В понедельник Google предупредила: злоумышленники захватывают доступ компаний к большим языковым моделям (LLM) и используют их вычислительные ресурсы за счёт владельцев аккаунтов. Эту схему называют LLMjacking — по аналогии с угоном вычислительных мощностей для майнинга. Преступники добывают ключ API или другие учётные данные, запускают запросы к моделям, а счета получает пострадавшая организация.
Доступ чаще всего получают через фишинг, утечки исходного кода, неправильно настроенные среды и открытый клиентский код. В ход идут также украденные облачные учётные данные и токены. Google и Mandiant зафиксировали атаки в Северной Америке, Южной Америке и Азиатско-Тихоокеанском регионе. Среди пострадавших отраслей — финансовые услуги, розничная торговля, технологии и транспорт.
У криптоджекинга расходы обычно нарастают постепенно. При LLMjacking счёт может резко вырасти за несколько часов: в отдельных случаях мошенническое потребление ресурсов обходилось более чем в 100 000 долларов за день. В некоторых организациях суммарные начисления достигали 1 миллиона долларов, прежде чем доступ успевали отозвать. Эти данные Google Threat Intelligence Group и Mandiant передали изданию The Hacker News.
На нижнем уровне подобных злоупотреблений атакующие могут заставить чат-бот поддержки выполнять несанкционированные задачи, например писать код. LLMjacking нацелен непосредственно на серверные ресурсы моделей: преступники ищут открытые конечные точки LLM и действующие ключи API.
Самым распространённым способом первоначального доступа Google называет украденные или раскрытые токены облачной идентификации. Это могут быть учётные данные IAM, ключи Service Account, GitHub Personal Access Tokens (PAT) и активные токены сессий. Иногда скомпрометированные учётные данные IAM корпоративного пользователя позволяют программно создать новые ключи и обойти защиту многофакторной аутентификацией (MFA). В других случаях злоумышленники используют ключи облачных Service Account с широкими правами или находят ключи LLM API в открытых репозиториях GitHub.
Группа UNC6993, по данным исследователей, проникла в облачный экземпляр через неправильно настроенный ключ Service Account, а затем добралась до LLM API. Для кражи активных токенов она создала страницу перехвата сессий, замаскированную под портал для вступления в группу пользователей LLM. Страница перенаправляла человека на настоящий сайт сервиса и предлагала вставить необработанные данные JSON с действующим токеном. Токен отправлялся на серверный API, что позволяло обходить пароль и MFA. Получив доступ, UNC6993 создавала дополнительные ключи API для работы внутри облачных проектов жертвы. Действия группы привели к начислениям свыше 100 000 долларов.
Закрепившись в инфраструктуре, злоумышленники ищут новые учётные данные, повышают привилегии и расширяют доступ. Они перечисляют облачные сервисы, репозитории кода и хранилища данных; изучают ресурсы и политики идентификации в разных облачных регионах; клонируют конфиденциальные кодовые базы в поисках секретов, переменных конфигурации и учётных данных разработчиков. Атакующие также просматривают журналы доступа, выполняют адресные запросы к базам данных и используют права облачной идентификации и настройки виртуальных машин для закрепления.
Особенно ценны права на создание токенов сервисных аккаунтов: с их помощью можно выпустить временные учётные данные для аккаунтов с высокими привилегиями и извлечь из облачных менеджеров секретов инфраструктурные пароли, пароли внутренних баз данных и ключи сторонних API. Для постоянного доступа создаются несанкционированные аккаунты IAM и Service Account, а в вычислительные экземпляры добавляются SSH-ключи. Некоторые поддельные сервисные аккаунты маскируются под внутренние инструменты оптимизации расходов на облако. Ещё один путь повышения привилегий — уязвимости в ПО для маршрутизации запросов к LLM, в том числе CVE-2026-40217 в LiteLLM.
Конечная цель — заработать на чужих вычислительных мощностях: преступники проксируют токены, автоматизируют потоковую работу с моделями и разворачивают GPU-инфраструктуру. Полученный доступ используют также для размещения собственных прокси и агентных нагрузок. Чтобы обходить ограничения частоты запросов, некоторые применяют тактику burn and rotate: многократно создают краткоживущие сервисные аккаунты, а затем удаляют их.
В этой схеме появился новый тип посредников — LLM Mixers. Одни преступники получают первоначальный доступ, другие запускают инфраструктуру для перепродажи: такие посредники агрегируют и проксируют нелегальный доступ к моделям, предлагая его другим злоумышленникам через подпольные площадки. Один из примеров — Jet Night, сайт
Отдельную серую службу ретрансляции описали на прошлой неделе принадлежащие Broadcom компании Symantec и Carbon Black. Она устанавливает подлинные OpenAI Codex CLI и Anthropic Claude Code CLI, а затем меняет их конфигурацию: запросы идут через серверы операторов, а не OpenAI или Anthropic. Служба действует как минимум с начала 2026 года. Она затронула около дюжины организаций в материковом Китае, а также дочерние структуры международных компаний в Южной Корее, на Тайване и в Малайзии. Среди затронутых отраслей — промышленная автоматизация, производство электроники и полупроводников, фармацевтика, морские перевозки, шинное производство, нефтехимия и услуги центров обработки данных.
Операторы используют обычные клиенты, а не распространяют собственную программу или троянизированную сборку. После установки Codex CLI или Claude Code CLI через npm пользователю предлагают выполнить однострочную команду. Она загружает бессистемный сценарий PowerShell или bash с похожего на настоящий домена
Сервис, по-видимому, рассчитан на рынки, где Anthropic и OpenAI не работают: установку может инициировать сотрудник, который хочет получить западный ИИ-помощник для программирования через неавторизованного реселлера. Операторов подозревают в обходе региональных ограничений западных поставщиков и перепродаже вычислительных мощностей ниже рыночной цены, как в случае Jet Night. Исследователи не нашли доказательств, что служба собирала запросы сотрудников или подделывала ответы. Но изменения конфигурации, особенно отключение песочницы и перенаправление запросов, создают очевидные риски безопасности.
Google ожидает, что LLMjacking будет вытеснять традиционную кражу вычислительных ресурсов, включая криптоджекинг: подпольные LLM Mixers позволяют быстро получать прибыль с высокой маржой. По мере того как компании переводят на более дорогие модели и агентные процессы в реальную эксплуатацию, преступники, вероятно, активнее автоматизируют разведку, охотятся за открытыми токенами API и ищут уязвимости в программном обеспечении, которое направляет запросы между приложениями и моделями.
Доступ чаще всего получают через фишинг, утечки исходного кода, неправильно настроенные среды и открытый клиентский код. В ход идут также украденные облачные учётные данные и токены. Google и Mandiant зафиксировали атаки в Северной Америке, Южной Америке и Азиатско-Тихоокеанском регионе. Среди пострадавших отраслей — финансовые услуги, розничная торговля, технологии и транспорт.
У криптоджекинга расходы обычно нарастают постепенно. При LLMjacking счёт может резко вырасти за несколько часов: в отдельных случаях мошенническое потребление ресурсов обходилось более чем в 100 000 долларов за день. В некоторых организациях суммарные начисления достигали 1 миллиона долларов, прежде чем доступ успевали отозвать. Эти данные Google Threat Intelligence Group и Mandiant передали изданию The Hacker News.
На нижнем уровне подобных злоупотреблений атакующие могут заставить чат-бот поддержки выполнять несанкционированные задачи, например писать код. LLMjacking нацелен непосредственно на серверные ресурсы моделей: преступники ищут открытые конечные точки LLM и действующие ключи API.
Самым распространённым способом первоначального доступа Google называет украденные или раскрытые токены облачной идентификации. Это могут быть учётные данные IAM, ключи Service Account, GitHub Personal Access Tokens (PAT) и активные токены сессий. Иногда скомпрометированные учётные данные IAM корпоративного пользователя позволяют программно создать новые ключи и обойти защиту многофакторной аутентификацией (MFA). В других случаях злоумышленники используют ключи облачных Service Account с широкими правами или находят ключи LLM API в открытых репозиториях GitHub.
Группа UNC6993, по данным исследователей, проникла в облачный экземпляр через неправильно настроенный ключ Service Account, а затем добралась до LLM API. Для кражи активных токенов она создала страницу перехвата сессий, замаскированную под портал для вступления в группу пользователей LLM. Страница перенаправляла человека на настоящий сайт сервиса и предлагала вставить необработанные данные JSON с действующим токеном. Токен отправлялся на серверный API, что позволяло обходить пароль и MFA. Получив доступ, UNC6993 создавала дополнительные ключи API для работы внутри облачных проектов жертвы. Действия группы привели к начислениям свыше 100 000 долларов.
Закрепившись в инфраструктуре, злоумышленники ищут новые учётные данные, повышают привилегии и расширяют доступ. Они перечисляют облачные сервисы, репозитории кода и хранилища данных; изучают ресурсы и политики идентификации в разных облачных регионах; клонируют конфиденциальные кодовые базы в поисках секретов, переменных конфигурации и учётных данных разработчиков. Атакующие также просматривают журналы доступа, выполняют адресные запросы к базам данных и используют права облачной идентификации и настройки виртуальных машин для закрепления.
Особенно ценны права на создание токенов сервисных аккаунтов: с их помощью можно выпустить временные учётные данные для аккаунтов с высокими привилегиями и извлечь из облачных менеджеров секретов инфраструктурные пароли, пароли внутренних баз данных и ключи сторонних API. Для постоянного доступа создаются несанкционированные аккаунты IAM и Service Account, а в вычислительные экземпляры добавляются SSH-ключи. Некоторые поддельные сервисные аккаунты маскируются под внутренние инструменты оптимизации расходов на облако. Ещё один путь повышения привилегий — уязвимости в ПО для маршрутизации запросов к LLM, в том числе CVE-2026-40217 в LiteLLM.
Конечная цель — заработать на чужих вычислительных мощностях: преступники проксируют токены, автоматизируют потоковую работу с моделями и разворачивают GPU-инфраструктуру. Полученный доступ используют также для размещения собственных прокси и агентных нагрузок. Чтобы обходить ограничения частоты запросов, некоторые применяют тактику burn and rotate: многократно создают краткоживущие сервисные аккаунты, а затем удаляют их.
В этой схеме появился новый тип посредников — LLM Mixers. Одни преступники получают первоначальный доступ, другие запускают инфраструктуру для перепродажи: такие посредники агрегируют и проксируют нелегальный доступ к моделям, предлагая его другим злоумышленникам через подпольные площадки. Один из примеров — Jet Night, сайт
jet-night[.]com, где, по имеющимся данным, обещают «неограниченные токены» и доступ к передовой модели примерно за 60 долларов в месяц. Пока жертва оплачивает корпоративную квоту, покупатели могут пользоваться ею через посредника. Отдельную серую службу ретрансляции описали на прошлой неделе принадлежащие Broadcom компании Symantec и Carbon Black. Она устанавливает подлинные OpenAI Codex CLI и Anthropic Claude Code CLI, а затем меняет их конфигурацию: запросы идут через серверы операторов, а не OpenAI или Anthropic. Служба действует как минимум с начала 2026 года. Она затронула около дюжины организаций в материковом Китае, а также дочерние структуры международных компаний в Южной Корее, на Тайване и в Малайзии. Среди затронутых отраслей — промышленная автоматизация, производство электроники и полупроводников, фармацевтика, морские перевозки, шинное производство, нефтехимия и услуги центров обработки данных.
Операторы используют обычные клиенты, а не распространяют собственную программу или троянизированную сборку. После установки Codex CLI или Claude Code CLI через npm пользователю предлагают выполнить однострочную команду. Она загружает бессистемный сценарий PowerShell или bash с похожего на настоящий домена
vibe.aiok[.]me. Сценарий меняет настройки Codex в ~/.codex/config.toml, а Claude Code — в ~/.claude/settings.json: отключает песочницу выполнения CLI, разрешает сетевой доступ песочнице записи, подменяет настоящие API-учётные данные токенами ретранслятора и выключает телеметрию с отчётами об ошибках. В Codex для песочницы задаётся режим danger-full-access. Перед завершением установки сценарий проверяет региональные настройки Windows и продолжает работу, только если система находится на обслуживаемой территории. Сервис, по-видимому, рассчитан на рынки, где Anthropic и OpenAI не работают: установку может инициировать сотрудник, который хочет получить западный ИИ-помощник для программирования через неавторизованного реселлера. Операторов подозревают в обходе региональных ограничений западных поставщиков и перепродаже вычислительных мощностей ниже рыночной цены, как в случае Jet Night. Исследователи не нашли доказательств, что служба собирала запросы сотрудников или подделывала ответы. Но изменения конфигурации, особенно отключение песочницы и перенаправление запросов, создают очевидные риски безопасности.
Google ожидает, что LLMjacking будет вытеснять традиционную кражу вычислительных ресурсов, включая криптоджекинг: подпольные LLM Mixers позволяют быстро получать прибыль с высокой маржой. По мере того как компании переводят на более дорогие модели и агентные процессы в реальную эксплуатацию, преступники, вероятно, активнее автоматизируют разведку, охотятся за открытыми токенами API и ищут уязвимости в программном обеспечении, которое направляет запросы между приложениями и моделями.
