LLMjacking-Angriffe treiben die Cloud-KI-Rechnungen in die Höhe, indem sie offengelegte Dienste für große Sprachmodelle (LLMs) und gestohlene API-Schlüssel missbrauchen, berichten Forscher der Threat Intelligence Group (GTIG) von Google und von Mandiant. Bei den von ihnen untersuchten Vorfällen häuften einige Organisationen betrügerische Kosten von bis zu 1 Million US-Dollar an; in manchen Fällen überstiegen die täglichen Kosten 100.000 US-Dollar.

Die Forscher identifizierten zwei grundlegende Vorgehensweisen: die Suche nach öffentlich zugänglichen LLM-Endpunkten und den Diebstahl gültiger API-Schlüssel von unzureichend geschützten Rechnern. Anschließend können Angreifer den Zugang zu sogenannten LLM-Mixern weiterverkaufen, die die Prompts der Kunden über gekaperte Infrastruktur leiten. Der Cloud-Anbieter verbucht die daraus entstehenden Anfragen als legitime Nutzung und stellt sie der betroffenen Organisation in Rechnung.

Nach dem Weiterverkauf des Zugangs kann die Nutzung rasch ansteigen; die Anfrageraten überschreiten mitunter 1.000 pro Sekunde. Google verwies auf einen Bedrohungsakteur, der über den Routing-Dienst Jet Night mit gestohlenen Schlüsseln Dritter in weniger als acht Stunden mehr als 500.000 LLM-API-Aufrufe tätigte. Der Vorgang verursachte für die betroffene Organisation Tokenkosten von fast 1 Million US-Dollar, erklärten die Forscher. Jet Night wirbt mit Tarifen für unbegrenzten Zugriff für 60 US-Dollar pro Monat. Google identifizierte außerdem den Dienst newapi[.]pro.

Google identifizierte zudem das Bedrohungscluster UNC6993, das offenbar gestohlene Schlüssel mit Gateway-Tools bündelt und den Zugang möglicherweise über Untergrundforen verkauft. Angreifer haben sich Zugang über offengelegte oder kompromittierte Cloud-Zugangsdaten, Dienstkontenschlüssel, GitHub-Tokens, aktive Sitzungstokens und LLM-API-Schlüssel verschafft. Sie können Umgebungen nach weiteren Geheimnissen durchsuchen und versuchen, den Zugang aufrechtzuerhalten, indem sie Hintertürkonten erstellen oder SSH-Schlüssel hinzufügen.

Die Forscher beobachteten außerdem die Ausnutzung von CVE-2026-40217, einer LiteLLM-Sicherheitslücke, die über den Endpunkt zum Testen benutzerdefinierter Code-Sicherheitsregeln die Ausführung beliebigen Codes auf einem Server ermöglichen kann. In einigen Fällen nutzten Angreifer die Cloud-Infrastruktur der Opfer, um nicht autorisierte Proxy-Endpunkte und agentenbasierte Workloads zu hosten.

Google empfiehlt, Identitäts- und Zugriffskontrollen zu verschärfen, zentrale Systeme zur Verwaltung und regelmäßigen Erneuerung von Geheimnissen einzusetzen und Berechtigungen auf das für die jeweilige Rolle erforderliche Maß zu beschränken. Außerdem rät das Unternehmen, phishingresistente Mehr-Faktor-Authentifizierung durchzusetzen, Nutzungs- und Ausgabenlimits für APIs festzulegen und Cloud-Audit- sowie Inferenzprotokolle auf ungewöhnliche Aktivitäten, nicht autorisierte KI-Dienste, verdächtige Überprüfungen von Zugangsdaten oder Versuche, die Protokollierung zu deaktivieren, zu überwachen.

Quellen: BleepingComputer.