Gli attacchi di LLMjacking fanno lievitare le fatture cloud per l’IA abusando dei servizi esposti di modelli linguistici di grandi dimensioni (LLM) e delle chiavi API rubate, secondo i ricercatori del Threat Intelligence Group (GTIG) di Google e di Mandiant. Negli incidenti analizzati, alcune organizzazioni hanno accumulato addebiti fraudolenti fino a 1 milione di dollari, mentre in alcuni casi i costi giornalieri hanno superato i 100.000 dollari.

I ricercatori hanno individuato due approcci generali: cercare endpoint LLM esposti pubblicamente e rubare chiavi API valide da macchine protette in modo inadeguato. Gli aggressori possono poi rivendere l’accesso a servizi noti come LLM mixer, che inoltrano le richieste dei clienti attraverso infrastrutture dirottate. Il provider cloud registra le richieste risultanti come utilizzo legittimo e addebita i costi all’organizzazione colpita.

Dopo la rivendita dell’accesso, l’utilizzo può aumentare rapidamente, con una frequenza di richieste che talvolta supera le 1.000 al secondo. Google ha citato un attore di minacce che, in meno di otto ore, ha effettuato oltre 500.000 chiamate API LLM utilizzando chiavi di terze parti rubate tramite il servizio di instradamento Jet Night. Secondo i ricercatori, l’operazione ha trasferito all’organizzazione vittima quasi 1 milione di dollari di costi per i token. Jet Night pubblicizza piani con accesso illimitato a 60 dollari al mese; Google ha inoltre individuato il servizio newapi[.]pro.

Google ha inoltre identificato il cluster di minacce UNC6993, che sembra aggregare chiavi rubate con strumenti gateway e potrebbe vendere l’accesso tramite forum clandestini. Gli aggressori hanno ottenuto accesso sfruttando credenziali cloud esposte o compromesse, chiavi di account di servizio, token GitHub, token di sessione attivi e chiavi API LLM. Possono cercare nell’ambiente altri segreti e tentare di mantenere l’accesso creando account backdoor o aggiungendo chiavi SSH.

I ricercatori hanno inoltre osservato lo sfruttamento di CVE-2026-40217, una vulnerabilità di LiteLLM che può consentire l’esecuzione di codice arbitrario su un server tramite l’endpoint di test dei guardrail per il codice personalizzato. In alcuni casi, gli aggressori hanno utilizzato l’infrastruttura cloud delle vittime per ospitare endpoint proxy non autorizzati e carichi di lavoro basati su agenti.

Google raccomanda di rafforzare i controlli di identità e accesso, utilizzare sistemi centralizzati per gestire e ruotare i segreti e limitare le autorizzazioni a quelle necessarie per ciascun ruolo. Consiglia inoltre alle organizzazioni di imporre l’autenticazione a più fattori resistente al phishing, impostare limiti di utilizzo delle API e di spesa e monitorare i log di audit cloud e di inferenza per individuare attività insolite, servizi IA non autorizzati, verifiche sospette delle credenziali o tentativi di disattivare la registrazione dei log.

Fonti: BleepingComputer.