# LLMjacking: чужі LLM-ключі коштували жертвам до $1 млн > Google і Mandiant описали LLMjacking: хакери захоплюють корпоративний доступ до LLM, а жертви отримують рахунки понад $100 000 за день і до $1 млн сумарно. - Опубліковано: 6 листопада 2026 р. (2026-11-06T05:11:17.888988+00:00) - Розділ: Безпека AI - На основі публікації: [Speka](https://speka.ua/news/novii-vid-atak-xakeri-nazivayutsya-na-cuzomu-xmarnomu-si-9w72y1) - Видання: AiiN (https://aiin.news) - URL: https://aiin.news/article?slug=llmjacking-%D1%87%D1%83%D0%B6%D1%96-llm-%D0%BA%D0%BB%D1%8E%D1%87%D1%96-%D0%BA%D0%BE%D1%88%D1%82%D1%83%D0%B2%D0%B0%D0%BB%D0%B8-%D0%B6%D0%B5%D1%80%D1%82%D0%B2%D0%B0%D0%BC-%D0%B4%D0%BE-1-%D0%BC%D0%BB%D0%BD --- Google Threat Intelligence Group і Mandiant описали LLMjacking: зловмисники захоплюють корпоративний доступ до LLM, а шахрайські витрати сягали понад $100 000 за день і до $1 млн сумарно. Mandiant описує кілька інцидентів 2026 року у фінансовому, рітейловому, технологічному й транспортному секторах Північної та Південної Америки та Азійсько-Тихоокеанського регіону ([за даними Google Cloud Blog](https://cloud.google.com/blog/topics/threat-intelligence/llmjacking-monetizing-compromised-cloud-models)). Атаку варто ловити на двох етапах: на перевірці ключів, яку важко помітити, і на спайку витрат, який наростає за години. ## Як зловмисники отримують доступ до LLM? Найчастіше зловмисники користуються викраденими або відкритими хмарними токенами ідентичності: IAM-обліковими даними, ключами Service Account, GitHub Personal Access Token і активними токенами сесій. Про це йдеться у звіті Google. Окремо вони шукають відкриті ендпоінти LLM і ключі LLM API. Одна група збирала корпоративні ключі з публічних репозиторіїв GitHub, а Speka наводить цей шлях як приклад ([за даними Speka](https://speka.ua/news/novii-vid-atak-xakeri-nazivayutsya-na-cuzomu-xmarnomu-si-9w72y1)). В іншому випадку скрипт перевіряв відкриті ендпоінти Ollama і через /api/create реєстрував на них власні моделі. Кластер UNC6993 застосував соціальну інженерію. Сторінка під виглядом порталу для групи LLM-користувачів просила вставити сирий JSON з активним токеном, і це оминало пароль та багатофакторну автентифікацію. ## Чому перевірка вкрадених ключів лишається непомітною? Одна з груп перевіряла вкрадені ключі запитами з max_tokens=1, і, за звітом Google, такі перевірки не потрапляли в алерти EDR та SIEM на аномалії обсягу. Після перепродажу доступу картина інша: запити іноді перевищують 1 000 на секунду, а провайдер рахує їх як легітимне споживання і виставляє жертві рахунок за токени ([за даними BleepingComputer](https://www.bleepingcomputer.com/news/security/google-llmjacking-attacks-rack-up-1-million-in-cloud-ai-charges/)). Google наводить приклад: сервіс Jet Night виконав понад 500 000 викликів менш ніж за вісім годин і передав жертві майже мільйон доларів витрат на токени. На цьому етапі спайк помітний, тож ліміти витрат і сповіщення про них дають шанс зупинити атаку раніше. ## Хто на цьому заробляє? Заробляють «LLM Mixers»: проксі-шлюзи, які агрегують і перепродають неавторизований доступ до LLM підписникам. Jet Night продавав «безлімітні плани» за $60 на місяць, ще одним прикладом названо newapi[.]pro. Speka зіставляє ці $60 із легальною підпискою за $100-250. Таке порівняння слабке: жертва платить не за підписку, а за токени, які спалили на її ключах. Спеціалізація вже розділена: одні кластери здобувають доступ, інші керують інфраструктурою збуту. Крім того, Google зафіксував експлуатацію CVE-2026-40217 у LiteLLM: вона дозволяє виконати довільний код на сервері через ендпоінт тестування custom-code guardrail. В окремих випадках зловмисники піднімали в хмарі жертви агентів і реверс-проксі на Node.js, які відкривали ендпоінти, сумісні з кількома frontier-моделями, під персоною D1337-KAIROS. Серед цілей Speka називає AWS Bedrock, Azure і Gemini. У доступному фрагменті звіту Google конкретних провайдерів немає, лише «різні хмарні та LLM-провайдери». ## Що робити зараз - Заборонити все, що не потрібно явно, включно з доступом до хмарних LLM-сервісів: так радить Google. - Увімкнути cloud audit та inference-логи й налаштувати сповіщення на несанкціоноване ввімкнення LLM-сервісу, підозрілі перевірки облікових даних і спроби вимкнути логування. Speka радить сприймати таке ввімкнення як критичний інцидент. - Виставити ліміти витрат із сповіщеннями в кожному хмарному акаунті, де є LLM: спайк на $100 000 за день настає за години. - Знайти публічно доступні ендпоінти Ollama та інсталяції LiteLLM. У джерелах немає даних про патч для CVE-2026-40217, тому джерело виправлення треба шукати у розробника. - Перевірити репозиторії на ключі LLM API і GitHub-токени, а знайдені замінити: саме з публічних репозиторіїв одна група збирала корпоративні ключі. --- Теги: AI, LLMjacking, кібербезпека, хмара, Mandiant, безпекаAI Джерело: AiiN — https://aiin.news/article?slug=llmjacking-%D1%87%D1%83%D0%B6%D1%96-llm-%D0%BA%D0%BB%D1%8E%D1%87%D1%96-%D0%BA%D0%BE%D1%88%D1%82%D1%83%D0%B2%D0%B0%D0%BB%D0%B8-%D0%B6%D0%B5%D1%80%D1%82%D0%B2%D0%B0%D0%BC-%D0%B4%D0%BE-1-%D0%BC%D0%BB%D0%BD. Цитуючи, посилайтесь на канонічний URL.