Украденные ключи доступа к языковым моделям могут обходиться компаниям дороже $100 тыс. в сутки, а суммарный счёт до отзыва доступа в отдельных случаях доходил до $1 млн. Новая схема получила название LLMjacking: злоумышленники используют чужие корпоративные аккаунты и API не для утечки данных, а как бесплатный источник дорогих вычислений. Для российских команд, подключающих модели через облака и сторонние сервисы, защита LLM API уже становится задачей финансового контроля, а не только ИБ.
Об этом сообщает The Register со ссылкой на отчёт специалистов Google Mandiant. Исследователи зафиксировали несколько сценариев, в которых преступники похищают ключи к API моделей, создают дополнительные учётные данные, включают платные сервисы и быстро превращают инфраструктуру жертвы в чужую вычислительную ферму.
Не майнинг, а чужие токены
Классический cryptojacking расходует вычислительные мощности на добычу криптовалюты. LLMjacking устроен иначе: атакующий получает доступ к облачному проекту или ключу API, запускает массовые запросы к моделям и оплачивает их чужим биллингом. Его цель — дешёво обслуживать собственный продукт, перепродавать доступ к моделям или использовать их для масштабирования автоматизированных атак.
В одном из разобранных Google эпизодов группа UNC6993 получила ключи к LLM API, выпустила новые ключи и активировала сервисы в облачных проектах пострадавшей организации. До обнаружения инцидента расходы составили около $100 тыс. В другом случае злоумышленник перевёл аккаунты жертв на тариф Pay-As-You-Go, выбрал дорогие базовые модели и запустил высокочастотные потоки инференса.
Чтобы не упереться в лимиты, атакующий применял стратегию «сжечь и сменить»: создавал короткоживущие сервисные аккаунты, удалял их и выпускал новые, параллельно отслеживая последствия через интерфейс биллинга. Это неприятная деталь для команд, которые считают лимиты запросов достаточной страховкой. Если у злоумышленника есть права на управление идентификациями и сервисами, лимит одного ключа превращается лишь в небольшое неудобство.
Масштаб также растёт. CrowdStrike в августе описывала случай с примерно 200 тыс. API-запросов за две минуты. Согласно свежему отчёту Google, в ещё одном инциденте злоумышленник сделал более 500 тыс. обращений к LLM API менее чем за восемь часов, используя похищенные сторонние ключи для работы сервиса маршрутизации токенов Jet Night.
Ключи становятся товаром, атаки — сервисом
Google предполагает, что Jet Night мог поддерживать низкие цены именно за счёт украденных ключей. Сервис предлагал безлимитный тариф примерно за $60 в месяц с заявленным доступом к передовым моделям; обычный потребительский доступ такого уровня, по оценке исследователей, чаще стоит от $100 до $250 в месяц. В публичном Telegram-канале Jet Night сообщал о нескольких сбоях. Исследователи связывают их с отзывом скомпрометированных ключей владельцами.
Особенно важен не сам факт кражи, а появившееся разделение труда. Одни участники находят первоначальную точку входа в облачную среду или AI-сервис, другие обслуживают монетизацию и инфраструктуру перепродажи. Google называет последних «LLM Mixers». Такая специализация обычно означает, что схема перестаёт быть набором экспериментов отдельных энтузиастов и становится повторяемой услугой.
В середине 2026 года Mandiant расследовала атаку, где UNC6993 скомпрометировала облачный инстанс через неверно настроенный ключ сервисного аккаунта, а затем расширила доступ к API модели. Группа также развернула фишинговую страницу, замаскированную под портал для вступления в сообщество пользователей LLM. Посетителя уговаривали открыть настоящий сервис модели и вставить в форму исходный JSON с действующим токеном. Данные уходили на сервер атакующих, позволяя обойти пароль и MFA: многофакторная аутентификация защищает вход, но не спасает, когда пользователь сам отдаёт активную сессию.
Для разработчиков главный вывод довольно приземлённый: секрет в репозитории, переменной окружения CI/CD или фронтенд-коде — это не просто потенциальный инцидент, а открытая строка расходов. Защита LLM API должна включать централизованное хранение секретов, регулярную ротацию ключей и автоматическое сканирование кода на токены и ключи. Отдельно стоит проверить, кто может выпускать сервисные аккаунты, включать платные API, менять тарифы и просматривать биллинг.
Бизнесу полезно разделить доступы к разработке и оплате, настроить бюджетные алерты и аномалии не только по сумме, но и по числу запросов, скорости их роста, регионам и созданию новых учётных записей. Принцип минимальных привилегий здесь звучит старомодно, зато работает: сервисный аккаунт, которому нужен вызов модели, не должен одновременно уметь создавать новые ключи и подключать платные сервисы. Для команд, строящих продукты на нескольких провайдерах, защита LLM API должна охватывать каждый контур, включая тестовые проекты и временные интеграции.
Google ожидает, что злоумышленники будут всё чаще выбирать LLMjacking вместо привычного хищения вычислительных ресурсов. Модельный доступ дорожает, агентные системы позволяют использовать его эффективнее, а украденный ключ теперь может стать сырьём для целого теневого сервиса. Вопрос уже не в том, попытаются ли атакующие монетизировать корпоративные токены, а в том, заметит ли компания первые тысячи подозрительных запросов раньше, чем они превратятся в шестизначный счёт.
