Lumen 旗下 Black Lotus Labs 于 2026 年 10 月 7 日披露一个名为 Canto Incognito 的攻击行动：恶意软件 PoeLLM 自 2026 年 4 月起持续入侵暴露在互联网上的 AI 与 LLM 推理基础设施，已攻陷超过 3400 台服务器，在受害主机上安装加密货币挖矿程序并把它们纳入僵尸网络。PoeLLM 最特别之处在于，它把命令与控制（C2）服务器地址编码进一首诗里，使得一串看似无害的文本成为恶意流量的指向标，从而绕开依赖固定特征与关键字的网络日志检测。
事件概述
这轮攻击并不依赖某个具体的软件漏洞，而是直接瞄准配置失当的 AI 服务：大量团队在短期内按教程快速搭起 LLM 推理栈，教程强调「先跑通」，网络边界与访问控制往往被忽略，导致推理服务的接口直接暴露在公网。攻击者扫描到这些未加认证的接口后即可投递载荷。也正因为如此，受害系统在入侵前后都不会出现补丁状态变化，单靠漏洞管理很难发现这类失陷。Black Lotus Labs 将 PoeLLM 归因于一名意大利语背景的攻击者，判断其动机是财务牟利而非情报窃取。
技术细节
PoeLLM 的核心隐蔽手法是「诗歌 C2」：攻击者把 C2 地址的分片嵌进具有诗歌结构或韵律的文本中，恶意程序在本地按既定规则解析还原，网络设备看到的则是一段无关痛痒的文字。这种编码方式让基于静态字符串匹配的检测规则失效，也增加了人工日志审计的难度。载荷落地后，PoeLLM 一方面启动挖矿进程消耗受害主机的 CPU 与 GPU 算力，另一方面把主机注册进僵尸网络，为后续发起其他攻击预留能力——如果攻击者能进入一台暴露的推理服务器投放矿机，同样能进入它执行更危险的操作。
影响评估
超额 3400 台的感染规模说明这批暴露面足够大且集中。除算力被窃取、电费与云账单异常升高这类直接损失外，LLM 推理服务器通常还能访问提示词、输出内容，有时甚至持有指向其他服务的 API 密钥，因此一台失陷的推理服务器往往是横向渗透的跳板。由于多数受害主机是按量付费的云实例，挖矿载荷会直接推高账单，费用异常往往成为受害者发现入侵的第一条线索。对于把 AI 能力接入内部工具链的组织来说，这层暴露面的实际影响比表面看到的更大。目前该行动仍在进行，尚未见到公开的完整 IOC 清单。
修复建议
- 审计所有 LMCache、vLLM、Ray 等推理与编排组件的网络暴露情况，一律不把推理服务直接暴露在公网。
- 对推理节点做网络分段，与生产系统隔离，并限制其出站访问到必要的目标。
- 监控异常出站流量与陌生域名解析，重点关注非工作时段的大流量外连与挖矿特征流量。
- 核查主机是否存在异常的 node、python 或挖矿进程常驻，并检查 CPU/GPU 利用率是否长期接近满载。