Googles Mandiant-Team hat am Montag einen Bericht über eine Masche veröffentlicht, die seit zwei Jahren wächst und inzwischen richtig teuer wird: Angreifer übernehmen den LLM-Zugang eines Unternehmens und verbrauchen dessen Rechenleistung auf dessen Rechnung. Die Branche nennt das LLMjacking.
Was Google beobachtet hat
Die unberechtigten Verbrauchskosten können nach dem Bericht 100.000 Dollar am Tag übersteigen. Bei einigen Organisationen war die Summe bei einer Million angekommen, bevor jemand den Zugang der Eindringlinge gesperrt hat.
Ein von Google als UNC6993 geführter Akteur kam an LLM-API-Schlüssel, erzeugte damit weitere Schlüssel und schaltete in den Cloud-Projekten des Opfers zusätzliche Dienste frei. Rechnung: 100.000 Dollar. Ein anderer Täter buchte Opferkonten in Pay-as-you-go-Verträge, wählte die teuren Spitzenmodelle, startete Inferenz in großem Umfang und arbeitete mit einer Strategie aus kurzlebigen Dienstkonten, die er anlegte und wieder löschte, um Rate-Limits zu umgehen. Die Abrechnungsoberfläche des Opfers hat er dabei mitgelesen, um zu sehen, wie viel Schaden entsteht.
Jet Night verkauft, was andere bezahlen
Der interessanteste Fall ist ein Weiterverkäufer. In weniger als acht Stunden liefen über 500.000 LLM-API-Aufrufe über gestohlene Fremdschlüssel, und zwar für einen Token-Router namens Jet Night. Der verkauft einen unbegrenzten Token-Tarif für rund 60 Dollar im Monat mit angeblichem Zugang zu Spitzenmodellen. Marktüblich wären 100 bis 250. Google schließt daraus, dass der Dienst ohne gestohlene Schlüssel nicht rentabel wäre, und verweist auf Jet Nights eigenen Telegram-Kanal: Dort werden regelmäßig Ausfälle eingeräumt, wahrscheinlich immer dann, wenn ein Opfer seine Schlüssel widerruft.
Die Masche mit dem JSON-Payload
In einem Fall aus der Mitte des Jahres übernahm UNC6993 eine Cloud-Instanz über einen falsch konfigurierten Dienstkonto-Schlüssel und verschaffte sich darüber Zugriff auf eine Modell-API. Dazu kam eine gefälschte Seite, die wie ein Anmeldeportal für eine LLM-Nutzergruppe aussah. Sie brachte Nutzer dazu, auf der echten Website des Dienstes ihren rohen JSON-Payload mit aktivem Access-Token zu kopieren und dort einzufügen. Passwort und MFA sind damit umgangen, ohne dass jemand ein Passwort verrät.
Arbeitsteilung wie im Ransomware-Geschäft
Google sieht inzwischen eine klare Rollenteilung: Die eine Seite beschafft den Erstzugang zu Cloud- und KI-Diensten, die andere betreibt die Monetarisierung. Für Letztere hat sich der Begriff LLM Mixer eingebürgert. Die Prognose der Analysten: LLMjacking wird anderen Formen von Ressourcendiebstahl wie Cryptojacking den Rang ablaufen.
Der Schlüssel im Repository ist die ganze Geschichte
Googles Empfehlungen lesen sich unspektakulär: Identitäts- und Zugriffsverwaltung, Lieferkette, ein zentrales Secrets-Management mit Rotation, minimale Rechte für Nutzer und Dienstkonten, automatisches Scannen des Codebestands nach Schlüsseln.
Unspektakulär ist aber genau der Punkt. Keiner der Fälle im Bericht beginnt mit einer Lücke im Modell. Sie beginnen mit einem Schlüssel, der an der falschen Stelle lag, und mit einem Dienstkonto, das mehr durfte als nötig. Was neu ist, ist nicht der Angriffsweg, sondern der Preis: Ein vergessener Schlüssel kostete früher ein paar hundert Dollar Cloud-Rechenzeit. Heute kostet er sechsstellig, und zwar pro Tag.