MandiantとGoogle Threat Intelligence Group(GTIG)は、2026年に複数のインシデントで攻撃者が企業の大規模言語モデル(LLM)へのアクセスを乗っ取ったと報告しています。
「LLMjacking」と呼ばれるこの手口は、北米、南米、アジア太平洋地域の金融サービス、小売、テクノロジー、運輸の各組織を襲いました。クリプトジャッキングはリソースをゆっくりと消耗させますが、LLMjackingは違います。
LLMjackingでは、1日で10万ドルを超える不正請求が発生しました。一部の被害者では、アクセスが取り消されるまでに累計請求額が100万ドルに達しています。
攻撃者はフロントエンドのチャットボットを避け、バックエンドのモデルリソースを直接狙います。公開状態のエンドポイントや、有効なLLM APIキーを探し出します。あるケースでは、スクリプトが/api/createエンドポイントを呼び出し、公開されたOllamaサーバーにモデルを登録していました。
Sysdigも、公開状態のOllamaサーバーが自律型ペネトレーションテストフレームワークの推論エンジンとして使われていた事例を報告しています。Ollamaにはネイティブの認証機能がなく、ポート11434をインターネットに公開してはなりません。
主な侵入経路は、盗まれた、あるいは露出したクラウドのIDトークンでした。IAM認証情報、サービスアカウントキー、GitHubパーソナルアクセストークン(PAT)、有効なセッショントークンなどが含まれます。
UNC6993は、誤設定されたサービスアカウントキーを悪用しました。さらに偽のアプリケーションポータルを設置し、有効なアクセストークンを含む生のJSONを貼り付けるよう利用者に指示しています。これにより、パスワードや多要素認証(MFA)を回避しました。
あるグループは、公開GitHubリポジトリからLLM APIキーを収集しました。1トークンのリクエスト(max_tokens=1)で有効性を確認する検証スイープを実行し、EDRやSIEMのボリューム異常アラートを回避しています。
アクセスを得た攻撃者は、複数のリージョンにわたってサービスを列挙し、リポジトリをクローンしてハードコードされた機密情報を探しました。データウェアハウスのメタデータテーブルにも問い合わせ、認証情報を探しています。
トークン作成権限を悪用して高権限のサービスアカウントになりすまし、Cloud Secret Managerからシークレットを取得しました。
永続化のために、不正なIAMアカウントやサービスアカウントを作成しました。その中には、請求最適化ユーティリティを装ったバックドアアカウントも含まれます。コンピュートインスタンスのメタデータにSSH公開鍵を注入する手口も使われました。
LLMルーティングミドルウェアも、2つ目の標的となりました。後続のクラスターは、被害者のLiteLLMゲートウェイに対して検証済みのVirtual Keyを使用しました。/key/regenerateエンドポイントにあるユーザーIDの再バインドの欠陥(CVE-2026-40217)を悪用し、PROXY_ADMINのマスター認証情報へ権限を昇格させています。
LiteLLMには、ほかにも深刻な脆弱性があります。Horizon3.aiは、CVE-2026-42271とStarletteの「BadHost」バイパスであるCVE-2026-48710が、連鎖して認証不要のリモートコード実行につながることを確認しました。CVSSスコアは10.0です。
収益化を担うのが「LLM Mixer」です。盗んだモデルへのアクセスをプロキシし、プールして転売する不正なゲートウェイを指します。UNC6993は、オープンソースツールのnew-apiとgcli2apiを使ってキーを集約し、負荷を分散させていました。
ある攻撃者は、8時間足らずで50万回を超えるAPI呼び出しを行ってjet-night.comを稼働させ、100万ドル近いトークン費用を被害者に押し付けました。
Jet Nightは、月額約60ドルで無制限プランを販売しています。市場価格の100〜250ドルを大きく下回る水準です。GTIGによると、別の攻撃者は、よく似たドメイン上のai-relayインフラを使い、newapi[.]proの転売エコシステムに供給していました。
ある攻撃者は、Manusフレームワークのコンテナ化されたバックドアを展開しました。このバックドアは上流のLLMに問い合わせ、返されたコマンドをローカルで実行します。この攻撃者は、GPUクォータの引き上げも申請していました。
別の攻撃者は「バーン・アンド・ローテート」と呼ばれる戦術を使い、短命のサービスアカウントの作成と削除を繰り返してレート制限を回避しました。防御側は、BedrockやGemini APIなどのLLMサービスが無断で有効化された場合にアラートを出すべきです。
あわせて、InvokeModelやPutModelInvocationLoggingConfigurationといったCloudTrailイベントも監視する必要があります。そのほかの優先事項は、フィッシング耐性のあるMFA、きめ細かなAPIキーのスコープ設定、シークレットスキャン、支出上限の設定、ゲートウェイの迅速なパッチ適用です。
ANY.RUNを利用する16,000以上のSOCチームに加わり、脅威調査を効率化して手作業を減らしましょう。チームで試してみる
翻訳元: https://cyberpress.org/hackers-hijack-cloud-ai-models/
