Google waarschuwde maandag dat bedreigingsactoren bedrijfs toegang tot Large Language Models (LLMs) kapen om frauduleus dure rekenkracht en AI-diensten te benutten.
De tactiek wordt LLMjacking genoemd, een vorm van resource-kaping aangepast aan het LLM-tijdperk, waarbij een aanvaller een API-sleutel verkrijgt via phishing, lekken van broncode, verkeerd geconfigureerde omgevingen of blootgestelde client-side code om ongeautoriseerde toegang te krijgen tot de LLM-accounts van een organisatie, terwijl de rechtmatige eigenaar de gebruikskosten draagt.
Dergelijke aanvallen hebben een brede geografische verspreiding, met getroffen partijen in Noord-Amerika, Zuid-Amerika en de Azië-Pacifische regio binnen de sectoren financiële diensten, retail, technologie en transport.
“In tegenstelling tot de geleidelijke resource-consumptie die gepaard gaat met cryptojacking, kan LLMJacking in enkele uren grote pieken in frauduleuze cloudkosten veroorzaken,” zeiden Google Threat Intelligence Group en Mandiant in een rapport dat met The Hacker News werd gedeeld.
“Bij afzonderlijke incidenten zagen we frauduleuze kosten door resource-consumptie van meer dan $100.000 USD op één dag, met cumulatieve kosten bij sommige organisaties die opliepen tot $1 miljoen USD voordat de toegang werd ingetrokken.”
Aan de ene kant van het spectrum is laag-niveau resourcestealing, waarbij klantensupportchatbots worden gemanipuleerd om ongeautoriseerde taken uit te voeren zoals codegeneratie. LLMjacking bevindt zich aan de andere kant: aanvallers richten zich rechtstreeks op de backend-modelresources door publiekelijk blootgestelde LLM-endpoints te identificeren of geldige LLM-API-sleutels te bemachtigen.
De meest voorkomende initiële toegangsvector waren blootgestelde of gestolen cloud-identity tokens, inclusief IAM-referenties, Service Account-sleutels, GitHub Personal Access Tokens (PAT’s) en actieve sessietokens, die een aanvaller toestaan een voet tussen de deur te krijgen in de infrastructuur van doelorganisaties.
Dit omvat een bedreigingsactor genaamd UNC6993, waarvan wordt gezegd dat die een cloudinstantie had binnengedrongen via een verkeerd geconfigureerde Service Account-sleutel en deze gebruikte om toegang te krijgen tot een LLM-API.
“UNC6993 hostte ook een session-hijackingpagina die zich voordeed als een applicatieportaal om zich aan te sluiten bij een groep LLM-gebruikers,” zei Google. “Deze pagina misleidt gebruikers om naar de legitieme LLM-servicewebsite te navigeren en hun ruwe JSON-payload met een actief toegangstoken te plakken, dat vervolgens naar de backend-API werd gepost om wachtwoord- en multi-factor authenticatie (MFA)-controles te omzeilen.”
In een ander geval werd een onbekende aanvaller waargenomen die een gestolen Personal Access Token gebruikte om toegang te krijgen tot privé-coderepositories, gevolgd door het misbruiken van een vermoedelijke kwetsbaarheid in een webapplicatie van een pakket dat binnen een gecontaineriseerde cloudomgeving draaide.
Andere initiële toegangsroutes omvatten het compromitteren van IAM-referenties van bedrijfsgebruikers om programmatisch nieuwe toegangssleutels te genereren en MFA-beveiligingen te omzeilen, evenals het gebruik van een gehackte cloud Service Account-sleutel met brede projecte machtigingen en LLM-API-sleutels verkregen uit publieke GitHub-repositories.
Na een succesvolle voet aan de grond verspeelden de bedreigingsactoren geen tijd om privileges te escaleren, dieper in het netwerk te graven, persistentie op te bouwen en interne verkenning uit te voeren om doelen en aanvullende cloud-referenties voor laterale beweging te identificeren.
Sommige van de waargenomen tactieken zijn hieronder vermeld –
- Cloudservices, code-repositories en datastores enumereren op zoek naar gevoelige referenties.
- Interne verkenning uitvoeren over meerdere cloudregio’s om beschikbare services en identity-beleidsregels in kaart te brengen.
- Gevoelige codebases klonen om te zoeken naar hard-coded secrets, configuratievariabelen en ontwikkelaarsreferenties.
- Toegangslogboeken scannen om referenties voor secundaire cloudomgevingen te identificeren.
- Gerichte databasequeries uitvoeren om extra referenties te oogsten.
- Cloud-identityrechten en virtuele machineconfiguraties misbruiken om privileges te escaleren en persistente toegang te behouden.
- Token-creatieprivileges gekoppeld aan service-accounts misbruiken om tijdelijke referenties te genereren voor diensten met hoge privileges en infrastructuurreferenties, interne databasewachtwoorden en API-sleutels van derden uit cloud secret managers te exfiltreren.
- Ongeautoriseerde IAM- en service-accounts aanmaken en SSH-sleutels injecteren in compute-instanties voor persistentie.
- Backdoor-service-accounts creëren die vermomd zijn als interne tooling voor factureringsoptimalisatie.
- Kwetsbaarheden in LLM-routingsoftware misbruiken, zoals CVE-2026-40217 in LiteLLM, om privileges te escaleren.
“Het uiteindelijke doel van LLMJacking is de commercialisering en het kapen van resources van foundation-modellen, wat actoren bereiken via token-proxying, geautomatiseerde model-streaming en het toewijzen van GPU-hardware,” zei Google. “Bedreigingsactoren gebruikten hun toegang ook om hun eigen proxy-endpoints en agentachtige workloads te hosten.”
UNC6993 heeft bijvoorbeeld extra API-sleutels aangemaakt om hun activiteiten binnen slachtoffercloudprojecten op te schalen, waardoor meer dan $100.000 USD aan factureringskosten ontstonden. Sommige bedreigingsactoren proberen tarieflimieten te omzeilen door een “burn and rotate”-strategie toe te passen, waarbij ze continu kortlevende service-accounts aanmaken en verwijderen.
De volwassenwording van het LLMjacking-ecosysteem heeft ook de weg vrijgemaakt voor de opkomst van een nieuwe categorie actoren genaamd LLM Mixers, wat wijst op een arbeidsverdeling tussen aanvallers die initiële toegang tot stand brengen en degenen die de downstream-monetisatie-infrastructuur beheren.
LLM Mixers fungeren als illegale routing-gateways die ongeautoriseerde LLM-toegang proxien, aggregeren en doorverkopen aan andere criminele actoren via ondergrondse verkoopkanalen. Een dergelijke service is Jet Night (“jet-night[.]com”), die een onbeperkt tokenplan aanbiedt met zogenaamd toegang tot een frontier-model voor ongeveer $60 per maand.
Door een illegale doorverkoopmarkt te voeden, stelt dit kwaadwillenden in staat om enterprise-quotas te kanaliseren terwijl de factureringskosten bij de slachtoffers terechtkomen voordat de compromitteringen worden ontdekt.
Jet Night is lang niet de enige token-routingaanbieder. Volgens een rapport dat vorige week door Symantec en Carbon Black, eigendom van Broadcom, is gepubliceerd, bestaat er een grijze-markt relay-service die de echte OpenAI Codex en Anthropic Claude Code CLIs op bedrijfssystemen installeert, om ze vervolgens te herconfigureren zodat elke aanvraag via infrastructuur van derden wordt geleid in plaats van via de servers van de vendors.
De service wordt beoordeeld als actief sinds minstens begin 2026 en treft voornamelijk een dozijn organisaties in China (vasteland), samen met multinationale dochterbedrijven in Zuid-Korea, Taiwan en Maleisië. Doelsectoren omvatten industriële automatisering, elektronica-productie, halfgeleiders, farmaceutica, scheepvaart, bandenproductie, petrochemicaliën en datacenterdiensten.
“In plaats van eigen clientsoftware te bouwen, hergebruikt de service de echte CLI-tools,” zei Symantec. “Het installeert ze op de normale manier, herschrijft dan hun configuratie om sandboxing uit te schakelen, in het geval van Codex door het in te stellen op ‘danger-full-access’, en leidt elke aanvraag via zijn eigen servers in plaats van die van OpenAI of Anthropic.”
De service lijkt zich met name te richten op markten waar Anthropic en OpenAI niet actief zijn, en de installatie wordt vaak door een werknemer in gang gezet die een westerse AI-codeassistent wil uitproberen en daarvoor een ongeautoriseerde reseller benadert.
Opmerkelijk is dat de service geen gemodificeerde of getrojande client verspreidt. Kort na de legitieme installatie van de Codex- of Claude Code-CLI via npm krijgen gebruikers waarschijnlijk het commando om een éénregelige opdracht uit te voeren om een fileless PowerShell- of bash-setupscript op te halen van een lookalike-domein (“vibe.aiok[.]me”) dat wordt gebruikt om de configuratie te overschrijven.
De herconfiguratie, die gericht is op “~/.codex/config.toml” voor Codex of “~/.claude/settings.json” voor Claude Code, schakelt de uitvoeringssandbox van de CLI uit, zet netwerktoegang voor de write-sandbox aan, vervangt de echte API-referenties van de gebruiker door door de relay uitgegeven tokens en schakelt telemetrie en foutrapportage uit.
Het script controleert ook de Windows-locale-instelling om te bevestigen dat het op een systeem in de regio draait die de service bedient voordat de setup is voltooid. Men vermoedt dat de operatoren achter de service niet alleen regionale beperkingen opgelegd door westerse AI-leveranciers omzeilen, maar ook capaciteit onder marktprijzen doorverkopen, vergelijkbaar met Jet Night.
Hoewel er geen bewijs is dat de service zijn positie misbruikt om prompts die door werknemers worden ingevoerd te oogsten of reacties te fabriceren of te wijzigen, tonen de bevindingen de beveiligingsrisico’s aan die gepaard gaan met het gebruik van dergelijke tools.
“Bedreigingsactoren zullen LLMJacking waarschijnlijk steeds meer prioriteit geven boven traditionele resource-diefstal zoals cryptojacking, gedreven door de directe, marge-rijke monetisatie die opkomende ondergrondse LLM Mixers mogelijk maken,” zei Google.
“Naarmate ondernemingen modellen van hogere klasse en agentachtige workflows in productiesystemen integreren, zullen cybercriminelen waarschijnlijk geautomatiseerde verkenning verfijnen om blootgestelde API-tokens te targeten en kwetsbaarheden in modelrouting-middleware te misbruiken.”
