- 网络犯罪分子正通过窃取人工智能 API 密钥及云端凭证，劫持昂贵的 LLM 服务与基础设施
- 攻击者利用窃取的访问权限运行 AI 工作负载、创建代理服务，并导致受害者产生巨额账单
- Google 警告称，“LLMjacking”（大语言模型劫持）正演变为一个专门化的网络犯罪生态系统
威胁行为者正在将大型语言模型 (LLM) 应用于网络攻击的各个阶段，包括潜在受害者研究、恶意软件开发以及攻击自动化。然而，前沿模型的使用成本高昂。
鉴于网络犯罪分子惯于窃取资源，Google 威胁情报小组 (GTIG) 的一份新报告指出，他们开始转向窃取他人的算力代币。
大多数攻击团伙首先关注公开的 LLM 端点或获取有效的 LLM 应用程序编程接口 (API) 密钥。在许多案例中，攻击者利用暴露或被盗的云身份令牌（如 IAM 凭证、服务账户密钥、GitHub 个人访问令牌和活跃会话令牌），在目标组织的基础设施中建立初始立足点。
随后，攻击者会“系统地”升级特权、巩固访问权限，并确定进一步妥协的目标。
LLMjacking：快速累积的巨额账单
这种攻击被称为 LLMjacking，GTIG 将其定义为基础模型的货币化和资源劫持。攻击者通过令牌代理、自动化模型流和 GPU 硬件配置来实现这一目的。简而言之，当用户收到账单时，其他人正在使用其 AI 订阅服务。
与传统加密货币盗窃中相对缓慢稳定的代币挖掘不同，LLMjacking 造成的财务损失速度极快，成本可在六分钟内达到六位数。
谷歌在报告中披露：“在获取大语言模型 API 访问密钥后，UNC6993 试图生成更多 API 密钥并在受害者的云项目中启用相关服务，迅速累积了超过 10 万美元的账单费用。”
另一名威胁行为者则订阅了受害者账户的付费协议，选择高级基础模型并启动大量推断流。为绕过速率限制，该攻击者采用了“燃烧和旋转”策略，即不断创建和删除短暂的服务账户，同时审计云提供商的计费界面以监测财务影响。
在某些情况下，攻击者还利用获得的访问权限托管自己的代理端点和代理工作负载。据 Google 介绍，一名攻击者启用了代理，部署了公开可访问的反向代理，并使用定制的 Node.js 代理捆绑包暴露兼容多边界 LLM 的终端，该角色被命名为 D1337-KAIROS。
此外，该攻击者还部署了一个容器化后门，要求上游 LLM 通过指令进行推理，并在本地执行命令。
专业化分工的犯罪生态系统
尽管 LLMjacking 生态系统尚处于早期阶段，但其成长速度迅猛且成熟度日益提高。Google 表示，黑客群体已出现分工，部分团伙专注于获取入侵环境的初始访问权，而另一部分被称为“LLM 混合器”，它们作为路由网关，代理、聚合并将未经授权的 LLM 访问转售给地下用户。
“在一项调查中，GTIG 观察到两个不同的运营集群协调妥协和货币化企业 LLM 基础设施，展示了这个领域出现的复杂专业化，”Google 指出。
通过使用开源 API 网关和自定义中继基础设施，攻击者能够汇集被盗凭据，计量使用情况，并隐藏请求的真正来源。
Google 发出警报，预计威胁行为者将越来越重视 LLM 劫持而非其他资源盗窃行为。建议组织提高对 LLM 平台的可见性，优先检测 LLM 账户和服务的修改，并将任何未经授权的启用视为关键安全事件。同时，组织应严格执行最小权限原则，确保账户和用户仅拥有完成工作所必需的权限。
