Предприятия, развертывающие большие языковые модели (LLM) в продакшене, могут неосознанно оплачивать чужой ИИ-бизнес. Google Threat Intelligence Group (GTIG) предупреждает о финансово мотивированных кампаниях LLMjacking, в ходе которых киберпреступники захватывают корпоративный доступ к облаку и моделям, а затем перепродают его через подпольные подписные сервисы.
Такая активность может генерировать фиктивные облачные счета на сумму, превышающую 100 000 долларов в день, сообщила GTIG в блоге. В некоторых инцидентах совокупные расходы достигали 1 миллиона долларов, прежде чем организации отзывали скомпрометированный доступ.
«LLM-миксеры превращают украденный корпоративный доступ к моделям в услугу для платящих клиентов, в то время как системы жертвы продолжают принимать запросы через знакомые им учетные данные», — сказал Пиюш Шарма, сооснователь и генеральный директор Tuskira. «Это возлагает большую ответственность на полномочия, привязанные к каждому учетному данным. Ключ, выданный для одного приложения, не должен становиться универсальным пропуском к другим моделям и рабочим нагрузкам».
Анализ GTIG основан на множестве инцидентов 2026 года, охватывающих различных облачных провайдеров и провайдеров LLM в Северной Америке, Южной Америке и Азиатско-Тихоокеанском регионе.
Украденный доступ к моделям становится подпольным бизнесом
GTIG сообщила, что инфраструктура монетизации сосредоточена на LLM-миксерах — криминальных шлюзах маршрутизации, которые агрегируют скомпрометированные API-учетные данные и перепродают доступ к моделям подпольным подписчикам. Эти сервисы проксируют запросы через украденные аккаунты, распределяя потребление и скрывая исходный источник доступа.
Было выявлено несколько операций, использующих шлюзы с открытым исходным кодом и собственную ретрансляционную инфраструктуру для объединения украденных учетных данных. Одна угроза, UNC6993, использовала инструменты, включая new-api и gcli2api, для агрегации украденных ключей и распределения запросов по аккаунтам.
Другая операция использовала украденные сторонние API-ключи для питания Jet Night — легитимного сервиса маршрутизации токенов, который выполнил более 500 000 вызовов LLM API менее чем за восемь часов, сообщила GTIG. Эта активность переложила на организацию-жертву расходы на токены почти на 1 миллион долларов. Jet Night рекламирует неограниченный доступ к передовым моделям примерно за 60 долларов в месяц, что значительно ниже обычной стоимости сопоставимого легитимного доступа.
У Jet Night также случались периодические сбои, которые, по подозрению GTIG, были вызваны обнаружением компрометации жертвами и отзывом ключей.
«Продажа украденного доступа к моделям дает преступникам стимул поддерживать этот доступ как можно дольше, что делает тихую активность до всплеска расходов особенно важной», — сказал Ник Таусек, ведущий архитектор автоматизации безопасности в Swimlane. «К тому времени, когда кто-то спросит, почему взлетел облачный счет, у атакующего уже могут быть платящие клиенты».
Атака начинается задолго до получения счета
Первоначальный доступ включает раскрытые или украденные облачные токены идентификации, включая учетные данные IAM, ключи сервисных аккаунтов, персональные токены доступа GitHub и активные токены сессий, отметила GTIG. Атакующие также собирают LLM API-ключи из публичных репозиториев и сканируют открытые конечные точки моделей.
Было замечено, что атакующие проверяют украденные ключи с помощью минимальных однотокенных запросов, иногда используя max-tokens=1. Такие микротранзакции могут подтвердить работоспособность учетных данных, оставаясь при этом ниже обычных порогов обнаружения, основанных на потреблении.
«Тестирование украденного ключа с помощью однотокенного запроса едва регистрируется как потребление», — сказал Таусек. «Но если объединить этот запрос с недавно созданным учетным данным или неожиданным изменением разрешений, появляется что-то, заслуживающее расследования». Аналитикам не придется вручную связывать эти данные, пока атакующий получает преимущество, добавил он.
После установления доступа атакующие перечисляют облачные сервисы, репозитории и хранилища данных для получения дополнительных учетных данных. Они могут повышать привилегии, создавать несанкционированные сервисные аккаунты, внедрять SSH-ключи или устанавливать постоянное присутствие через скомпрометированные рабочие нагрузки.
GTIG наблюдала, как последующая угроза использовала уязвимость перепривязки идентификатора пользователя в шлюзе LiteLLM для повышения обычных виртуальных ключей до административных учетных данных.
Шарма заявил, что организации должны ограничивать учетные данные их целевыми моделями, рабочими нагрузками и конечными точками. «Компрометация шлюза, описанная в этих инцидентах, заслуживает особого внимания», — сказал он, предупредив, что контроль над уровнем маршрутизации может открыть доступ за пределы исходного скомпрометированного учетного данных.
GTIG рекомендует ужесточить управление учетными данными, использовать привилегии с минимальными правами, внедрять гранулярные области действия API-ключей, мониторить подозрительные запросы с низким объемом и устанавливать лимиты расходов на потребление моделей. Она также призывает организации отслеживать несанкционированное включение ИИ-сервисов и уязвимости шлюзов.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Shweta Sharma
