Kompanija Lumen objavila je da je više od 3.400 servera zaraženo kripto-rudarskim malverom PoeLLM u kampanji nazvanoj Canto Incognito, koju prati od aprila 2026. Malver je koristio četiri reči iz dvostrofne pesme na GitHubu za kodiranje adresa, a pesma je izmenjena 11 puta kako bi zaraženi serveri bili preusmereni na nove C2 servere. Većina žrtava su ranjive verzije open-source AI servisa poput LiteLLM i Ollama.
Napad je finansijski motivisan, jer su zaraženi serveri rudarili kriptovalute preko XMRig i Iron majnera povezanih sa Kryptex infrastrukturom. Lumen je blokirao sav saobraćaj ka C2 serverima, ali tri od 12 servera su i dalje aktivna. Stručnjaci savetuju proveru logova, zatvaranje nepotrebnih portova i ažuriranje LiteLLM-a na verziju 1.83.7 ili noviju.