Googleの脅威インテリジェンスチームは、侵害された企業向けAIモデルへのアクセスを転売する地下サービスを発見しました。被害企業には身に覚えのないクラウド料金が請求されています。
大規模言語モデル（LLM）を本番環境で運用している企業は、知らないうちに他人のAIビジネスの費用を負担させられているおそれがあります。Google Threat Intelligence Group（GTIG）は、金銭目的のLLMjackingキャンペーンについて警告しています。サイバー犯罪者が企業のクラウドとモデルへのアクセスを乗っ取り、地下のサブスクリプションサービスを通じて転売する手口です。
GTIGがブログ記事で明らかにしたところでは、この活動によって、1日だけで10万ドルを超える架空のクラウド料金が発生することがあります。一部のインシデントでは、組織が侵害されたアクセスを無効化するまでに、累積請求額が100万ドルに達しました。
Tuskiraの共同創業者兼CEOであるPiyush Sharma氏は、次のように述べています。「LLM Mixerは、盗まれた企業のモデルアクセスを、対価を払う顧客向けのサービスに変えてしまいます。しかも被害企業のシステムは、自らが認識している認証情報を通じて、リクエストを受け付け続けます。そのため、各認証情報に付与された権限が非常に重要になります。ある用途のために発行したキーが、ほかのモデルやワークロードにも使い回せる通行証になってはいけません」
GTIGの分析は、2026年に発生した複数のインシデントに基づいています。対象は北米、南米、アジア太平洋地域にわたり、さまざまなクラウドおよびLLMプロバイダーが関係しています。
盗まれたモデルアクセスが地下ビジネスに
GTIGによると、収益化の基盤となっているのは「LLM Mixer」です。これは犯罪者が運営するルーティングゲートウェイで、侵害されたAPI認証情報をまとめ、モデルへのアクセスを地下の購読者に転売します。こうしたサービスは、盗まれた複数のアカウントにリクエストを振り分けて消費を分散させ、アクセスの本来の出所を隠します。
複数の攻撃活動で、オープンソースのゲートウェイや独自のリレー基盤を使って、盗んだ認証情報をプールしていたことが確認されました。脅威アクターのUNC6993は、new-apiやgcli2apiなどのツールを使い、盗んだキーを集約して、アカウント間にリクエストを分散させていました。
GTIGによると、別の攻撃活動では、盗まれたサードパーティ製のAPIキーが、正規のトークンルーティングサービス「Jet Night」の稼働に使われていました。このサービスは8時間足らずで50万回を超えるLLM API呼び出しを実行し、100万ドル近いトークン費用が被害組織に転嫁されました。Jet Nightは、最先端モデルへの無制限アクセスを月額約60ドルで宣伝しています。同等の正規アクセスの一般的な費用を大幅に下回る価格です。
Jet Nightでは、たびたび障害も発生していました。GTIGは、被害者が侵害に気づいてキーを無効化したことが原因とみています。
Swimlaneのリード・セキュリティ自動化アーキテクトであるNick Tausek氏は、次のように指摘します。「盗んだモデルアクセスを販売すれば、犯罪者にはそのアクセスをできるだけ長く使えるように保つ動機が生まれます。そのため、支出が急増する前の静かな活動が特に重要になります。クラウド料金が跳ね上がった理由を誰かが調べ始めるころには、攻撃者にはすでに支払いを済ませた顧客がいるかもしれません」
請求書が届くずっと前から攻撃は始まっている
GTIGによると、初期アクセスには、流出した、あるいは盗まれたクラウドIDトークンが使われます。IAM認証情報、サービスアカウントキー、GitHubのパーソナルアクセストークン、有効なセッショントークンなどです。攻撃者は公開リポジトリからLLMのAPIキーを収集するほか、公開状態のモデルエンドポイントも探索しています。
攻撃者は、盗んだキーを最小限の1トークンのリクエストで検証していました。max-tokens=1を使うこともあったといいます。こうした微小なトランザクションなら、認証情報が使えるかどうかを確認できます。しかも従来の消費量ベースの検知しきい値を下回ったままです。
Tausek氏は次のように述べています。「盗んだキーを1トークンのリクエストで試しても、消費としてはほとんど記録されません。しかし、そのリクエストが新規作成された認証情報や予期しない権限変更と組み合わさっていれば、調査に値する兆候になります」。攻撃者が先行している間に、アナリストがそうした関連を手作業で突き合わせる必要があってはならないと、同氏は付け加えました。
アクセスを確立した攻撃者は、クラウドサービス、リポジトリ、データストアを列挙し、追加の認証情報を探します。権限昇格や不正なサービスアカウントの作成、SSHキーの挿入を行うほか、侵害したワークロードを通じて永続化を図ることもあります。
GTIGは、後続の脅威アクターがLiteLLMゲートウェイのユーザーIDリバインディングの脆弱性を悪用し、通常の仮想キーを管理者権限の認証情報に昇格させていたことも確認しました。
Sharma氏は、組織は認証情報の用途を、想定するモデル、ワークロード、エンドポイントに限定する必要があると述べます。「これらのインシデントで確認されたゲートウェイの侵害には、特に注意が必要です」と指摘し、ルーティング層を掌握されると、最初に侵害された認証情報の範囲を超えてアクセスが広がるおそれがあると警告しました。
GTIGは、認証情報管理の強化、最小権限の適用、APIキーのスコープの細分化を推奨しています。あわせて、少量で不審なリクエストの監視と、モデル利用量への支出上限の設定も勧めています。さらに、組織に対して、無許可のAIサービスの有効化やゲートウェイの脆弱性を監視するよう促しています。
Shwetaは2017年からエンタープライズ技術について執筆しており、直近ではCSO onlineでサイバーセキュリティを担当しています。ランサムウェアからゼロトラスト・アーキテクチャまで、複雑なテーマを専門家にも一般の読者にも分かりやすく解説します。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得。サイバー脅威の解読に追われていない時間は、小説や映画、新しいレシピの試作を楽しんでいます。
