LLMjacking: la factura arriba abans que l'alarma

Gastar a costa d'un altre

Google Threat Intelligence Group (GTIG), l'equip d'intel·ligència d'amenaces de Google, va publicar dilluns 2 de novembre al blog de Google Cloud un informe signat amb Mandiant, una empresa nord-americana de ciberseguretat especialitzada en resposta a incidents i intel·ligència d'amenaces. Google en va completar la compra el 12 de setembre de 2022 i la va integrar a Google Cloud mantenint-ne la marca.

Segons GTIG, Mandiant va atendre el 2026 diversos incidents d'aquest tipus, amb diferents proveïdors de núvol i de models, en organitzacions de l'Amèrica del Nord, l'Amèrica del Sud i l'Àsia-Pacífic dels sectors financer, del comerç minorista, de la tecnologia i del transport.

Segons GTIG i Mandiant, en alguns incidents els càrrecs fraudulents van superar els 100.000 dòlars en un sol dia, i en algunes organitzacions el total va arribar a un milió de dòlars abans que se'n revoqués l'accés. No hi ha víctimes amb nom ni confirmació independent d'aquestes xifres.

Una factura que es dispara en hores

Segons GTIG, davant del consum gradual del criptosegrest, el LLMjacking pot disparar els càrrecs en qüestió d'hores. Un motiu, segons Mandiant: en diversos incidents la víctima ni tan sols tenia activats els serveis de models. Amb les claus robades, l'atacant els va activar —l'informe cita Bedrock, del núvol d'Amazon, i l'API de Gemini, de Google— i va generar factures enormes en minuts o hores.

Segons GTIG, un altre atacant va subscriure els comptes de la víctima al pagament per ús amb models de gamma alta i, per esquivar els límits, creava i esborrava sense parar comptes de servei de vida curta («burn and rotate») mentre revisava el tauler de facturació del proveïdor del núvol per vigilar la despesa.

Les claus, robades o a la vista

Segons GTIG, la via d'entrada dominant són les credencials del núvol exposades o robades: credencials de gestió d'identitats i accessos (IAM, identity and access management), claus de comptes de servei, tokens d'accés personal de GitHub i tokens de sessió actius.

N'hi ha dues més, segons GTIG. Una, servidors d'Ollama —un programa de codi obert per executar models en un equip propi— oberts a internet, on un atacant cridava /api/create per registrar-hi els seus propis models. L'altra, claus d'API publicades en repositoris públics de GitHub, que un grup comprovava amb peticions d'un sol token (max_tokens=1) per no disparar les alertes de volum.

Un cop a dins, segons GTIG, injectaven claus SSH i creaven comptes, en un cas disfressats d'«utilitats internes d'optimització de la facturació».

UNC6993 i el portal fals

UNC6993 és l'identificador amb què l'informe designa un dels grups atacants. Segons GTIG, a mitjan 2026 va entrar al núvol d'una víctima per una clau de compte de servei mal configurada i es va donar accés a una API de models. A més, va muntar una pàgina falsa d'alta en un grup d'usuaris d'un servei de models que feia enganxar a la víctima el JSON amb el seu token d'accés actiu; amb aquest token se saltava la contrasenya i l'MFA.

Segons GTIG, el grup va intentar crear més claus i activar serveis, i va acumular «ràpidament» més de 100.000 dòlars en càrrecs. Feia servir eines de codi obert com new-api i gcli2api, probablement per aplegar claus robades, i GTIG «creu» que ven aquest accés en botigues clandestines.

Jet Night: barra lliure a preu de ganga

Jet Night (jet-night.com) és un servei de revenda de tokens. Segons GTIG, un atacant va fer més de 500.000 crides en menys de vuit hores amb claus robades d'API de proveïdors externs per alimentar-lo, i Jet Night va carregar a la víctima gairebé un milió de dòlars.

Segons GTIG, el seu pla «il·limitat», amb un suposat accés a models frontier, costa molt menys que un servei equivalent, i per això creu que només és rendible amb claus robades. Ha anunciat a Telegram diverses caigudes que GTIG atribueix, «probablement», al fet que les víctimes revoquen les claus.

Un altre actor, segons GTIG, va obrir punts d'accés públics a diversos models frontier rebatejats amb l'àlies D1337-KAIROS, va instal·lar al núvol de la víctima una porta del darrere amb Manus, un entorn d'agents, va activar màquines amb GPU potents i va demanar més quota. GTIG no en dona cap xifra de despesa.

La passarel·la, una altra porta oberta

LiteLLM, del projecte de codi obert BerriAI/litellm, és una passarel·la d'IA que permet cridar més de cent API de models amb control de la despesa. Segons GTIG, un segon grup va obtenir de qui havia entrat claus virtuals ja comprovades de la LiteLLM de la víctima i va explotar una errada a /key/regenerate, registrada com a CVE-2026-40217 al catàleg CVE (Common Vulnerabilities and Exposures), per convertir-les en credencials d'administrador mestre (PROXY_ADMIN). L'informe no en detalla la gravetat, les versions afectades ni la versió que la corregeix.

Segons GTIG, és una divisió de la feina: uns aconsegueixen l'accés i d'altres el revenen amb els «LLM Mixers», passarel·les il·lícites que apleguen claus robades, mesuren l'ús i amaguen l'origen de les peticions. Publica dos dominis com a indicadors: jet-night.com i newapi.pro.

Quatre maneres de fer pagar la IA a un altre

L'informe no dona el nom de cap víctima i, d'aquests quatre casos, només detalla la factura de dos.

El que recomanen vigilar

GTIG i Mandiant demanen tractar qualsevol activació no autoritzada d'un servei de models com un «esdeveniment de seguretat crític»; a Google Cloud, per exemple, alertar davant el mètode EnableService sobre la plataforma d'agents de Gemini. Segons GTIG i Mandiant, allà els registres d'accés a dades (Data Access logs), que mostren l'ús dels models, vénen desactivats per defecte pel volum i el cost que tenen, i cal activar-los a mà.

Proposen, a més, límits de despesa i quotes per model, claus acotades perquè una d'un model barat no serveixi per als cars, escanejar el codi a la recerca de secrets, vigilar les peticions d'un sol token, aplicar pedaços a passarel·les com LiteLLM i exigir una MFA resistent al phishing.