Хакеры выставили жертвам счета на $1 млн за использование их ИИ-ключей

Злоумышленники находят открытые интерфейсы нейросетей, воруют API-ключи, токены GitHub и ключи сервисных аккаунтов, после чего массово обращаются к дорогостоящим моделям за чужой счёт. Иногда для компрометации достаточно найти секрет в публичном репозитории. В одном из эпизодов за восемь часов преступник отправил свыше полумиллиона запросов.

Украденные учётные данные поступают к посредникам — так называемым LLM Mixers. Эти площадки объединяют скомпрометированные ключи в пулы и продают доступ подписчикам по сниженной цене. Например, сервис Jet Night предлагал безлимитную подписку примерно за $60 в месяц. Запросы идут через промежуточные серверы, а токены списываются со счетов реальных владельцев. По оценке Google, одна из пострадавших организаций только через Jet Night могла потерять почти миллион долларов.

Группировка UNC6993 использовала ключ сервисной учётной записи, настроенный с ошибками, чтобы получить доступ к API нейросетей и попытаться создать дополнительные ключи. Зафиксированы и другие приёмы: хакеры исследуют внутренние репозитории жертв, ищут пароли в базах данных, заводят скрытые учётные записи и добавляют SSH-ключи для закрепления. Для скрытой проверки украденных ключей применяются запросы с параметром max_tokens=1 — успешный ответ подтверждает работоспособность ключа и не привлекает внимания служб мониторинга.

Чем схема LLMJacking опасна для российских компаний

Облачные ИИ-сервисы и шлюзы вроде LiteLLM всё чаще используются в конвейерах разработки, где секреты могут оказаться в коде, логах или незащищённых репозиториях. Даже разовая утечка ключа тестового контура способна за сутки опустошить бюджет, если не настроены лимиты потребления. Эксплуатация CVE-2026-40217 в LiteLLM напоминает, что шлюзы, через которые компании подключаются к большим языковым моделям, требуют такого же жёсткого контроля, как и конечные API-эндпоинты.

Как защититься от кражи ключей к ИИ-сервисам

Google рекомендует ограничивать права сервисных аккаунтов, регулярно менять ключи доступа и отслеживать необычные обращения к моделям. Важно выявлять проверочные запросы минимального размера, которые злоумышленники используют для тестирования ключей. Также необходимо настраивать ограничения расходов на ИИ-сервисы и следить за внезапным включением функций, которые ранее не использовались. Дополнительно стоит провести ревизию секретов в репозиториях и убедиться, что шлюзы доступа обновлены до версий, в которых CVE-2026-40217 уже закрыта.