Google 报告揭示 LLMjacking 攻击单日可产生超 10 万美元云账单

Google LLC 旗下 Mandiant 与 Google Threat Intelligence Group 今日发布的一份新报告发现，劫持企业对大型语言模型访问权限的攻击者单日产生的欺诈性云费用超过 10 万美元。

这份题为《The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources》的报告涵盖了 Mandiant 今年响应的多起 LLMjacking 案例。在一些组织中，在访问权限被撤销之前，累计账单已达到 100 万美元。

加密货币劫持（Cryptojacking）是窃取云计算资源的较老方式，往往逐渐消耗资源。而 LLMjacking 的费用可能在数小时内激增。

受害者遍布北美、南美和亚太地区，包括金融服务和零售公司，以及科技和运输企业。GTIG 将这些入侵事件与多个出于经济动机的团伙联系起来，并发现入侵者与转售访问权限的运营者之间的分工日益明显。

在大多数调查中，攻击者利用被盗或暴露的云身份凭证进入系统，包括服务账户密钥和 GitHub 个人访问令牌。其他攻击者则瞄准暴露在互联网上的 LLM 端点，例如暴露的 Ollama 服务器。

一个被追踪为 UNC6993 的团伙通过配置错误的服务账户密钥入侵了一个云实例，并利用该立足点访问了一个 LLM 应用程序编程接口。该团伙托管的一个虚假门户伪装成一组 LLM 用户的注册页面。访问者被引导至真实的 LLM 服务，并被要求粘贴回一个包含有效访问令牌的原始 JSON 载荷。凭借该令牌，密码和多因素认证不再构成障碍。

另一个攻击者从公开的 GitHub 仓库中抓取 LLM API 密钥，并用限制为单个输出令牌的请求逐一测试。如此小的请求量得以绕过受害者安全监控工具中基于流量大小的告警。

路由软件也是攻击目标。在一起案例中，一个后续团伙从已建立访问权限的团伙处获得了预先验证的虚拟密钥，随后利用了 LiteLLM 密钥重生成端点中的用户 ID 重绑定漏洞。该漏洞（CVE-2026-40217）使其能够将普通虚拟密钥转变为受害者网关的主管理员凭证。

部分被盗访问权限被直接消耗。UNC6993 试图生成更多 API 密钥并在受害者云项目中开启额外服务，费用迅速突破 10 万美元。另一个攻击者为受害者账户注册了高级模型的按量付费协议。为绕过速率限制，该攻击者采用了 GTIG 所称的“烧毁并轮换”（burn and rotate）策略，不断创建和删除短生命周期服务账户。

第三个攻击者更进一步，植入了基于 Manus 智能体框架构建的容器化后门，该后门要求上游模型对指令进行推理，然后在受入侵主机上执行生成的命令。

其他访问权限则通过 GTIG 所称的“LLM Mixers”出售。这些运营将窃取的凭证通过开源 API 网关和自定义中继进行路由，以便对使用量进行计量并隐藏每个请求的来源。UNC6993 使用了 new-api 和 gcli2api 等工具，很可能用于汇集窃取的密钥，GTIG 认为该团伙通过地下店铺出售访问权限。

其中一个 mixer 是令牌路由服务 Jet Night。一个在不到八小时内发起超过 50 万次 LLM API 调用的攻击者利用窃取的第三方密钥为其提供支持，导致一个受害组织承担了近 100 万美元的令牌费用。

Jet Night 出售一项无限量套餐，声称以每月约 60 美元的价格提供前沿模型访问权限。同类消费者套餐通常价格为 100 至 250 美元，GTIG 认为如此低的价格只有使用窃取密钥才能维持。该服务 Telegram 频道上公布的宕机事件，很可能是受害者发现入侵并撤销密钥所致。

GTIG 预计攻击者将日益青睐 LLMjacking 而非加密货币劫持，因为 mixers 回款迅速且利润率高。报告预测，随着企业将更高层级的模型和智能体工作流投入生产，暴露的 API 令牌和模型路由中间件将招致更多自动化攻击。

在防御方面，报告指出，在 Mandiant 的若干案例中，受害者从未启用过 LLM 服务。攻击者利用窃取的密钥开启了 Amazon Web Services Inc. 的 Amazon Bedrock 和 Google 的 Gemini API 等服务，账单可能由此在几分钟内急剧膨胀。

报告称，任何未经授权的服务启用都应被视为严重安全事件。其其他建议包括：设置支出上限、将 API 密钥限定于特定模型和环境，以及针对用于验证窃取密钥的单令牌 ping 进行日志监控。

Google Threat Intelligence Group 首席分析师 John Hultquist 表示，威胁行为者希望人工智能赋予他们相对于防御者的规模优势，而他们正通过智能体工具和从不知情的第三方窃取的令牌来实现这一目标。

Hultquist 表示：“锁定这些资源不仅能保护组织免受失控成本的侵害，还能保护更广泛的社区免受大量廉价自主攻击的冲击。”

图片：SiliconANGLE/GPT Image 2.5