تیم Black Lotus Labs از Lumen گزارش داده است که بدافزار استخراج رمزارز PoeLLM بیش از ۳۴۰۰ سرور را در کمپین Canto Incognito آلوده کرده است. این بدافزار از مکانیسم فرمان و کنترل (C2) منحصر به فردی استفاده می‌کند: آدرس سرورهای C2 جدید از طریق چهار کلمه در یک شعر دو بیتی در گیت‌هاب رمزگذاری می‌شود که تاکنون ۱۱ بار تغییر یافته است. بیشتر قربانیان، سرویس‌های هوش مصنوعی/LLM متن‌باز آسیب‌پذیر مانند LiteLLM و Ollama بوده‌اند.

بار مفید این بدافزار شامل ماینرهای XMRig و Iron است و انگیزه مالی دارد. زیرساخت‌های هوش مصنوعی به دلیل داده‌های ارزشمند و دسترسی به سخت‌افزار (به ویژه GPUها) هدف جذابی شده‌اند. Lumen ترافیک C2 PoeLLM را مسدود کرده و توصیه می‌کند کاربران برای بررسی سیستم‌ها، گزارش‌های اتصال را بررسی، پورت‌های غیرضروری را بسته و دستگاه‌های شبکه را وصله کنند. حملات مشابه با رشد زیرساخت‌های هوش مصنوعی محتمل‌تر خواهند شد.