23,000 名活跃主机，130 个国家：黑客劫持开源 AI 模型 

据报道，约 175,000 个私有服务器暴露在互联网上，给黑客提供了进行非法活动的机会。 

安全问题由安全研究人员 SentinelOne 和 Censys 报告，他们在 300 多天内追踪了 723 万次观察。 

黑客利用 Ollama 设置

最近 报告 SentinelOne 和 Censys 的一份报告发现，超过 175,000 个私有 AI 服务器意外暴露在互联网上。这些系统使用 Ollama，这是一种开源软件，让人们可以在自己的计算机上运行强大的 AI 模型，如 Meta 的 Llama 或 Google 的 Gemma，而不是使用 ChatGPT 等网站。 

默认情况下，Ollama 只与安装它的计算机通信。但是，用户可以更改设置以使其更容易远程访问，这可能会意外地将整个系统暴露在互联网上。

他们在近 300 天内追踪了 723 万次观察，发现虽然许多这些 AI “主机” 是临时的，但约 23,000 个几乎一直在线。这些 “始终在线” 的系统是黑客的完美目标，因为它们提供免费的强大硬件，且不受任何大型科技公司的监控。

在美国，约 18% 的这些暴露系统位于弗吉尼亚州，这可能是由于 数据中心 的高密度。中国有 30% 的主机位于北京。 

令人惊讶的是，所有暴露的 AI 系统中，56% 运行在家庭或住宅互联网连接上。这是一个主要问题，因为黑客可以使用这些家庭 IP 地址来隐藏他们的身份。 

当黑客通过某人的家庭 AI 发送恶意消息时，它看起来像是来自普通人而不是犯罪僵尸网络。

犯罪分子如何利用这些被劫持的 AI 系统？

根据 Pillar Security 的说法，一个名为 Operation Bizarre Bazaar 的新犯罪网络正在积极寻找这些暴露的 AI 端点。他们寻找运行在默认端口 11434 且不需要密码的系统。一旦找到，他们就窃取 “计算能力” 并将其出售给那些想要廉价运行 AI 任务的人，例如生成数千封钓鱼邮件或创建深度伪造内容。

在 2025 年 10 月至 2026 年 1 月之间，安全公司 GreyNoise 记录了超过 91,403 次针对这些 AI 设置的攻击会话。他们发现了两种主要类型的攻击。 

• 第一种使用称为服务器端请求伪造 (SSRF) 的技术，迫使 AI 连接到黑客自己的服务器。 
• 第二种是大规模的 “扫描” 活动，黑客发送数千个简单问题以确切了解正在运行哪个 AI 模型以及它具备什么能力。

约 48% 的这些系统配置为 “工具调用”。这意味着 AI 被允许与其他软件交互、搜索网络或读取计算机上的文件。 

如果黑客找到这样的系统，他们可以使用 “提示注入” 来欺骗 AI。他们可能不会要求写一首诗，而是告诉 AI “列出代码库中的所有 API 密钥” 或 “总结秘密项目文件”。由于没有人监视，AI 通常会服从这些命令。

Checkpoint 2026 网络安全报告显示，2023 年至 2025 年间，网络攻击总数增加了 70%。2025 年 11 月，Anthropic 报告了首例有记录的 AI 协调网络间谍活动案例，其中国家支持的组织使用 AI 代理在没有人类帮助的情况下完成了 80% 的黑客攻击。

本月刚刚发现了几个新漏洞，如 CVE-2025-1975 和 CVE-2025-66959。它们是允许黑客通过发送特别制作的模型文件来崩溃 Ollama 服务器的缺陷。 

由于 72% 的这些主机使用相同的特定文件格式 Q4_K_M，一次成功的攻击可能同时导致数千个系统瘫痪。