Атаки LLMjacking уже обходятся отдельным компаниям в суммы до $1 млн: злоумышленники получают доступ к API облачных языковых моделей, перепродают его через посредников и оставляют владельцу инфраструктуры счёт за токены. В отдельных инцидентах расход превышал $100 тыс. за сутки, сообщает BleepingComputer. Для команд, внедряющих генеративный ИИ в продукты и внутренние процессы, это ещё один неприятный факт: утечка ключа теперь способна быстро превратиться не только в инцидент безопасности, но и в финансовую дыру.
Google Threat Intelligence Group и Mandiant проанализировали случаи, в которых мошеннические запросы к LLM маскировались под обычное потребление облачного сервиса. Исследователи выделили две группы операторов: одни ищут публично доступные LLM-конечные точки, другие добывают действующие API-ключи на плохо защищённых машинах и в скомпрометированных облачных средах. После первого доступа его не обязательно используют сами взломщики: права и ключи перепродаются сервисам-посредникам, которые Google называет LLM mixers.
Механика напоминает давно знакомый криптоджекинг, только вместо мощности процессоров злоумышленники монетизируют лимиты и бюджет на инференс. Посредник принимает запросы своих клиентов, проксирует их через украденные ключи и выдаёт доступ к моделям по цене заметно ниже официальной. Для конечного пользователя такого сервиса это выглядит как дешёвый тариф, а для жертвы — как внезапный рост легитимно учтённого трафика. Облачный провайдер видит валидный ключ и исполняет запросы, поэтому счёт получает организация-владелец ключа.
В некоторых случаях интенсивность достигала более 1 тыс. запросов в секунду. Google приводит пример злоумышленника, который менее чем за восемь часов сделал свыше 500 тыс. вызовов LLM API, используя украденные сторонние ключи для работы сервиса маршрутизации токенов jet-night.com. Этот сервис, по данным исследователей, переложил на жертву почти $1 млн расходов. Среди обнаруженных площадок также упоминается newapi[.]pro, а Jet Night предлагал подписку с «безлимитным» доступом за $60 в месяц.
Отдельно исследователи отслеживают кластер UNC6993. Предположительно, он собирает похищенные ключи через шлюзовые инструменты, распределяет запросы между ними и продаёт доступ на подпольных форумах. В ход идут не только ключи LLM API: атакующие ищут облачные учётные данные, ключи сервисных аккаунтов, токены GitHub, активные сессии и секреты в логах, базах данных и хранилищах секретов. Получив доступ к среде, они могут создавать резервные аккаунты и добавлять SSH-ключи, чтобы пережить отзыв первоначально скомпрометированных учётных данных.
Проблема не сводится к случайно опубликованному ключу в репозитории. Google также наблюдала эксплуатацию CVE-2026-40217 в LiteLLM: уязвимость позволяет выполнить произвольный код на сервере через конечную точку тестирования пользовательских guardrail-правил. В отдельных инцидентах скомпрометированная облачная инфраструктура использовалась для размещения несанкционированных прокси и агентных нагрузок. Один из операторов включал агентов, разворачивал публичные reverse proxy и применял наборы Node.js-прокси, выдавая совместимые с несколькими передовыми LLM конечные точки под именем D1337-KAIROS.
Для разработчиков главный вывод довольно приземлённый: ключ к модели нельзя считать менее опасным секретом, чем доступ к платёжному аккаунту. Нужны централизованное хранение и ротация секретов, минимальные привилегии для сервисных аккаунтов, запрет доступа к облачным LLM там, где он не требуется, и многофакторная аутентификация, устойчивая к фишингу. Полезно заранее ограничить расходы и частоту API-вызовов, а не надеяться, что аномалию заметят после закрытия биллингового периода.
Не менее важны журналы аудита облака и логи инференса. Их стоит проверять на неожиданную активацию ИИ-сервисов, перебор или проверку учётных данных, резкие скачки запросов и попытки отключить логирование. Атаки LLMjacking особенно неприятны тем, что могут выглядеть как успех собственного ИИ-продукта: растёт трафик, растут расходы, а вредоносный прокси работает где-то рядом. В 2026 году бюджет на токены стал новой целью для преступников — и компаниям придётся защищать его как любую другую платёжную инфраструктуру.
