Un nouveau rapport publié aujourd'hui par Mandiant de Google LLC et Google Threat Intelligence Group révèle que les attaquants qui détournent l'accès des entreprises à de grands modèles de langage encourent des frais cloud frauduleux de plus de 100 000 $ en une seule journée.
Le rapport, « The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources », couvre plusieurs cas de LLMjacking auxquels Mandiant a répondu cette année. Dans certaines organisations, la facture cumulée atteignait 1 million de dollars avant que l'accès ne soit révoqué.
Le cryptojacking, l’ancienne méthode de vol de calcul dans le cloud, a tendance à épuiser progressivement les ressources. Les frais de LLMjacking peuvent augmenter en quelques heures.
Les victimes en Amérique du Nord, en Amérique du Sud et en Asie-Pacifique comprenaient des entreprises de services financiers et de vente au détail, ainsi que des entreprises de technologie et de transport. GTIG a lié les intrusions à plusieurs clusters motivés par des raisons financières et constate une fracture croissante entre les personnes qui s'introduisent par effraction et les opérateurs qui revendent l'accès.
Dans la plupart des enquêtes, les attaquants sont entrés avec des identifiants d'identité cloud qui avaient été volés ou laissés exposés, notamment des clés de compte de service et des jetons d'accès personnels GitHub. D’autres se sont attaqués aux points de terminaison LLM laissés ouverts à Internet, tels que les serveurs Ollama exposés.
Un groupe identifié comme UNC6993 a pénétré dans une instance cloud via une clé de compte de service mal configurée et a utilisé cette base pour atteindre une interface de programmation d'application LLM. Un faux portail hébergé se faisait passer pour une page d'inscription pour un groupe d'utilisateurs de LLM. Les visiteurs ont été envoyés vers le véritable service LLM et invités à recoller une charge utile JSON brute contenant un jeton d'accès actif. Avec ce jeton, les mots de passe et l’authentification multifactorielle ne faisaient plus obstacle.
Un autre acteur a récupéré les clés API LLM des référentiels publics GitHub et les a testées avec une requête plafonnée à un seul jeton de sortie. Des demandes aussi minimes se sont glissées sous les alertes basées sur le volume dans les outils de surveillance de la sécurité des victimes.
Les logiciels de routage sont également une cible. Dans un cas, un cluster de suivi a obtenu des clés virtuelles pré-validées du groupe qui avait établi l'accès, puis a exploité une faille de liaison d'ID utilisateur dans le point de terminaison de régénération de clé de LiteLLM. Le bug, CVE-2026-40217, lui permet de transformer des clés virtuelles ordinaires en informations d'identification d'administrateur principal pour la passerelle de la victime.
Une partie des accès volés a été directement brûlée. UNC6993 a tenté de générer davantage de clés API et d'activer des services supplémentaires dans les projets cloud des victimes, et les frais ont rapidement dépassé les 100 000 dollars. Un autre acteur a signé des comptes de victimes pour des accords de paiement à l'utilisation sur des modèles haut de gamme. Pour contourner les limites de débit, l'acteur a utilisé ce que GTIG appelle une stratégie de « gravure et rotation », créant et supprimant continuellement des comptes de service de courte durée.
Un troisième est allé plus loin et a implanté une porte dérobée conteneurisée construite sur le framework d'agent Manus, qui demandait à un modèle en amont de raisonner à travers des instructions, puis exécutait les commandes résultantes sur l'hôte compromis.
D'autres accès finissent par être vendus via ce que GTIG appelle des « mélangeurs LLM ». Ces opérations exécutent des informations d'identification volées via des passerelles API open source et des relais personnalisés afin que l'utilisation puisse être mesurée et l'origine de chaque demande masquée. UNC6993 a utilisé des outils tels que new-api et gcli2api, susceptibles de regrouper les clés volées, et GTIG pense que le groupe vend l'accès via des vitrines souterraines.
Un mélangeur est Jet Night, un service de routage de jetons. Un acteur qui a effectué plus de 500 000 appels à l’API LLM en moins de huit heures utilisait des clés tierces volées pour l’alimenter, et une organisation victime s’est retrouvée avec près d’un million de dollars en coûts de jetons.
Jet Night vend un forfait illimité réclamant un accès au modèle frontière pour environ 60 $ par mois. Les forfaits grand public comparables coûtent généralement entre 100 et 250 dollars, et GTIG pense que des prix aussi bas ne fonctionnent que sur les clés volées. Les pannes annoncées sur la chaîne Telegram du service sont probablement le résultat du fait que les victimes ont trouvé la compromission et révoqué les clés.
GTIG s'attend à ce que les attaquants privilégient de plus en plus le LLMjacking plutôt que le cryptojacking, car les mélangeurs paient rapidement et avec des marges élevées. Les jetons API exposés et les middlewares de routage de modèles entraîneront un ciblage plus automatisé à mesure que les entreprises mettront en production des modèles de niveau supérieur et des flux de travail agents, prédit le rapport.
Sur le plan défensif, le rapport note que dans plusieurs cas de Mandiant, la victime n'avait jamais activé les services LLM. Les attaquants ont utilisé des clés volées pour activer des services tels que Amazon Bedrock d'Amazon Web Services Inc. et l'API Gemini de Google, et une facture pourrait gonfler en quelques minutes.
Toute activation non autorisée doit être traitée comme un événement de sécurité critique, indique-t-il. Les plafonds de dépenses, les clés API adaptées à des modèles et environnements spécifiques et la surveillance des journaux pour les pings à jeton unique utilisés pour valider les clés volées font partie de ses autres recommandations.
Selon John Hultquist, analyste en chef chez Google Threat Intelligence Group, les acteurs de la menace veulent que l'intelligence artificielle leur donne de l'ampleur par rapport aux défenseurs, et ils l'obtiennent grâce à des outils agents et des jetons volés à des tiers à leur insu.
« Le verrouillage de ces ressources protégera non seulement les organisations contre des coûts galopants, mais protégera également la communauté dans son ensemble contre un déluge d'attaques autonomes et bon marché », a déclaré Hultquist.
