В понеделник Google предупреди, че атакуващи превземат корпоративния достъп до големи езикови модели (LLM), за да използват чрез измама скъпи изчислителни ресурси и услуги с изкуствен интелект.

Тактиката се нарича LLMjacking – форма на превземане на ресурси, адаптирана за ерата на LLM, при която атакуващият придобива API ключ чрез фишинг, изтичане на изходен код, неправилно конфигурирани среди или изложен код от страната на клиента, за да получи неоторизиран достъп до LLM акаунтите на дадена организация, докато легитимният собственик покрива разходите за потребление.

Подобни атаки имат широк географски обхват, като засегнатите субекти се намират в Северна Америка, Южна Америка и Азиатско-тихоокеанския регион и обхващат секторите на финансовите услуги, търговията на дребно, технологиите и транспорта.

„За разлика от постепенното потребление на ресурси, свързано с криптоджакинга, LLMJacking може да генерира огромни скокове в измамните такси за облачни услуги в рамките на часове“, заявиха от Google Threat Intelligence Group и Mandiant в доклад, споделен с The Hacker News.

„При отделни инциденти наблюдавахме измамни такси, свързани с потребление на ресурси, надхвърлящи 100 000 щатски долара за един ден, като кумулативните такси при някои организации достигнаха 1 милион щатски долара, преди достъпът да бъде отнет.“

В единия край на спектъра са кражбите на ресурси на ниско ниво, които включват манипулиране на чатботове за обслужване на клиенти с цел извършване на неоторизирани задачи като генериране на код. LLMjacking е в другия край, тъй като те са насочени директно към бекенд ресурсите на моделите чрез идентифициране на публично достъпни LLM крайни точки или придобиване на валидни LLM API ключове.

Най-често срещаният вектор за първоначален достъп са изложени или откраднати токени за идентичност в облака, включително IAM идентификационни данни, ключове за сервизни акаунти (Service Account), персонални токени за достъп (PAT) в GitHub и токени за активни сесии, които позволяват на атакуващия да установи първоначална опора в инфраструктурата на целевите организации.

Това включва злонамерен субект, наречен UNC6993, за когото се твърди, че е пробил облачна инстанция чрез неправилно конфигуриран ключ за сервизен акаунт и го е използвал, за да получи достъп до LLM API.

„UNC6993 също така е хоствал страница за превземане на сесии, маскирана като портал за кандидатстване за присъединяване към група от потребители на LLM“, казаха от Google. „Тази страница подмамва потребителите да отворят легитимния уебсайт на LLM услугата и да поставят своите необработени JSON данни (инжектиран код), съдържащи активен токен за достъп, който след това се изпраща към бекенд API интерфейса, за да се заобиколят защитите с парола и многофакторна автентикация (MFA).“

В друг случай е наблюдаван неизвестен атакуващ, който използва откраднат персонален токен за достъп за достъп до частни хранилища с код, последвано от експлоатиране на предполагаема уязвимост в уеб приложение в пакет, работещ в контейнеризирана облачна среда.

Други пътища за първоначален достъп включват компрометиране на IAM идентификационни данни на корпоративни потребители за програмно генериране на нови ключове за достъп с цел заобикаляне на MFA защитите, както и използването на хакнат ключ за облачен сервизен акаунт с широки проектни права и LLM API ключове, придобити от публични хранилища в GitHub.

След като успешно установят опора, киберпрестъпниците не губят време да ескалират привилегии, да навлизат по-дълбоко в мрежата, да установяват устойчиво присъствие и да провеждат вътрешно разузнаване за идентифициране на цели и допълнителни облачни идентификационни данни за странично придвижване.

Някои от наблюдаваните тактики са изброени по-долу -

  • Обхождане и изброяване на облачни услуги, хранилища с код и хранилища за данни за чувствителни идентификационни данни.
  • Извършване на вътрешно разузнаване в множество облачни региони за картографиране на наличните услуги и политики за идентичност.
  • Клониране на чувствителни кодови бази за търсене на твърдо кодирани тайни, конфигурационни променливи и идентификационни данни на разработчици.
  • Сканиране на регистрационни файлове за достъп за идентифициране на идентификационни данни за вторични облачни среди.
  • Изпълнение на целенасочени заявки към бази данни за събиране на допълнителни идентификационни данни.
  • Злоупотреба с права за идентичност в облака и конфигурации на виртуални машини за ескалиране на привилегии и поддържане на устойчив достъп.
  • Експлоатиране на привилегии за създаване на токени, свързани със сервизни акаунти, за генериране на временни идентификационни данни за високопривилегировани сервизни акаунти и ексфилтриране на инфраструктурни идентификационни данни, пароли за вътрешни бази данни и API ключове на трети страни от облачни мениджъри на тайни.
  • Създаване на неоторизирани IAM и сервизни акаунти и инжектиране на SSH ключове в изчислителни инстанции за устойчиво присъствие.
  • Създаване на сервизни акаунти тип „задна вратичка“ (backdoor), маскирани като вътрешни инструменти за оптимизиране на таксуването.
  • Експлоатиране на уязвимости, насочени към софтуер за маршрутизиране на LLM, като CVE-2026-40217 в LiteLLM, за ескалиране на привилегии.

„Крайната цел на LLMJacking е монетизирането и превземането на ресурси на базови модели, което атакуващите постигат чрез проксиране на токени, автоматизирано поточно предаване на модели и заделяне на GPU хардуер“, заявиха от Google. „Злонамерените субекти също така са използвали своя достъп, за да хостват собствени прокси крайни точки и агентни работни натоварвания.“

UNC6993, например, е създал допълнителни API ключове, за да мащабира операциите си в рамките на облачните проекти на жертвите, натрупвайки над 100 000 щатски долара такси за плащане. Някои атакуващи се опитват да заобиколят ограниченията на скоростта на заявките, като възприемат стратегия за „използване и ротация“ (burn and rotate), която включва непрекъснато създаване и изтриване на краткотрайни сервизни акаунти

Съзряването на екосистемата за LLMjacking също така проправи пътя за появата на нова категория участници, наречени LLM миксери (LLM Mixers), което подчертава разделението на труда между атакуващите, които установяват първоначален достъп, и тези, които управляват инфраструктурата за монетизация надолу по веригата.

LLM миксерите функционират като незаконни шлюзове за маршрутизиране, които проксират, агрегират и препродават неоторизиран достъп до LLM на други престъпни субекти чрез подмолните онлайн пазари. Една такава услуга е Jet Night („jet-night[.]com“), която предлага план с неограничени токени и твърдян достъп до водещ модел за приблизително 60 долара на месец.

Подхранвайки незаконен пазар за препродажба, тя позволява на злонамерените субекти да източват корпоративни квоти, докато прехвърлят разходите за таксуване върху жертвите, преди компрометирането да бъде засечено.

Jet Night далеч не е единственото предложение за маршрутизиране на токени. Според доклад, публикуван от притежаваните от Broadcom компании Symantec и Carbon Black миналата седмица, съществува услуга за препредаване на сивия пазар, която инсталира оригиналните интерфейси на командния ред (CLI) на OpenAI Codex и Anthropic Claude Code върху корпоративни системи, само за да ги преконфигурира да маршрутизират всяка заявка през инфраструктура на трети страни вместо през собствените сървъри на доставчиците.

Оценява се, че услугата е активна поне от началото на 2026 г., като засяга основно дузина организации, разположени в континентален Китай, заедно с мултинационални дъщерни дружества, базирани в Южна Корея, Тайван и Малайзия. Целевите сектори включват индустриална автоматизация, производство на електроника, полупроводници, фармацевтика, корабоплаване, производство на гуми, нефтохимия и услуги за центрове за данни.

„Вместо да изгражда собствен клиентски софтуер, услугата пренасочва предназначението на оригиналните CLI инструменти“, заявиха от Symantec. „Тя ги инсталира нормално, след което презаписва конфигурацията им, за да изключи изолираната среда (пясъчника) – в случая на Codex чрез задаване на настройка 'danger-full-access' – и пренасочва всяка заявка през собствените си сървъри вместо през тези на OpenAI или Anthropic.“

Услугата изглежда е насочена основно към пазари, на които Anthropic и OpenAI не оперират, като инсталацията е инициирана от служител, опитващ се да изпробва западен ИИ асистент за програмиране, обръщайки се към неоторизиран прекупвач.

Забележително е, че услугата не разпространява модифициран или троянизиран клиент. Малко след легитимната инсталация на Codex или Claude Code CLI чрез npm, потребителите вероятно получават инструкции да изпълнят едноредова команда за извличане на безфайлов инсталационен скрипт за PowerShell или bash от имитиращ домейн („vibe.aiok[.]me“), който се използва за презаписване на конфигурацията.

Преконфигурирането, което е насочено към „~/.codex/config.toml“ за Codex или „~/.claude/settings.json“ за Claude Code, деактивира изолираната среда за изпълнение на CLI инструмента, разрешава мрежовия достъп за изолираната среда за запис, заменя реалните API идентификационни данни на потребителя с токени, издадени от препредаващия сървър, и деактивира телеметрията и докладването на грешки.

Скриптът също така проверява регионалните настройки (locale) на Windows, за да потвърди, че работи на система в региона, който обслужва, преди инсталацията да бъде завършена. Предполага се, че операторите зад услугата не само заобикалят регионалните ограничения, наложени от западните доставчици на ИИ, но и препродават капацитет под пазарните цени, подобно на Jet Night.

Въпреки че няма доказателства, които да предполагат, че услугата злоупотребява с позицията си, за да събира промптове, въведени от служители, или да фабрикува или променя отговори, констатациите демонстрират рисковете за сигурността, свързани с използването на подобни инструменти.

„Злонамерените субекти все повече ще приоритизират LLMJacking атаките пред традиционната кражба на ресурси като криптоджакинг (cryptojacking), водени от незабавната монетизация с висок марж, възможна благодарение на новопоявилите се нелегални LLM миксери (LLM Mixers)“, посочиха от Google.

„Тъй като предприятията интегрират модели от по-високо ниво и агентни работни процеси в продукционни среди, киберпрестъпниците вероятно ще усъвършенстват автоматизираното разузнаване, за да се насочат към изложени на риск API токени и да експлоатират уязвимости в междинния софтуер (middleware) за маршрутизиране на модели.“