Хакеры крадут API-ключи нейросетей и оставляют жертвам счета на сотни тысяч долларов

Киберпреступники перешли от кражи денег и персональных данных к краже доступа к платным ИИ-моделям. Похищенные API-ключи OpenAI, Anthropic, Google Gemini и Amazon Bedrock позволяют отправлять запросы за счёт взломанных компаний, а сам доступ перепродают посредникам или используют для обучения собственных моделей. Схему назвали LLM jacking, и за несколько месяцев она превратилась в отдельный сегмент криминального бизнеса.

Платит владелец ключа

О масштабах проблемы 11 ноября 2026 года сообщила The Wall Street Journal. Самый показательный случай произошёл с облачной платформой Railway, где атакующие 20 и 21 октября использовали уязвимость в сборке проектов и добрались до хранилища пользовательских переменных окружения. Расшифровать их могли максимум в 1,85% рабочих пространств, примерно в 100 тыс. проектов, и это верхняя оценка, а не подтверждённая кража у всех пользователей. Расходы по похищенным ключам компания оценила в 740 тыс. долларов, а украденная криптовалюта составила около 371 тыс. долларов.

Railway отреагировала на взлом четырьмя шагами:

• сбросила токены 1 852 пользователей;
• отозвала скомпрометированные ключи и попросила поставщиков их заблокировать;
• передала сведения о ключах OpenAI, Anthropic, Google, OpenRouter, GitHub, GitLab и Stripe;
• изменила архитектуру сборки и усилила изоляцию сред.

Чужие мощности вместо своих видеокарт

LLM jacking отличается от криптоджекинга. Раньше преступники заражали компьютеры и серверы ради тайного майнинга, а теперь пользуются уже оплаченной инфраструктурой ИИ и не тратят деньги на видеокарты и подписки. Для поставщика запросы с украденным ключом неотличимы от работы обычного клиента, поэтому взламывать модель или обходить оплату не нужно, а счёт приходит законному владельцу.

Ключи утекают из мест, которые разработчики редко проверяют:

• открытые репозитории GitHub;
• конфигурационные файлы и образы Docker;
• мобильные и клиентские приложения;
• переменные окружения облачных платформ.

Украденные ключи проверяют, определяют доступные модели и лимиты, затем используют сами или продают посредникам, которые переключают трафик на другой ключ, если прежний заблокировали.

«Чёрный октябрь»

Исследователи Wiz назвали волну атак «Чёрным октябрём». По данным Cloud Security Alliance, в октябре о доступе к секретам клиентов сообщили минимум девять платформ, а в начале ноября добавились три случая. У Zeabur атакующие получили 3,2 млн записей с переменными окружения и затронули около 321,8 тыс. аккаунтов.

Wiz зафиксировала два случая с ключами Amazon Bedrock, где выполнили примерно 800 тыс. и 1,7 млн запросов, а по обычным тарифам каждый объём стоил свыше 100 тыс. долларов.

Счета на миллион долларов

Google Threat Intelligence Group и Mandiant 2 ноября описали расследования 2026 года в финансовом секторе, рознице, технологиях и на транспорте. В отдельных инцидентах траты на ИИ превышали 100 тыс. долларов за сутки, а в некоторых организациях счета достигали 1 млн долларов до блокировки доступа. Для проверки ключей преступники отправляли минимальные обращения с одним выходным токеном, чтобы не вызвать всплеск трафика и срабатывание мониторинга.

Кроме ключей к моделям, преступники собирают:

• облачные учётные данные;
• токены сервисных аккаунтов;
• персональные токены GitHub;
• действующие пользовательские сессии.

Сентябрьский отчёт Anthropic описывает посредников transfer stations, которые работают через поддельные личности, краденые платёжные данные и ключи легальных клиентов, обходят географические ограничения и могут втайне сохранять диалоги пользователей для перепродажи или дистилляции, то есть обучения компактной модели на ответах крупной. Российские компании и разработчики, которые из-за региональных ограничений подключаются к зарубежным нейросетям через посредников, рискуют сразу и данными, и учётными записями.

ИИ ищет секреты вместо людей

Microsoft 5 ноября сообщила, что с августа злоумышленники применяли фреймворк ARTEX для массового поиска учётных данных в публичных репозиториях GitHub. В одном из случаев ИИ-агент прошёл путь от поиска секретов до извлечения данных из Azure Key Vault за 5 минут. Мониторинг видит не крупный всплеск, а множество мелких обращений, а в аккаунте нет подозрительных входов, потому что запросы приходят с корректной авторизацией.

Российским разработчикам, которые размещают проекты на западных облачных платформах, стоит проверить секреты независимо от того, попала ли платформа в список пострадавших, ведь ключи ИИ-провайдеров нередко лежат в переменных окружения. Против LLM jacking специалисты советовали четыре меры:

• хранить ключи как пароли от облака и не публиковать их в коде, репозиториях и клиентских приложениях;
• выпускать отдельные ключи для приложений и сред, ограничивать их права и ставить лимиты расходов;
• настроить уведомления о резком росте запросов, необычных регионах и новых облачных учётных данных;
• при утечке отзывать ключ у ИИ-провайдера и проверять журналы запросов, счета и соседние секреты.

Эксперты CISOCLUB отметили, что API-ключ ИИ-платформы по последствиям компрометации сопоставим с банковской картой без лимита. Большинство описанных инцидентов началось не со взлома нейросетей, а с обычных ошибок хранения секретов, поэтому автоматическое сканирование репозиториев и сборочных систем на утёкшие ключи окупается быстрее дорогих решений.

Короткоживущие токены и жёсткие бюджеты на стороне провайдера превращают кражу на миллион долларов в неприятность на пару сотен. Сервисы, которые обещают дешёвый доступ к коммерческим моделям и просят передать им собственный ключ, остаются простейшим способом лишиться и ключа, и данных. Агенты в руках атакующих проверяют найденные секреты за минуты, поэтому срок жизни ключей нужно сокращать, а аномалии замечать раньше, чем придёт счёт.

Ранее сообщалось, что исполнительный директор Агентства Евросоюза по кибербезопасности (ENISA) Юхан Лепассар предупредил о возможных атаках на домашние роутеры, умную бытовую технику и другие подключённые к интернету устройства. В интервью AFP 10 ноября он отметил, что после недавних взломов холодильных систем европейских супермаркетов подобная техника может стать следующей целью злоумышленников. По его оценке, последствия таких инцидентов способны затронуть работу больниц, полиции, пожарных служб и транспортной инфраструктуры. Лепассар призвал производителей учитывать требования кибербезопасности уже на этапе проектирования устройств, а европейские государства — увеличивать инвестиции в цифровую инфраструктуру.