Злоумышленники похищают доступ к языковым моделям и перепродают его

LLMJacking заключается в хищении и монетизации доступа организаций к большим языковым моделям. В описанных инцидентах пострадали организации из нескольких регионов и отраслей. Суточные счета в отдельных случаях превышали 100 000 долларов США, а совокупные затраты достигли 1 миллиона долларов.

Первоначальный доступ и закрепление

Злоумышленники получали доступ через скомпрометированные или украденные учётные данные облачных сервисов, в том числе учётные данные IAM, ключи сервисных учётных записей, персональные токены доступа GitHub и активные токены сеансов. Другими путями становились скомпрометированные ключи API LLM и общедоступные конечные точки моделей.

Украденные ключи API проверяли запросами с низким объёмом, включая запросы с параметром max_tokens=1. Это снижало вероятность срабатывания оповещений, основанных на анализе объёма трафика. Токены сеансов злоумышленники похищали и через фишинговые страницы, побуждавшие пользователей вставлять необработанные данные аутентификации. Такой способ обходил защиту на основе паролей и многофакторной аутентификации (MFA).

Получив доступ, злоумышленники изучали облачные сервисы, репозитории, хранилища данных и журналы в поисках дополнительных учётных данных и секретов. Для повышения привилегий и закрепления они создавали несанкционированные учётные записи IAM или сервисные учётные записи, привязывали политики администратора, генерировали временные учётные данные и добавляли SSH-ключи в виртуальные машины или метаданные экземпляров.

В одной из атак на проникновение использовали уязвимость CVE-2026-40217. Она связана с ошибкой повторной привязки идентификатора пользователя (user-ID) в эндпоинте /key/regenerate LiteLLM. Уязвимость позволяла повысить уровень стандартных виртуальных ключей до учётных данных администратора прокси.

Использование доступа и монетизация

Злоумышленники активировали сервисы LLM, создавали ключи API, оформляли подписки с оплатой по факту использования и генерировали интенсивный трафик запросов на вывод моделей. Некоторые также разворачивали GPU-инстансы, внедряли агентов и обратные прокси-серверы или использовали шлюзы, такие как new-api и gcli2api, для объединения украденных учётных данных и маршрутизации запросов.

LLM Mixers перепродавали доступ через подпольные сервисы, скрывая источники запросов и перекладывая расходы на токены на жертв.

Обнаружение и меры защиты

Для обнаружения таких действий необходимо отслеживать:

• изменения в облачной плоскости управления;
• вызовы моделей и обнаружение моделей;
• создание ключей API и учётных записей;
• изменения в ведении журналов;
• аномальные ошибки вывода и всплески использования.

Аудит-логирование в плоскости данных следует включить в тех случаях, когда оно по умолчанию отключено. Авторы отчёта рекомендуют:

• централизовать управление секретами и регулярно их ротировать;
• применять принцип минимальных привилегий в IAM и устойчивую к фишингу MFA;
• сканировать секреты;
• ограничивать области действия ключей API;
• настраивать лимиты частоты запросов, квоты и оповещения о расходах;
• контролировать исходящий сетевой трафик;
• оперативно устранять уязвимости в шлюзах моделей;
• проверять наличие открытых конечных точек, несанкционированной инфраструктуры LLM и подозрительных запросов на проверку подлинности учётных данных с низким объёмом.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.