世界從未停止變化。RSS
BIG CHANGE.

Markdown 版本

AI-translated from English; not yet reviewed by a fluent editor.

# PoeLLM 惡意軟體入侵暴露於網路的 AI 服務及其他工具

> Lumen 表示，其 PoeLLM 調查自 4 月以來發現超過 3,400 台受影響伺服器。證據顯示，遭入侵的是暴露在網路上的脆弱服務，涵蓋 AI 與其他工具；營運者可依據具體項目進行檢查。

By BIG CHANGE Editorial

Published: 2026-10-11T08:55:09.294Z
Updated: 2026-10-11T08:55:09.294Z
Canonical: https://bigchange.ai/blog/poellm-malware-exposed-ai-services

![Charcoal illustration of a network cable entering a gateway on a steel shelf, with a second cable leading to a generic rack-mounted computer.](https://bigchange.ai/api/media/file/poellm-network-boundary-hero-v1.png)
A generic gateway and service host illustrate a network boundary operators can inspect. This is not a PoeLLM victim, observed deployment, field test or verified security outcome. AI-generated conceptual illustration by BIG CHANGE.

Lumen Black Lotus Labs 表示，它稱為 PoeLLM 的惡意軟體自 2026 年 4 月以來已影響超過 3,400 台伺服器，將遭入侵的機器變成加密貨幣挖礦設備，有些還被用來掃描更多目標。研究人員將這場行動命名為 Canto Incognito；它觸及對外開放的 AI 服務，也包括 PDF 轉換器和開發平台。對營運者而言，這種組合帶來的教訓是：服務是否暴露及其設定，比它是否貼上 AI 標籤更重要。

Lumen 於 10 月 7 日發布了[PoeLLM 調查](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)，根據當時[The Hacker News](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html)和[The Register](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672)的報導。研究人員將該行動 GitHub 儲存庫的第一筆提交日期定為 4 月 13 日，並表示更廣泛的掃描與利用在 5 月接踵而至。其總數是 Lumen 調查辨識出的伺服器數量，並非所有相關產品部署的普查。該公司表示，多數觀察到的受害者似乎執行了有漏洞且對外公開的服務，受害者集中在美國與西歐。

## 詩歌充當地址簿

PoeLLM 會讀取 GitHub 儲存庫中一首詩的特定詞語，再利用惡意軟體內嵌的字典推導目前的命令與控制位址。修改這些詞語，就能讓操作者將受感染系統指向新伺服器，而不必逐台更動惡意軟體。Lumen 統計，自首次提交後詩中的詞語被更改了 11 次。這首詩的用途是定位操作者的基礎設施；它並未誘使 AI 模型遵從指令。Lumen 根據義大利語的痕跡和網路流量，判斷該行動者會說義大利語。這仍是歸因判斷，不代表已確認某個人的身分或所在地。

研究人員在惡意軟體中發現 XMRig 和 Iron 挖礦程式，以及連往 Kryptex 挖礦基礎設施的連線。他們也觀察到受感染主機掃描其他暴露系統，並對其發動攻擊。Lumen 表示，其網路遙測將超過 1,000 個額外 IP 位址連結至早期命令伺服器。6 月中旬高峰時，該公司描述近 2,200 台受影響伺服器，且一天內近 800 台仍在活動。10 月所報的「超過 3,400 台」是累計數字；這些數據在不同時間衡量不同事項。Lumen 後來封鎖了與其辨識出的命令伺服器之間的流量。The Hacker News 隨後報導該詩歌儲存庫已無法使用，但僅憑這項觀察，無法證明每台受感染主機都已清理，或行動者已停止活動。

## AI 新聞標題背後的暴露問題

Lumen 將 LiteLLM 和 Ollama 列為受害 IP 上觀察到的 AI 相關服務，另有 Gotenberg 和 Gitea。報告也提到調查期間有一台 Ivanti Sentry 裝置遭入侵，但將該產品遭更廣泛攻擊視為可能情況。報告沒有提供按產品劃分的受害者數量、完整版本清單，也沒有證明每個暴露的 Ollama 或 LiteLLM 執行個體都有漏洞。IP 位址上的服務橫幅可協助辨識系統，但本身無法證明每台主機的確切入侵途徑。

其中一條 LiteLLM 路徑有較明確的版本細節。Lumen 發現一個惡意軟體樣本參照了與[CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)相關的測試端點。已發布的公告列出受影響版本為 LiteLLM 1.74.2 至 1.83.7 之前版本，並指出 1.83.7 已修補。公告表示，測試端點要求有效的代理 API 金鑰，但缺少必要的角色檢查。這項條件很重要：公告描述的是已驗證身分後的命令執行，而 Lumen 描述的是樣本中疑似使用某一端點。兩份文件都未證明此漏洞能解釋每一宗 PoeLLM 感染。

Gotenberg 呈現另一種具體的暴露問題。其[安裝指南](https://gotenberg.dev/docs/getting-started/installation)告訴使用者應將 PDF 轉換服務置於防火牆後方。指南也警告，已發布的 Docker 連接埠可能從外部連線，並示範將服務綁定至 localhost。其[設定參考](https://gotenberg.dev/docs/configuration)記載了可選的基本驗證與 OIDC；在列出的設定中，兩者預設皆為停用。營運者在依賴任何設定之前，應先確認自己實際執行的版本與部署方式。

### The big change

PoeLLM 報導的規模，讓 AI 團隊必須立即盤點支援工具是否暴露於網際網路。這場行動跨越多種產品類別，因為操作者尋找可連線且有漏洞的服務，並重用遭感染主機搜尋更多目標。詩歌讓更換命令伺服器變得容易，但文件所描述的營運者應對方式仍屬常規：找出暴露服務、確認其版本與存取控制，並檢查是否有遭入侵跡象。Lumen 的遙測支持其對這場行動的描述；但無法證明所有被點名產品的部署都發生資料竊取或遭到入侵。

## 給營運者的有限範圍檢查

1. 盤點對網際網路開放的 LiteLLM、Ollama、Gotenberg 和 Gitea 執行個體，包括臨時部署。檢查實際監聽位址、防火牆與閘道規則，以及是否真的需要從公網存取。
2. 對 LiteLLM，將已安裝版本與啟用的端點和[CVE-2026-42271 公告](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)比對。更新受影響的安裝，並檢查哪些人持有有效代理金鑰；公告也記載，若無法立即更新，可在閘道封鎖受影響的測試端點。
3. 依照 Gotenberg 的[安裝指引](https://gotenberg.dev/docs/getting-started/installation)，將其留在受信任的網路內。對需要控管存取的部署，檢視設定文件中的相關驗證選項。
4. 將網路與主機記錄和[Lumen 公布的指標](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)比對，調查異常挖礦活動、對外命令流量或掃描行為。命中指標需要進行事件審查；沒有命中並不能排除主機已受感染。

### 來源與延伸閱讀

- [Lumen Black Lotus Labs：Canto Incognito](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware)是主要的惡意軟體分析、遙測資料與指標清單。本文中的數量、觀察到的行為及行動者判斷均歸因於其研究人員。
- [The Hacker News 報導與更新](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html)確認了 10 月 7 日的發布，並引用 Lumen 工程師說明儲存庫之後遭移除的情況。儲存庫移除只是某一時間點的觀察。
- [The Register 於 10 月 7 日的報導](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672)提供當時的發布時間和對研究人員的訪談。其把詩描述為「對抗性詩歌」，不應被解讀為這次攻擊中發生了 LLM 越獄的證據。
- [LiteLLM 的 CVE-2026-42271 公告](https://github.com/advisories/GHSA-v4p8-mg3p-g94g)列出受影響與已修補版本、驗證條件及廠商的因應措施。[Gotenberg 安裝](https://gotenberg.dev/docs/getting-started/installation)與[設定](https://gotenberg.dev/docs/configuration)頁面說明其暴露警告及存取設定。

## Sources

- [Lumen Black Lotus Labs：Canto Incognito：追蹤 PoeLLM 惡意軟體](https://www.lumen.com/blog/en-us/canto-incognito-tracking-the-poellm-malware) — 主要行動研究與遙測資料；數量、行動者判斷及偵測結果均歸因於 Lumen。
- [The Hacker News：PoeLLM 惡意軟體感染 3,400 多台伺服器](https://thehackernews.com/2026/10/poellm-malware-infects-3400-servers-to.html) — 當時的報導及 GitHub 儲存庫可用性的後續更新；數量依據 Lumen。
- [The Register：詩歌成為新的 AI 安全威脅](https://www.theregister.com/security/2026/10/07/poetry-is-the-new-ai-security-threat-as-poellm-malware-infects-3k-servers/5301672) — 當時的發布時間與 Lumen 訪談；本文不採用其將詩描述為對抗性詩歌的說法作為提示注入的判定。
- [LiteLLM 公告 GHSA-v4p8-mg3p-g94g / CVE-2026-42271](https://github.com/advisories/GHSA-v4p8-mg3p-g94g) — 受影響範圍、已驗證身分條件及緩解措施。
- [Gotenberg 安裝](https://gotenberg.dev/docs/getting-started/installation) — 官方警告不要對外公開，並建議綁定 localhost。
- [Gotenberg 設定](https://gotenberg.dev/docs/configuration) — 官方驗證選項預設值；不對實際受害者設定作任何推論。