LLMjacking、犯罪者の「商売」として拡大

サイバー犯罪者は、商用の大規模言語モデル（LLM）へのクラウドアクセスを盗み、それを転売することで、活発なビジネスモデルを築き上げています。被害組織では、LLMへのアクセスが無効化されるまでに、リソースコストが最大100万ドルに達したケースもあります。

この手口は「LLMjacking」と呼ばれ、LLMが登場してまもない頃から存在してきました。しかし現在では、アンダーグラウンド市場で不正な事業として成立しています。Google Threat Intelligence Group（GTIG）とMandiantが月曜日に公開したレポートによると、サイバー犯罪者にとっては収益性の高い収入源となる一方、被害者はモデル利用にかかる高額な費用を負担させられています。

LLMjackingは、数時間のうちにコンピューティングリソースを急増させる可能性があります。この点で、リソースを徐々に消費する、より知名度の高いクリプトジャッキングとは異なります。Googleの研究者はレポートで、これが「世界各地を拠点とする、金銭目的の多様な脅威クラスター」にとって魅力的な収益源になっていると述べています。

研究者らは次のように記しています。「個々のインシデントでは、リソース消費に伴う不正課金が1日で10万米ドルを超えるケースを確認しました。一部の組織では、アクセスが無効化されるまでに累計課金額が100万米ドルに達しています」

レポートは、攻撃者がLLMへの初期アクセスを獲得し、標的ネットワーク内で永続性を確保する方法を詳述しています。あわせて、サイバー犯罪者にとって収益性の高い事業となったLLMjackingのサービスモデルも解説しています。

LLMjacking：静かに忍び寄る深刻な脅威

Googleによると、攻撃者は組織のLLMに初期アクセスするため、通常、公開状態にあるLLMエンドポイントを特定するか、有効なLLMのアプリケーションプログラミングインターフェース（API）キーを入手します。

研究者らは次のように書いています。「最も主要な初期アクセスの手段は、漏えいまたは窃取されたクラウドのIDトークンです。具体的には、ID・アクセス管理（IAM）の認証情報、サービスアカウントキー、GitHubのパーソナルアクセストークン（PAT）、有効なセッショントークンなどで、攻撃者はこれらを悪用して標的組織のインフラに足がかりを築きます」

Googleによれば、組織のLLMにアクセスする際、初期の活動をあえて目立たせないようにする攻撃者もいます。研究者らは、出力トークンがわずか1つだけという最小限のAPIリクエストを使い、大きな消費を発生させずに窃取した認証情報を検証する手口を確認しました。

エージェント型AI企業Swimlaneのリード・セキュリティオートメーション・アーキテクト、Nick Tausek氏は、こうしたひそかな方法でLLMへのアクセスを得て販売されれば、組織は気付かないうちに貴重なリソースを奪われ、その間に攻撃者が利益を得ることになりかねないと指摘します。

同氏は次のように語ります。「クラウドの請求額が急増した理由を誰かが問う頃には、攻撃者にはすでに支払いをする顧客がついているかもしれません。窃取したモデルへのアクセスを販売する犯罪者には、そのアクセスをできるだけ長く使い続けられる状態に保つ動機があります。そのため、支出が急増する前の静かな活動が特に重要になります」

同氏によれば、これは組織にとって検知上の課題となります。単に異常な消費量を探すだけでなく、侵害されたIDや不正な権限、AIサービスへの不審なアクセスといった初期の兆候を見つけ出す必要があるためです。

手口の数々

レポートは、攻撃者が組織を侵害してLLMjackingを行った複数の事例を取り上げています。LLMへの不正アクセスを成功させる経路は、1つだけではないことがわかります。

たとえば、ある年の中頃に、UNC6993として追跡されている脅威クラスターが、設定不備のあるサービスアカウントキーを通じてクラウドインスタンスを侵害しました。そのインスタンスを使い、LLMのAPIへのアクセス権をさらに付与しています。また攻撃者は、アプリケーションポータルを装ったセッションハイジャック用のページを設置し、LLMユーザーのグループに参加させようとしました。

研究者らは次のように説明しています。「このページは、ユーザーを正規のLLMサービスのウェブサイトに誘導し、有効なアクセストークンを含む生のJSONペイロードを貼り付けさせます。このペイロードはバックエンドAPIに送信され、パスワードや多要素認証（MFA）による制御が回避されました」

別の事例では、ある攻撃者が、窃取したパーソナルアクセストークン（PAT）で非公開のコードリポジトリにアクセスしました。これに、コンテナ化されたクラウド環境で動作するパッケージに存在するとみられるウェブアプリケーションの脆弱性を組み合わせて、初期侵入を果たしています。

Googleによると、別の攻撃者は、侵害したクラウドフェデレーショントークンを使って新しいアクセスキーをプログラムで生成し、MFAによる保護を回避しました。

LLMjackingの攻撃者が使う「ミキサー」

LLMへのアクセスを獲得しても、攻撃者が利益を得るには、それを販売する必要があります。Googleによると、LLMjackingのビジネスモデルでこの部分の鍵を握るのが「LLMミキサー」です。これは、窃取した商用AIモデルへのアクセスを、サブスクリプション型のビジネスに変えるアンダーグラウンドのサービスです。こうしたサービスは、侵害された認証情報を集約し、顧客のリクエストを被害者の環境経由でルーティングします。そして、プレミアムモデルへのアクセスを、正規の市場価格を大幅に下回る価格で提供しています。

研究者らの説明では、LLMミキサーは不正な仲介役として機能します。これにより、サイバー犯罪者は侵害された企業のLLMアカウントへのアクセスを転売でき、顧客は正規のAPI認証情報もクラウドインフラも自前で用意する必要がありません。

研究者らは次のように記しています。「ある調査では、GTIGは2つの異なる運用クラスターが連携し、企業のLLMインフラを侵害して収益化している様子を確認しました。この領域で高度な専門分化が進みつつあることを示しています」

実際、LLMミキサーは、新たに台頭するLLMjackingのエコシステムにおいて重要な役割を担っています。企業のAIアクセスを盗むことが金銭的に魅力ある行為になるよう、収益化の層を提供しているためです。

LLMjackingへの防御策

LLMjackingは、被害者ができるだけ長く気付かないことを前提としています。そのため、莫大なリソース消費の請求を受けないためには、侵入にいかに早く気付くかが鍵となります。

Googleによると、そのために防御側はIAMとサプライチェーンのセキュリティを優先すべきです。この2つは、クラウドサービスへのアクセス獲得と悪用に使われる、最も一般的な経路だからです。

そのほか、クラウド環境でLLMjackingを防ぐベストプラクティスとして、次の3点が挙げられています。まず、一元化されたシークレット管理プラットフォームを使い、認証情報を適切に管理すること。次に、最小権限の原則に基づき、ユーザーとサービスアカウントに特定の役割と必要な作業に必須の権限だけを与えること。そして、GitHubやGitLabなどのコードベースでシークレットスキャンを自動化し、コードを監視することです。

Googleは、定期的な設定監査、レート制限、ネットワークの許可リスト、予算アラート、MFAも有効な防御策だとしています。