› Black Lotus Labs, onderdeel van Lumen, beschreef een campagne die het sinds april 2026 volgt onder de naam Canto Incognito.
› De malware PoeLLM trof meer dan 3.400 servers.
› Op de meeste daarvan draaiden kwetsbare versies van opensourcediensten voor taalmodellen, met name LiteLLM en Ollama.
› De malware was niet bedoeld om gegevens te stelen of slachtoffers af te persen, maar om cryptovaluta te minen op andermans apparatuur.Het opvallendste onderdeel van de operatie was de manier waarop besmette machines ontdekten waar ze de commandoserver moesten zoeken.