LLMjacking: крадци препродават AI достъпа на фирмите

преди 3 дни

време за четене: 4 мин.

Mandiant, екипът за реакция при инциденти на Google, описва случаи от 2026 г., при които нападатели отвличат достъпа на фирми до големи езикови модели. Фалшивите разходи в отделни случаи надхвърлят 100 хил. долара за един ден, а при някои организации стигат 1 милион долара, преди достъпът да бъде спрян. Фирмата плаща чуждите AI заявки, а нападателят продава достъпа ѝ на други.

В тъмен офис нощем принтер бълва безкрайна лента със сметка, която се навива на пода, жена финансов директор я вдига с ужас, а зад стъклената стена робот раздава светещи жетони на опашка от непознати в полумрака.

Какво е LLMjacking и какво описва Google

Изследователите на Sysdig описаха LLMjacking още през май 2024 г.: атака с откраднати облачни данни за достъп, насочена към десет услуги с езикови модели. И тогава нападателят продаваше достъпа, а собственикът на облачния акаунт плащаше сметката.

Новият доклад на Google Threat Intelligence Group и Mandiant описва няколко инцидента от 2026 г. при различни облачни доставчици и доставчици на модели. Засегнатите организации са във финансовите услуги, търговията, технологиите и транспорта, в Северна и Южна Америка и Азиатско-тихоокеанския регион.

Според Google разликата от тайното копаене на криптовалута е във времето. То изразходва ресурса постепенно, докато LLMjacking може да вдигне сметката рязко само за няколко часа. При AI услугите щетата се мери в часове, а не се трупа постепенно.

Как влизат: ключове, токени и забравени сървъри

В повечето разследвани случаи входът е откраднат или изложен облачен идентификатор: данни за достъп на потребители, ключове на служебни акаунти, лични токени за GitHub и активни сесии. Една група е събирала фирмени API ключове за модели направо от публични хранилища в GitHub.

Проверката дали откраднатият ключ работи е почти невидима. Нападателите пращат заявки, които искат отговор от един токен, и така, според Google, остават под прага на системите за откриване на аномалии. Тестът на един откраднат ключ иска отговор от един-единствен токен.

Има и по-изобретателни пътища. Групата, която Google следи като UNC6993, е поддържала фалшив портал за присъединяване към група от потребители на модел. Той подвежда хората да поставят в него технически данни с активен токен за достъп и така заобикаля паролата и двуфакторното удостоверяване. В друг случай нападател е използвал уязвимост в LiteLLM, шлюз за маршрутизиране на заявки към модели, и според Google така е успял да превърне обикновени ключове в администраторски.

Пазарът: „LLM миксери" и абонамент за 60 долара

Google наблюдава разделение на труда. Едни групи пробиват фирмите, а други управляват т.нар. „LLM миксери" - незаконни шлюзове, които събират откраднатите ключове, мерят потреблението и препродават достъпа на абонати от черния пазар.

Примерите в доклада показват мащаба. UNC6993 е опитала да създаде допълнителни ключове и да включи нови услуги в облачните проекти на жертвата и бързо е натрупала над 100 000 долара разходи. Друг нападател е изпратил над 500 000 API заявки за по-малко от осем часа, за да захранва услуга за препродажба на име Jet Night, и е прехвърлил на засегнатата организация разходи от близо един милион долара.

Jet Night предлага неограничен план за около 60 долара на месец, докато сходна потребителска услуга обикновено струва между 100 и 250 долара. Google смята, че такава цена е печеливша само с откраднати ключове. Евтиният абонамент на непознат посредник може да се плаща от сметката на чужда фирма.

CrowdStrike описва в доклада си от август 2026 г. кампания с близо 200 000 API заявки за две минути. Главният анализатор на Google Threat Intelligence Group Джон Хълтквист обяснява пред The Register, че нападателите търсят предимство в мащаба чрез агентни инструменти и откраднати токени.

Как фирмата да се защити от LLMjacking

В няколко от разследваните случаи AI услугите на облака изобщо не са били включени в момента на пробива - нападателите сами са ги включили с откраднатите ключове. Затова Google съветва всяко неразрешено включване на такава услуга да се третира като критично събитие за сигурността. Ако фирмата не ползва AI услугите на облака си, те трябва да са изрично забранени.

Препоръките в доклада са конкретни:

Ключовете се пазят в централизирана система за тайни и се сменят автоматично.
Всеки потребител и служебен акаунт има само правата, които му трябват.
Кодът се сканира автоматично за забравени ключове, включително в GitHub.
AI услугите имат квоти по модел и таван на разходите.
Ключовете се ограничават по модел и по среда, за да не може ключ за евтин модел да извиква най-скъпите.
Шлюзовете за модели като LiteLLM влизат в редовното обновяване.
Заявките с минимален отговор се следят като знак за проверка на откраднат ключ.

Google препоръчва и двуфакторно удостоверяване, устойчиво на фишинг, за да не могат откраднати данни или токени на сесии да се използват лесно. Случаят с фалшивия портал показва, че откраднат активен токен заобикаля и паролата, и двуфакторното удостоверяване.

Заключение

LLMjacking превръща всеки забравен ключ в отворена сметка. Добрата новина е, че повечето защити не са нови: таван на разходите, тесни права и сканиране на кода. Новото е колко бързо липсата им се вижда във фактурата.

Искате да започнете с AI от нулата? Безплатният курс „Основи на AI“ е 17 видео урока, около 35 минути, със сертификат: Започнете безплатния курс по AI

Помагаме на български фирми да въвеждат AI услуги в облака с ясни правила за ключовете, правата и разходите - от първия пилотен проект до ежедневната работа. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация, когато екипите вече ползват API ключове за модели, а никой не следи кой ги държи и колко струват на месец. [Свържете се с нас за консултация: academy@razvivai.se]