Mandiant披露LLMJacking攻击：被盗AI API密钥单日致企业损失超10万美元

阻止攻击、降低风险、推进安全防护。 撰写人：Christopher Romano、Codi Starks、Garrett Mahoney、John Wolfram、Josh Murchie、K Singh、Mathew Potaczek、Mike Lombardi、Rik Dolfing

Mandiant 在 2026 年响应了多起事件，其中威胁行为者劫持了企业对大型语言模型（LLM）的访问权限，这种手法被称为“LLMJacking”。这些入侵横跨多家云和 LLM 提供商，影响了北美、南美和亚太地区金融服务、零售、科技和交通运输行业的组织。

与加密货币挖矿相关的渐进式资源消耗不同，LLMJacking 可以在数小时内造成欺诈性云费用的巨大峰值。在个别事件中，我们观察到单日资源消耗相关的欺诈性费用超过 100,000 美元，部分组织在访问权限被撤销前累计费用达到 100 万美元。

图 1：使用图表显示 LLMJacking 导致 API 请求出现峰值

通过分析这些一线入侵背后的犯罪生态系统，并在此前关于 LLM 凭据地下市场日益增长的报告基础上，Google Threat Intelligence Group（GTIG）已识别出多个地区运营的、以经济动机为导向的多样化威胁集群。

在本博客文章中，我们描述了近期 LLMJacking 调查中观察到的攻击生命周期，并提供可操作的检测、加固和修复指南，帮助组织保护其基础设施。

虽然低级别的资源窃取涉及操纵客户支持聊天机器人来执行代码生成等未授权任务，但实施 LLMJacking 的威胁行为者绕过这些前端界面，直接针对后端模型资源。具体而言，他们专注于识别公开暴露的 LLM 端点或获取有效的 LLM 应用程序编程接口（API）密钥。后者的一个例子见图 1，其中威胁行为者使用自动化脚本通过调用 /api/create 端点来验证暴露情况，在毫无戒心的用户遗留为公开可访问的端点上独立运行自己的模型。这些服务未受保护不仅扩大了组织的传统攻击面，还可能导致托管成本显著增加。

图 2：威胁行为者测试公开暴露的 Ollama 端点并尝试注册自己的模型

然而，在多起 LLMJacking 调查中，主要的初始访问途径是暴露或窃取的云身份令牌——包括 IAM 凭据、服务账户密钥、GitHub 个人访问令牌（PAT）和活跃会话令牌——威胁行为者利用这些令牌建立对目标组织基础设施的初始立足点。

例如，在 2026 年中，UNC6993 通过配置错误的服务账户密钥入侵了一个云实例，并利用该访问权限进一步获取了对 LLM API 的访问。UNC6993 还托管了一个伪装成应用程序门户的会话劫持页面，以加入 LLM 用户群体。该页面诱骗用户导航到合法的 LLM 服务网站，并粘贴包含活跃访问令牌的原始 JSON 载荷，该载荷随后被发送到后端 API，以绕过密码和多因素认证（MFA）控制。

在另一起事件中，一名威胁行为者通过结合使用窃取的个人访问令牌（PAT）访问私有代码仓库，以及利用容器化云环境中运行的软件包中疑似的 Web 应用程序漏洞，获得了初始入口。类似地，另一名威胁行为者利用了企业用户被入侵的 IAM 凭据，使用云联合令牌以编程方式生成新的访问密钥，从而规避 MFA 要求。在另一起独立事件中，首次观察到一名威胁行为者使用具有广泛项目权限的被入侵云服务账户密钥访问环境。

除了通用云身份凭据外，威胁行为者还针对 LLM API 密钥。例如，一名威胁行为者机会主义地从公共 GitHub 仓库收集了暴露的企业 LLM API 密钥。该组织展示了高级规避战术，使用最小单令牌请求（max_tokens=1）进行自动化凭据验证扫描。这使得威胁行为者能够隐蔽地确认窃取密钥的可用性，同时不被受害者的端点检测与响应（EDR）和 SIEM 流量异常告警发现。

在获得初始立足点后，威胁行为者系统性地努力提升权限、巩固访问权限，并进行内部侦察以识别目标和进一步的云凭据。

为扩大访问权限，威胁行为者枚举云服务、代码仓库和数据存储以寻找敏感凭据。在一次入侵中，一名威胁行为者在多个云区域进行内部侦察，以绘制可用服务和身份策略。在另一起独立入侵中，一名威胁行为者入侵了一个容器化云环境。进入后，他们进行了广泛的仓库侦察，克隆敏感代码库以搜索硬编码密钥、配置变量和开发者凭据。他们还扫描访问日志以识别次要云环境的凭据。威胁行为者还执行针对性的数据库查询以收集更多凭据；在一起案例中，威胁行为者查询云数据仓库元数据表以搜索数据库凭据、管理员密码和敏感列，同时执行与目标数据窃取相关的云对象存储操作。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）