LLMJacking: кража токенов ИИ обходится компаниям в $100 000 в день

Компании теряют до $100 000 в день из-за кражи токенов ИИ

Злоумышленники получают доступ к корпоративным большим языковым моделям (LLM) и используют их для кражи вычислительных ресурсов и ИИ-сервисов. Мошеннические расходы на потребление ресурсов могут превышать $100 000 в день. В некоторых организациях совокупные затраты достигли $1 миллиона до того, как компании отозвали доступ у злоумышленников. Джон Халтквист, главный аналитик Google Threat Intelligence Group, заявил, что злоумышленники стремятся использовать эту технологию для получения преимущества в масштабе над защитниками. Они достигают этого с помощью инструментов-агентов и кражи токенов у ничего не подозревающих третьих сторон. Блокировка этих ресурсов не только защитит организации от неконтролируемых расходов, но и убережет сообщество от потока дешевых автономных атак.

Атака LLMJacking использует украденные API-ключи и подписки

Тактика перехвата доступа к LLM называется LLMJacking и демонстрирует стабильный рост в течение последних двух лет. В одном из крайних случаев злоумышленник отправил около 200 000 API-запросов всего за две минуты. Группа UNC6993 получила незаконный доступ к API-ключам LLM, затем сгенерировала дополнительные ключи и активировала сервисы в облачных проектах жертвы, что привело к начислению $100 000. Другой злоумышленник подписывал аккаунты жертв на соглашения Pay-As-You-Go для доступа к продвинутым моделям за счет компании. Преступник выбирал премиальные базовые модели, запускал потоки инференса с высоким объемом и использовал стратегию «сжигания и ротации» для обхода ограничений по частоте. Он создавал и удалял краткосрочные учетные записи служб, одновременно отслеживая интерфейс биллинга для контроля финансовых последствий. В другом инциденте злоумышленник выполнил более 500 000 вызовов LLM API менее чем за восемь часов, используя украденные сторонние API-ключи для питания сервиса маршрутизации токенов Jet Night. Сервис Jet Night предлагает безлимитный план токенов примерно за $60 в месяц с предполагаемым доступом к передовым моделям. Этот уровень обслуживания обычно стоит от $100 до $250 в месяц. Jet Night также сообщал о нескольких сбоях в своем публичном Telegram-канале, что, вероятно, связано с отзывом украденных ключей по мере обнаружения компромиссов жертвами.

Атака касается компаний, использующих облачные и ИИ-сервисы

По мере роста экосистемы LLMJacking Google зафиксировал разделение ролей между злоумышленниками. Одни получают первоначальный доступ к скомпрометированным облачным и ИИ-сервисам, другие управляют инфраструктурой последующей монетизации, называемой «LLM Mixers». В одном из случаев, расследованных Mandiant в середине 2026 года, UNC6993 скомпрометировали облачный инстанс через неправильно настроенный ключ Service Account. Затем они использовали этот доступ для предоставления дальнейшего доступа к API модели. Преступники также создали страницу перехвата сессий, выдававшую себя за портал для присоединения к группе пользователей LLM. Эта страница обманом заставляла пользователей переходить на легитимный веб-сайт LLM-сервиса и вставлять свой JSON-payload, содержащий активный токен доступа. Затем этот payload отправлялся на бэкэнд API для обхода пароля и многофакторной аутентификации (MFA).

Приоритет — управление доступом и безопасность цепочки поставок

Google прогнозирует, что злоумышленники будут все чаще отдавать приоритет LLMJacking по сравнению с другими видами кражи ресурсов, такими как криптоджекинг. Для предотвращения злоупотреблений облачными LLM-сервисами рекомендуется уделять первоочередное внимание управлению идентификацией и доступом (IAM), а также безопасности цепочки поставок. Следует использовать централизованную платформу управления секретами для ротации ключей и секретов. Необходимо применять принцип наименьших привилегий для пользователей и учетных записей служб, гарантируя, что они имеют только необходимые разрешения для выполнения своих ролей и задач. Также следует автоматизировать сканирование секретов в кодовых базах для выявления и удаления API-ключей и секретов, добавленных в исходный код.