- サイバー犯罪者がAIのAPIキーやクラウド認証情報を盗み、高額なLLMサービスとインフラを乗っ取っている
- 盗んだアクセス権でAIワークロードを実行したりプロキシサービスを構築したりし、被害者に莫大な請求を負わせる
- Googleは、「LLMjacking」が収益化を専門に担う運営者を抱える専門的なサイバー犯罪のエコシステムへと進化しつつあると警告
脅威アクターは、標的の調査からマルウェア開発、各種攻撃の自動化まで、サイバー攻撃のほぼあらゆる段階で大規模言語モデル（LLM）を活用しています。しかしAIの利用は安くありません。最先端モデルを使いたい攻撃者にとって、コストは短期間でかさみます。
とはいえ、サイバー犯罪者は盗みに慣れた存在です。他人のトークンを盗めばよいと考えても不思議ではありません。
Googleの脅威インテリジェンスグループ（GTIG）の新たなレポートによると、複数のハッキンググループがまさにこの手口を実行しています。LLMjackingと呼ばれるこの行為は、ここ数年で着実に広がっているといいます。
多くのグループは、公開状態のLLMエンドポイントを狙うか、有効なLLMのアプリケーションプログラミングインターフェース（API）キーの入手を目指すところから始めます。多くの場合、攻撃者は露出または窃取されたクラウドのID用トークン（IAM認証情報、サービスアカウントキー、GitHubのパーソナルアクセストークン、有効なセッショントークン）を使い、標的組織のインフラに最初の足がかりを築きます。
その後は「組織的に」権限昇格を進めてアクセスを固め、さらなる侵害の対象を探し出します。
LLMjacking
最終目的がLLMjackingです。GTIGはこれを「トークンのプロキシ化、モデルの自動ストリーミング、GPUハードウェアのプロビジョニングによって攻撃者が実現する、基盤モデルの収益化とリソースの乗っ取り」と説明しています。つまり、他人があなたのAIサブスクリプションを使い、その請求があなたに届く構図です。
請求額が頭痛の種になることもあります。たとえばクリプトジャッキングでは、マイニングは比較的ゆっくり着実に進み、料金が膨らむまでにある程度の時間がかかります。ところがLLMjackingでは、わずか6分で費用が6桁に達することもあります。
Googleはレポートで次のように述べています。「UNC6993は、LLMのAPIアクセスキーを入手すると、被害者のクラウドプロジェクト内で追加のAPIキーの生成や関連サービスの有効化を試み、短期間で10万ドルを超える請求を積み上げました」
「別の脅威アクターは、被害者のアカウントを従量課金（Pay-As-You-Go）契約に加入させ、プレミアムな基盤モデルを選択して大量の推論ストリームを開始しました。レート制限を回避するため、このアクターは『使い捨てとローテーション（burn and rotate）』戦略を採用しました。短期間だけ使うサービスアカウントを作成しては削除することを繰り返し、その間にクラウド事業者の請求画面を確認して、金銭的な影響を監視していました」
攻撃者が入手したアクセス権を使い、自前のプロキシエンドポイントやエージェント型ワークロードをホストしていた例もあります。Googleによると、あるアクターはエージェントを有効化し、一般公開のリバースプロキシを展開しました。さらにカスタムのNode.jsプロキシバンドルを使い、D1337-KAIROSというペルソナに名前を変えた複数の最先端LLM互換のエンドポイントを公開していました。
このアクターはコンテナ化したバックドアも展開していました。このバックドアは上流のLLMに問い合わせて指示を推論させ、コマンドをローカルで実行します。
拡大するエコシステム
LLMjackingのエコシステムはまだ若いものの、急速に拡大し、さらに速いペースで成熟しています。Googleによると、すでに分業体制が存在します。侵害した環境への初期アクセスを確立するハッキンググループと、下流の収益化インフラを管理する運営者に分かれています。後者は「LLM Mixers」と呼ばれ、不正なLLMアクセスをプロキシ化・集約し、アンダーグラウンドの購読者に転売するルーティングゲートウェイとして機能します。
Googleは次のように述べています。「ある調査では、GTIGは2つの異なる活動クラスターが連携し、企業のLLMインフラの侵害と収益化を進めている様子を確認しました。この分野で高度な専門化が進みつつあることを示しています」
攻撃者はオープンソースのAPIゲートウェイとカスタムのリレーインフラを使うことで、盗んだ認証情報をプールし、利用量を計測し、リクエストの本当の発信元を隠していました。
Googleは警鐘を鳴らしており、脅威アクターは他のリソース窃取の手口よりもLLMjackingを「ますます優先する」と予想しています。そのうえで、組織にはLLMプラットフォームの可視性を高めること、LLMのアカウントやサービスに対する変更の検知を優先すること、無許可の有効化をすべて重大なセキュリティイベントとして扱うことを促しています。あわせて、最小権限の原則を徹底し、アカウントとユーザーには業務遂行に必要不可欠な権限だけを付与するよう助言しています。
