Contexte et portée

Le rapport conjoint de Mandiant et du Google Threat Intelligence Group (GTIG) révèle une nouvelle forme d’abus du cloud baptisée « LLMjacking ». Les acteurs malveillants détournent l’accès aux modèles de langage de grande taille (LLM) pour consommer des ressources cloud à un rythme pouvant dépasser 100 000 $ en une seule journée. Dans certains cas, la facture cumulée a atteint un million de dollars avant que les équipes de sécurité ne révoquent les accès compromis. Les victimes, réparties en Amérique du Nord, Amérique du Sud et APAC, comprennent des institutions financières, des détaillants, des fournisseurs de technologie et de transport.

Mécanismes d’intrusion

Les intrusions reposent principalement sur des identifiants cloud exposés : clés de comptes de service, jetons d’accès personnels GitHub ou points d’extrémité LLM non protégés (ex. serveurs Ollama). Le groupe identifié comme UNC6993 a exploité une clé de compte de service mal configurée pour atteindre une API LLM, puis a déployé un faux portail imitant une page d’inscription. Les visiteurs étaient incités à coller un JSON contenant un jeton d’accès actif, contournant ainsi mots de passe et MFA. Un autre acteur a scrappé des clés d’API LLM publiques sur GitHub et a limité chaque requête à un seul token de sortie, technique qui échappe aux alertes basées sur le volume.

Un vecteur supplémentaire cible le logiciel de routage : un groupe a exploité la faille CVE‑2026‑40217 dans l’end‑point de régénération de clés de LiteLLM, transformant des clés virtuelles ordinaires en privilèges d’administrateur maître. Cette élévation a permis de créer de nouveaux comptes de service et d’activer des services payants, faisant rapidement grimper la facture au‑delà de 100 000 $.

Impact financier et technique

Les attaquants adoptent une stratégie dite « burn and rotate » : création et suppression rapides de comptes de service à durée de vie courte afin de contourner les limites de débit. Un acteur a inscrit des comptes victimes à des offres « pay‑as‑you‑go » sur des modèles premium, générant des coûts massifs en quelques heures. Un autre a déployé un back‑door conteneurisé basé sur le framework Manus, qui demande à un modèle upstream de raisonner sur des instructions avant d’exécuter les commandes sur l’hôte compromis.

Les accès volés sont ensuite revendus via des « LLM Mixers », des services de routage de jetons qui masquent l’origine des requêtes. Le service « Jet Night » a permis à un acteur d’effectuer plus de 500 000 appels API en moins de huit heures, infligeant près d’un million de dollars à une organisation. Le plan illimité proposé à 60 $ / mois contraste fortement avec les offres légitimes (100‑250 $ / mois), confirmant que les tarifs bas reposent sur des clés volées.

Recommandations de défense

GTIG préconise de traiter toute activation non autorisée de services LLM comme un incident critique. Les mesures de mitigation incluent : mise en place de plafonds de dépenses, restriction des clés API à des modèles et environnements spécifiques, et surveillance des journaux pour détecter les pings à un seul token. La désactivation proactive des points d’extrémité publics, la rotation régulière des clés de compte de service et l’audit des dépôts GitHub publics pour éliminer les jetons exposés sont également essentiels. En limitant la surface d’exposition, les organisations réduisent non seulement les coûts imprévus, mais freinent également l’émergence d’une nouvelle vague d’attaques automatisées à faible coût.