GoogleのMandiantと脅威インテリジェンスグループ（GTIG）は、攻撃者が企業の大規模言語モデル（LLM）へのアクセスを乗っ取り、クラウドで巨額の不正課金を発生させていると指摘しています。
Googleのレポートによると、被害額は1日だけで10万ドルを超えました。一部の組織では、アクセスを無効化するまでに累計の請求額が100万ドルに達しています。
LLMJacking攻撃
Mandiantは2026年、北米、南米、アジア太平洋地域で発生した複数のインシデントに対応しました。被害を受けたのは、金融サービス、小売、テクノロジー、運輸の各業界です。
徐々に被害が広がるクリプトジャッキングと異なり、LLMJackingは数時間のうちに請求額を急増させる恐れがあります。GTIGはまた、初期アクセスを担う攻撃者と「LLMミキサー」との間で分業が進んでいると追跡しています。LLMミキサーとは、盗んだLLMへのアクセスを中継・プール化し、アンダーグラウンドの契約者に転売する違法なゲートウェイです。
Trade Crypto Now
攻撃者はフロントエンドのチャットボットを迂回し、バックエンドのモデルリソースを直接狙います。Ollamaサーバーなどの公開エンドポイントをスキャンし、/api/createを通じて自前のモデルを登録しようとします。ただし、最も多い手口は、IAM認証情報、サービスアカウントキー、GitHubのパーソナルアクセストークン、セッショントークンといった、公開または窃取されたクラウドのID用トークンの悪用です。
UNC6993は、設定ミスのあるサービスアカウントキーを通じてクラウドインスタンスを侵害しました。さらに偽のポータルを設置し、ユーザーにJSON形式のセッショントークンをそのまま貼り付けさせることで、パスワードや多要素認証（MFA）を回避していました。
別の攻撃者は、公開GitHubリポジトリからLLMのAPIキーを収集し、EDRやSIEMのアラートを避けるため、max_tokens=1のリクエストで有効性を確認していました。盗まれたAWSの非人間ID（NHI）によるLLMjackingに関する過去の調査からも、こうした認証情報を起点とする手口が新しいものではないことがわかります。
侵入後、攻撃者は不正なIAMアカウントやサービスアカウントを作成し、コンピュートのメタデータにSSHキーを注入し、クラウドのシークレットマネージャーから機密情報を取得しました。後続のクラスターは、LiteLLMの/key/regenerateエンドポイントにあるユーザーIDの再バインドの欠陥（CVE-2026-40217）を悪用し、仮想キーをPROXY_ADMINに昇格させました。これは、攻撃者が公開されたMCPサービスやLiteLLMゲートウェイを悪用するという、より広い傾向とも一致します。
UNC6993はマネージドAIサービスを有効化して追加のAPIキーを作成し、短期間で10万ドルを超える課金を積み上げました。盗んだキーをプールする目的とみられますが、new-apiやgcli2apiといったオープンソースのツールも使っていました。
別の攻撃者は、jet-night.comを稼働させるため、8時間足らずで50万回を超えるAPI呼び出しを行い、100万ドル近い費用を被害者に負担させました。Jet Nightは月額約60ドルで「使い放題」のプランを販売しており、GTIGはこの価格が盗まれたキーの利用を示唆していると指摘しています。PoeLLMキャンペーンも同様に、攻撃者が公開されたAI基盤を乗っ取って収益化している例です。
Googleは、キーの自動ローテーションを含む、一元的なシークレット管理システムの導入を推奨しています。アクセスは最小権限の原則に基づいて付与し、必要な場合を除きLLMサービスへのアクセスを拒否すべきだとしています。
コードリポジトリ内のシークレットのスキャンも欠かせません。API割り当ての設定、支出上限の設定、予算アラートの有効化も求められます。すべてのクラウドIDプロバイダーとコンソールで、フィッシング耐性のある多要素認証（MFA）を使用してください。
防御側は、APIキーの権限を特定のモデルと環境に限定するとともに、max_tokens=1のような少量の検証リクエストがないかログを継続的に監視する必要があります。LiteLLMなどのゲートウェイは速やかにパッチを適用してください。BedrockやGemini APIなどのサービスが無断で有効化された場合は、重大な事象として扱うべきです。
GTIGは、攻撃者がクリプトジャッキングよりもLLMJackingを好むようになるとみています。LLMミキサーを使えば、短期間で利益率の高い収益を得られるうえ、企業でも上位モデルやエージェント主導のワークフローの導入が進んでいるためです。
Trade Crypto Now
SOCにアラートの文脈を提供し、インシデントを迅速に阻止しましょう。16K社のSOCの脅威インテリジェンスを統合。
翻訳元: https://gbhackers.com/google-warns-of-llmjacking-attacks/
