Google Threat Intelligence Group și Mandiant au publicat o analiză despre ceea ce industria numește LLMjacking: atacatori care preiau accesul la modele de limbaj din infrastructura unei organizații și îl revând, în timp ce victima plătește token-urile consumate. Google descrie „două grupuri operaționale distincte care se coordonează pentru a compromite și monetiza infrastructura LLM a întreprinderilor”.
Cifrele raportate sunt motivul pentru care merită citit: taxe fraudulos generate de peste 100.000 de dolari într-o singură zi, iar la unele organizații un cumulat care ajunge la un milion. Într-un caz, un singur actor a făcut peste 500.000 de apeluri API în mai puțin de opt ore, folosind chei furate de la terți, și a transferat victimei costuri de token-uri de „aproape un milion de dolari”.
O distincție care schimbă modul în care detectezi
Titlurile vorbesc despre organizații care „pierd” bani. Formularea exactă este alta și contează: sunt taxe apărute pe factura victimei, nu fonduri scoase dintr-un cont. Furnizorul de cloud înregistrează consumul ca fiind legitim, pentru că cheia folosită este o cheie validă a organizației.
Consecința practică: acest atac nu declanșează o alertă de fraudă bancară și nu apare într-un sistem antifraudă. Apare într-o anomalie de facturare, adică exact în locul pe care nimeni nu îl monitorizează în timp real. Multe organizații află la închiderea lunii.
A doua consecință: nu există un „furt” de date pe care să îl raportezi reflex. Dar atacatorii nu se opresc la consumul de token-uri — Google descrie căutarea de credențiale, loguri, baze de date și manageri de secrete după obținerea accesului, plus crearea de conturi de backdoor și injectarea de chei SSH pentru persistență.
Cum obțin accesul, potrivit Google
- Scanare pentru endpoint-uri LLM expuse public.
- Chei de API valide furate de pe mașini neprotejate.
- Credențiale de cloud expuse sau compromise, chei de cont de serviciu, token-uri GitHub, token-uri de sesiune active și chei de API pentru LLM.
- Exploatarea CVE-2026-40217, o vulnerabilitate în LiteLLM care permite execuție de cod arbitrar prin endpoint-ul de testare a „guardrail”-urilor cu cod personalizat.
- După acces: căutarea de credențiale, loguri, baze de date și manageri de secrete, apoi conturi de backdoor sau chei SSH injectate pentru persistență.
Cum se monetizează
- Accesul este vândut către servicii de tip „LLM mixer”, care revând acces neautorizat la modele. Unul dintre ele oferă planuri de „acces nelimitat” la 60 de dolari pe lună.
- Serviciile releu transmit cererile prin infrastructură de proxy către serviciile compromise, folosind cheile furate. Volumele pot depăși 1.000 de cereri pe secundă.
- Un grup urmărit de Google ca UNC6993 agregă chei furate cu unelte de tip gateway și, potrivit evaluării Google, probabil vinde accesul pe forumuri clandestine.
- În unele cazuri, atacatorii au găzduit endpoint-uri proxy neautorizate și sarcini de lucru agentice direct în infrastructura cloud a victimei — adică victima plătește și calculul, nu doar token-urile.
Ce este confirmat și ce rămâne de context
- Atribuit cercetării Google: metodele de acces, modelele de monetizare, CVE-ul din LiteLLM, volumele de cereri, exemplul cu aproape un milion de dolari în costuri de token-uri și recomandările de detecție.
- Nuanță de relatare: cifra de un milion apare și ca afirmație generală despre costuri înregistrate de companii; exemplul citat explicit de Google este cazul celor 500.000 de apeluri. Nu este clar public dacă cumulatul de un milion provine din acel caz sau din altele.
- Nu este public: ce organizații anume au fost afectate, pe ce furnizori de cloud, și care este pierderea totală la nivel de industrie.
- Nu reproducem numele domeniilor și serviciilor releu folosite de atacatori; cine are nevoie de indicatori îi găsește în analiza Google.
Patru verificări care costă o oră
- Pune limite de cheltuială și de utilizare pe fiecare cheie de API pentru servicii AI. Este singura măsură care transformă un incident de 100.000 de dolari într-unul de câteva sute. Dacă furnizorul tău permite plafoane pe cheie, nu doar pe cont, folosește-le.
- Caută cheile care trăiesc în locuri greșite: fișiere de configurare în repository-uri, variabile de mediu pe stații de lucru, notițe, canale de chat. Google descrie exact acest tip de chei ca punct de plecare. Un instrument de scanare a secretelor în repository-uri acoperă o parte din problemă.
- Activează și monitorizează logurile de audit și cele de inferență. Fără ele nu poți distinge consumul legitim de cel al unui terț, iar Google notează că atacatorii încearcă să dezactiveze logarea — încercarea în sine este un semnal de detecție.
- Întreabă echipele ce servicii AI folosesc efectiv și cu ce chei. „Shadow AI” nu este o metaforă: un endpoint LLM ridicat de o echipă pentru un experiment, expus public și uitat, este exact prima intrare din lista Google.
Semnalele pe care merită să le ceri în monitorizare
Google enumeră patru: activarea neautorizată a unor servicii, verificări suspecte de credențiale, utilizare neobișnuită și încercări de dezactivare a logării. Niciuna nu cere un instrument nou — toate sunt evenimente pe care furnizorul tău de cloud le înregistrează deja, dacă logarea este pornită și dacă cineva se uită.
Recomandările de fond sunt cele clasice, dar aplicate într-un loc nou: prioritate pe managementul identității și al accesului, platformă centralizată de secrete cu rotație, privilegii minime, autentificare multifactor rezistentă la phishing.
Pentru o organizație aflată în sfera NIS2, trasabilitatea aici — ce chei există, cine le deține, ce limite au și ce loguri păstrezi — susține controlul accesului și managementul activelor, fără a echivala automat cu conformitatea legală. Awarely Monitor poate lega cheile, serviciile și responsabilii de dovada închiderii; decizia privind plafoanele și rotația rămâne a echipei.
Surse și verificare
Deschide sursele originale pentru context, actualizări și formularea exactă a afirmațiilor.