Google：LLMjacking 攻击造成 100 万美元云 AI 费用

大语言模型劫持攻击（也称 LLMjacking）正在产生巨额欺诈性云费用，一些组织每天损失超过 10 万美元。

Google 威胁情报组（GTIG）和 Mandiant 的研究人员分析的事件显示，由于使用被盗 API 密钥的欺诈性调用，企业记录的费用可高达 100 万美元。

根据他们的观察，存在 "两个不同的运营集群，协同攻陷企业 LLM 基础设施并将其变现"。

研究人员识别出两类威胁行为者：扫描公开暴露的 LLM 端点的，以及从未受保护的机器窃取有效 API 密钥的。

在获得初始访问权限后，攻击者将其出售给被称为 LLM mixers 的服务，这些服务为其订阅者提供对 LLM 的未经授权访问。

一旦访问权限被转售，请求量可能突然激增，有时超过每秒 1,000 次请求。服务提供商将这些请求记录为合法消费，并向受害组织收取 token 费用。

GTIG 和 Mandiant 观察到今年此类活动有所增加，单日欺诈性费用超过 10 万美元，一些组织的累计费用达到 100 万美元。

LLM mixers 以极低价格提供对 AI 资源的访问，利用其代理基础设施通过被盗 API 密钥将客户的提示转发到被劫持的服务。

研究人员发现了多个此类中继基础设施的例子，包括以每月 60 美元出售 "无限访问套餐" 的 Jet Night，以及 newapi[.]pro 服务。

"另一个在不到八小时内执行了超过 50 万次 LLM API 调用的威胁行为者，利用被盗的第三方 API 密钥为 token 路由服务 jet-night.com 提供动力，" Google 表示。

"Jet Night 向受害组织转嫁了近 100 万美元的 token 费用。"

Google 还识别出威胁集群 UNC6993，它似乎使用网关工具聚合被盗密钥并分发请求，很可能通过地下论坛出售访问权限。

攻击者通过暴露或泄露的云凭据、服务账户密钥、GitHub 令牌、活动会话令牌和 LLM API 密钥获得访问权限。

攻击者在被攻陷的环境中搜索凭据、日志、数据库和密钥管理器，并试图创建后门账户或注入 SSH 密钥以维持持久访问。

研究人员还观察到威胁行为者利用 CVE-2026-40217——LiteLLM 中的一个漏洞，可通过利用自定义代码护栏测试端点在服务器上运行任意代码。

Google 表示，在某些情况下，攻击者利用受害者的云基础设施托管未经授权的代理端点和智能体工作负载。

"例如，一个威胁行为者启用了智能体、部署了可公开访问的反向代理，并使用自定义 Node.js 代理包暴露与多个前沿 LLM 兼容的端点，并以 D1337-KAIROS 的名义重新包装，" 研究人员表示。

Google 建议采取若干措施防范 LLMjacking 攻击，首先是优先考虑身份与访问管理（IAM）并保护供应链安全。

公司应使用集中式密钥平台来实现敏感密钥和机密的轮换与管理。除非角色和任务需要，用户不应拥有扩展权限。

"拒绝所有非明确需要的权限，包括对云 LLM 服务的访问，" Google 建议道。

强制执行抗钓鱼的多因素认证（MFA）、确保监控工具在整个环境中提供全面可见性以识别未经授权的 LLM 和 AI 服务（影子 AI），以及设置 API 使用和支出限额，可帮助组织及早发现 LLMjacking 攻击、限制其影响或完全防止它们。

此外，应启用并监控云审计和推理日志，以发现未经授权的服务激活、可疑的凭据检查、异常使用以及试图禁用日志的行为。