，而不必逐台更動惡意軟體。Lumen 統計，自首次提交後詩中的詞語被更改了 11 次。這首詩的用途是定位操作者的基礎設施；它並未誘使 AI 模型遵從指令。Lumen 根據義大利語的痕跡和網路流量，判斷該行動者會說義大利語。這仍是歸因判斷，不代表已確認某個人的身分或所在地。
研究人員在惡意軟體中發現 XMRig 和 Iron 挖礦程式，以及連往 Kryptex 挖礦基礎設施的連線。他們也觀察到受感染主機掃描其他暴露系統，並對其發動攻擊。Lumen 表示，其網路遙測將超過 1,000 個額外 IP 位址連結至早期命令伺服器。6 月中旬高峰時，該公司描述近 2,200 台受影響伺服器，且一天內近 800 台仍在活動。10 月所報的「超過 3,400 台」是累計數字；這些數據在不同時間衡量不同事項。Lumen 後來封鎖了與其辨識出的命令伺服器之間的流量。The Hacker News 隨後報導該詩歌儲存庫已無法使用，但僅憑這項觀察，無法證明每台受感染主機都已清理，或行動者已停止活動。
AI 新聞標題背後的暴露問題
Lumen 將 LiteLLM 和 Ollama 列為受害 IP 上觀察到的 AI 相關服務，另有 Gotenberg 和 Gitea。報告也提到調查期間有一台 Ivanti Sentry 裝置遭入侵，但將該產品遭更廣泛攻擊視為可能情況。報告沒有提供按產品劃分的受害者數量、完整版本清單，也沒有證明每個暴露的 Ollama 或 LiteLLM 執行個體都有漏洞。IP 位址上的服務橫幅可協助辨識系統，但本身無法證明每台主機的確切入侵途徑。
其中一條 LiteLLM 路徑有較明確的版本細節。Lumen 發現一個惡意軟體樣本參照了與CVE-2026-42271相關的測試端點。已發布的公告列出受影響版本為 LiteLLM 1.74.2 至 1.83.7 之前版本，並指出 1.83.7 已修補。公告表示，測試端點要求有效的代理 API 金鑰，但缺少必要的角色檢查。這項條件很重要：公告描述的是已驗證身分後的命令執行，而 Lumen 描述的是樣本中疑似使用某一端點。兩份文件都未證明此漏洞能解釋每一宗 PoeLLM 感染。
Gotenberg 呈現另一種具體的暴露問題。其安裝指南告訴使用者應將 PDF 轉換服務置於防火牆後方。指南也警告，已發布的 Docker 連接埠可能從外部連線，並示範將服務綁定至 localhost。其設定參考記載了可選的基本驗證與 OIDC；在列出的設定中，兩者預設皆為停用。營運者在依賴任何設定之前，應先確認自己實際執行的版本與部署方式。
The big change
PoeLLM 報導的規模，讓 AI 團隊必須立即盤點支援工具是否暴露於網際網路。這場行動跨越多種產品類別，因為操作者尋找可連線且有漏洞的服務，並重用遭感染主機搜尋更多目標。詩歌讓更換命令伺服器變得容易，但文件所描述的營運者應對方式仍屬常規：找出暴露服務、確認其版本與存取控制，並檢查是否有遭入侵跡象。Lumen 的遙測支持其對這場行動的描述；但無法證明所有被點名產品的部署都發生資料竊取或遭到入侵。
給營運者的有限範圍檢查
- 盤點對網際網路開放的 LiteLLM、Ollama、Gotenberg 和 Gitea 執行個體，包括臨時部署。檢查實際監聽位址、防火牆與閘道規則，以及是否真的需要從公網存取。
- 對 LiteLLM，將已安裝版本與啟用的端點和CVE-2026-42271 公告比對。更新受影響的安裝，並檢查哪些人持有有效代理金鑰；公告也記載，若無法立即更新，可在閘道封鎖受影響的測試端點。
- 依照 Gotenberg 的安裝指引，將其留在受信任的網路內。對需要控管存取的部署，檢視設定文件中的相關驗證選項。
- 將網路與主機記錄和Lumen 公布的指標比對，調查異常挖礦活動、對外命令流量或掃描行為。命中指標需要進行事件審查；沒有命中並不能排除主機已受感染。
來源與延伸閱讀
- Lumen Black Lotus Labs：Canto Incognito是主要的惡意軟體分析、遙測資料與指標清單。本文中的數量、觀察到的行為及行動者判斷均歸因於其研究人員。
- The Hacker News 報導與更新確認了 10 月 7 日的發布，並引用 Lumen 工程師說明儲存庫之後遭移除的情況。儲存庫移除只是某一時間點的觀察。
- The Register 於 10 月 7 日的報導提供當時的發布時間和對研究人員的訪談。其把詩描述為「對抗性詩歌」，不應被解讀為這次攻擊中發生了 LLM 越獄的證據。
- LiteLLM 的 CVE-2026-42271 公告列出受影響與已修補版本、驗證條件及廠商的因應措施。Gotenberg 安裝與設定頁面說明其暴露警告及存取設定。
