Google Threat Intelligence Group і Mandiant описали LLMjacking: зловмисники захоплюють корпоративний доступ до LLM, а шахрайські витрати сягали понад $100 000 за день і до $1 млн сумарно.
Mandiant описує кілька інцидентів 2026 року у фінансовому, рітейловому, технологічному й транспортному секторах Північної та Південної Америки та Азійсько-Тихоокеанського регіону (за даними Google Cloud Blog). Атаку варто ловити на двох етапах: на перевірці ключів, яку важко помітити, і на спайку витрат, який наростає за години.
Як зловмисники отримують доступ до LLM?
Найчастіше зловмисники користуються викраденими або відкритими хмарними токенами ідентичності: IAM-обліковими даними, ключами Service Account, GitHub Personal Access Token і активними токенами сесій. Про це йдеться у звіті Google.
Окремо вони шукають відкриті ендпоінти LLM і ключі LLM API. Одна група збирала корпоративні ключі з публічних репозиторіїв GitHub, а Speka наводить цей шлях як приклад (за даними Speka). В іншому випадку скрипт перевіряв відкриті ендпоінти Ollama і через /api/create реєстрував на них власні моделі.
Кластер UNC6993 застосував соціальну інженерію. Сторінка під виглядом порталу для групи LLM-користувачів просила вставити сирий JSON з активним токеном, і це оминало пароль та багатофакторну автентифікацію.
Чому перевірка вкрадених ключів лишається непомітною?
Одна з груп перевіряла вкрадені ключі запитами з max_tokens=1, і, за звітом Google, такі перевірки не потрапляли в алерти EDR та SIEM на аномалії обсягу.
Після перепродажу доступу картина інша: запити іноді перевищують 1 000 на секунду, а провайдер рахує їх як легітимне споживання і виставляє жертві рахунок за токени (за даними BleepingComputer). Google наводить приклад: сервіс Jet Night виконав понад 500 000 викликів менш ніж за вісім годин і передав жертві майже мільйон доларів витрат на токени. На цьому етапі спайк помітний, тож ліміти витрат і сповіщення про них дають шанс зупинити атаку раніше.
Хто на цьому заробляє?
Заробляють «LLM Mixers»: проксі-шлюзи, які агрегують і перепродають неавторизований доступ до LLM підписникам. Jet Night продавав «безлімітні плани» за $60 на місяць, ще одним прикладом названо newapi[.]pro.
Speka зіставляє ці $60 із легальною підпискою за $100-250. Таке порівняння слабке: жертва платить не за підписку, а за токени, які спалили на її ключах.
Спеціалізація вже розділена: одні кластери здобувають доступ, інші керують інфраструктурою збуту. Крім того, Google зафіксував експлуатацію CVE-2026-40217 у LiteLLM: вона дозволяє виконати довільний код на сервері через ендпоінт тестування custom-code guardrail. В окремих випадках зловмисники піднімали в хмарі жертви агентів і реверс-проксі на Node.js, які відкривали ендпоінти, сумісні з кількома frontier-моделями, під персоною D1337-KAIROS.
Серед цілей Speka називає AWS Bedrock, Azure і Gemini. У доступному фрагменті звіту Google конкретних провайдерів немає, лише «різні хмарні та LLM-провайдери».
Що робити зараз
- Заборонити все, що не потрібно явно, включно з доступом до хмарних LLM-сервісів: так радить Google.
- Увімкнути cloud audit та inference-логи й налаштувати сповіщення на несанкціоноване ввімкнення LLM-сервісу, підозрілі перевірки облікових даних і спроби вимкнути логування. Speka радить сприймати таке ввімкнення як критичний інцидент.
- Виставити ліміти витрат із сповіщеннями в кожному хмарному акаунті, де є LLM: спайк на $100 000 за день настає за години.
- Знайти публічно доступні ендпоінти Ollama та інсталяції LiteLLM. У джерелах немає даних про патч для CVE-2026-40217, тому джерело виправлення треба шукати у розробника.
- Перевірити репозиторії на ключі LLM API і GitHub-токени, а знайдені замінити: саме з публічних репозиторіїв одна група збирала корпоративні ключі.
