LLMjacking быстро превращается из красивого термина для доклада по безопасности в неприятную строку в счете за ИИ: по оценке Sysdig, несанкционированное использование топовых моделей может стоить бизнесу $46 тыс. и даже более $100 тыс. в день. По данным ZDNet, аналитики Google Threat Intelligence Group фиксируют резкий рост этого рынка в 2026 году: украденные учетные данные и API-ключи к корпоративным AI-аккаунтам продаются подпольно, а платят за чужие эксперименты владельцы этих аккаунтов.
Схема понятна всем, кто застал криптоджекинг. Только вместо майнинга на чужом сервере злоумышленники используют чужой доступ к большим языковым моделям, токенам и вычислительным ресурсам. Если у компании есть корпоративный аккаунт у поставщика ИИ с высоким лимитом или оплатой перерасхода, украденный ключ становится почти банковской картой без PIN-кода. Им можно генерировать тексты, гонять тяжелые вычислительные задачи, запускать собственные вредоносные сценарии или перепродавать доступ дальше.
Главный аналитик Google Threat Intelligence Group Джон Халткист рассказал Financial Times, что в 2026 году команда увидела «значительный рост» LLMjacking. В подпольных каналах, по его словам, встречается доступ к моделям Anthropic, Google и OpenAI со скидкой до 97% от обычной стоимости. Некоторые продавцы даже обещают «гарантированный» доступ: если скомпрометированный аккаунт закроют или владелец отзовет ключ, покупателю якобы дадут новый. Сервисный подход, только без юридического отдела и поддержки по SLA.
Для атакующих экономика выглядит слишком хорошо, чтобы ее игнорировать. Современные модели дорожают вместе с вычислительной нагрузкой: больше контекста, больше запросов, больше токенов, больше денег. Когда эти расходы можно переложить на чужую компанию, преступная маржа резко растет. Отсюда и интерес к корпоративным учеткам: бизнес-аккаунты часто имеют повышенные лимиты, интеграции с внутренними системами и меньше бытовых ограничений, чем личные подписки.
Ключи и пароли попадают к злоумышленникам обычными, не магическими способами. Фишинг, утечки, плохо закрытые репозитории, уязвимости в корпоративной сети, инсайдеры, тестовые окружения с забытыми секретами. Разработчики знают этот список наизусть, но ИИ добавил к нему новый финансовый множитель. Раньше утекший API-ключ мог открыть доступ к данным или инфраструктуре. Теперь он еще и способен за ночь накрутить счет, который придется объяснять финансовому директору, а потом уже CISO.
Риски не ограничиваются биллингом. Получив доступ к AI-аккаунту, злоумышленник может попытаться вытащить чувствительную информацию, которую сотрудники передавали модели в запросах или через интеграции. В более неприятном сценарии он может портить обучающие наборы и рабочие контуры, влияя на качество ответов. Для компаний, которые уже встроили LLM в поддержку, аналитику, разработку или внутренние базы знаний, это не абстрактная «угроза ИИ», а риск для операционных процессов.
Защита от LLMjacking начинается не с покупки очередной волшебной панели, а с скучных дисциплин, которые внезапно снова стали дорогими. Нужны лимиты расходов и алерты на всплески потребления, раздельные ключи для сервисов и команд, минимальные права доступа, регулярная ротация секретов и запрет на хардкод ключей в коде. Если у аккаунта есть возможность ограничить использование по проектам, регионам, моделям или типам задач, это лучше включить до инцидента, а не после письма от бухгалтерии.
Обучение сотрудников тоже остается в списке, хотя одного ежегодного теста с фейковой посылкой уже мало. Фишинг остается одним из главных путей к учетным данным, но разработчиков и продуктовые команды нужно учить не только «не кликать», а понимать стоимость доступа к AI-инфраструктуре. API-ключ к модели теперь ближе к платежному инструменту, чем к безобидной переменной окружения. Его нельзя хранить в README, пересылать в чате, оставлять в ноутбуке или использовать один и тот же ключ для продакшена, экспериментов и личных демо.
Для русскоязычных IT-команд вывод простой: если компания уже платит за OpenAI, Google, Anthropic или другой AI-сервис, этот контур пора включать в обычную модель безопасности. Мониторинг, IAM, аудит, бюджетные лимиты, секрет-хранилища и процедуры отзыва ключей должны покрывать AI так же, как облака, CI/CD и базы данных. Иначе LLMjacking станет тем редким случаем, когда эксперимент с ИИ действительно окажется дорогим, только проводить его будет кто-то другой.