Кража ключей к облачному ИИ: счета жертв достигают $1 млн из-за LLMjacking

Специалисты Google Threat Intelligence Group (GTIG) и Mandiant зафиксировали резкий рост атак с угоном инфраструктуры больших языковых моделей — так называемый LLMjacking. В результате организации получают гигантские счета за облачные ИИ-сервисы, которыми пользуются посторонние. Исследователи выделили две основные группы злоумышленников.

Первые сканируют интернет в поисках открытых конечных точек LLM, вторые крадут действующие API-ключи с незащищённых машин. После получения доступа он перепродаётся специализированным сервисам — LLM-миксерам. LLM-миксеры работают как прокси-прослойки: они принимают запросы от своих клиентов и направляют их на скомпрометированные учётные записи, используя украденные ключи.

Это позволяет предлагать доступ к дорогим моделям по бросовым ценам. Например, сервис Jet Night продаёт «безлимитные» планы всего за 60 долларов в месяц. По оценке Google, именно через Jet Night один из злоумышленников выполнил более полумиллиона API-вызовов меньше чем за восемь часов, переложив на плечи жертвы почти миллион долларов токеновых затрат.

Подобная активность вызывает внезапные всплески нагрузки, иногда превышающие тысячу запросов в секунду. Другой отслеживаемый кластер, UNC6993, агрегирует украденные ключи через шлюзовые инструменты и, предположительно, продаёт доступ через подпольные форумы. В одном из эпизодов злоумышленники не только использовали чужую облачную инфраструктуру, но и разворачивали на ней собственные прокси-узлы и агентные рабочие нагрузки под вымышленным именем D1337-KAIROS.

Для первоначального проникновения атакующие применяют скомпрометированные облачные учётные данные, сервисные ключи, токены GitHub, активные сессионные токены и найденные в открытом доступе ключи LLM API. Оказавшись внутри, они ищут новые учётные данные в логах, базах данных и секретных хранилищах, а также создают backdoor-аккаунты или внедряют SSH-ключи для закрепления. Заметную роль сыграла уязвимость CVE-2026-40217 в LiteLLM, которая позволяет выполнить произвольный код на сервере через конечную точку тестирования кастомных защитных механизмов.

Эксплуатация этой бреши давала атакующим полный контроль над средой. Случай с LLM-миксерами перекликается с недавним решением Anthropic запретить перепродажу доступа к Claude Anthropic запретила перепродажу доступа к Claude: новые правила вступят в силу 12 ноября, что указывает на общий тренд: злоумышленники стремятся монетизировать любую возможность несанкционированного использования коммерческих ИИ-моделей. Совокупный ущерб от таких атак в отдельных организациях уже достигает миллиона долларов, а суточные потери могут превышать 100 тысяч.

Google подчёркивает, что счета формируются легитимно с точки зрения облачного провайдера, поэтому жертва долгое время может не подозревать о компрометации. Для защиты эксперты рекомендуют в первую очередь навести порядок в управлении доступом (IAM) и обеспечить безопасность цепочки поставок. Ключи и секреты следует хранить только в централизованных платформах с возможностью ротации, а привилегии у пользователей должны быть минимально необходимыми — вплоть до полного запрета доступа к облачным LLM-сервисам для тех, кому они не требуются.

Дополнительными мерами служат фишинг-устойчивая многофакторная аутентификация, всесторонний мониторинг для выявления теневого ИИ, установка лимитов на использование API и расходование средств. Включение и регулярный анализ аудитных логов и логов инференса помогает вовремя заметить подозрительные проверки учётных данных, необычную активность или попытки отключить логирование.