Google und Mandiant beschreiben LLMJacking: Gestohlene Cloud-Token und API-Schlüssel führen in einigen Vorfällen zu Rechnungen von über 100.000 Dollar pro Tag

Am 2. November 2026 veröffentlichten die Google Threat Intelligence Group und Mandiant einen Bericht über LLMJacking, das Kapern des Zugangs einer Organisation zu großen Sprachmodellen. Der Bericht sagt, Mandiant habe 2026 auf mehrere Vorfälle reagiert, bei denen Angreifer den Zugang von Unternehmen zu Sprachmodellen bei verschiedenen Cloud- und Modellanbietern übernahmen. Die Betroffenen saßen in Nordamerika, Südamerika und im asiatisch-pazifischen Raum, in Finanzdienstleistung, Handel, Technologie und Transport. Die Autoren beschreiben ein Muster, keine einzelne Kampagne, zusammengesetzt aus mehreren getrennten Untersuchungen.

Das Geld steht im Mittelpunkt. Anders als der langsame Ressourcenverbrauch beim Cryptojacking kann LLMJacking innerhalb von Stunden einen Anstieg betrügerischer Cloud-Kosten verursachen. Der Bericht sagt, bei einzelnen Vorfällen hätten die betrügerischen Kosten an einem einzigen Tag 100.000 Dollar überschritten, und bei manchen Organisationen seien die kumulierten Kosten auf 1 Million Dollar gestiegen, bevor der Zugang gesperrt wurde. Das sind Zahlen aus ausgewählten Vorfällen, die Mandiant bearbeitete, kein Durchschnitt und keine Summe für die Branche.

Zum Erstzugang sagt der Bericht, Angreifer umgingen Chat-Oberflächen und zielten direkt auf Modellressourcen im Hintergrund. Sie suchten öffentlich erreichbare LLM-Endpunkte oder gültige API-Schlüssel. In mehreren Untersuchungen war der häufigste Weg hinein ein offengelegtes oder gestohlenes Cloud-Identitätstoken, darunter IAM-Zugangsdaten, Dienstkontoschlüssel, persönliche GitHub-Zugriffstoken und aktive Sitzungstoken. Ein als UNC6993 verfolgter Cluster nutzte Mitte 2026 einen falsch konfigurierten Dienstkontoschlüssel und betrieb außerdem ein gefälschtes Portal, das Nutzer aufforderte, eine rohe JSON-Nutzlast mit einem aktiven Zugriffstoken einzufügen, womit Passwörter und Mehrfaktor-Authentifizierung umgangen werden konnten. Ein anderer Akteur sammelte Unternehmens-API-Schlüssel für Sprachmodelle aus öffentlichen GitHub-Repositories und prüfte sie mit Ein-Token-Anfragen mit max_tokens gleich 1, damit Endpunkt-Erkennung und Volumenalarme nicht ansprachen.

Im Inneren versuchten die Akteure, den Zugriff auszuweiten und zu erhalten. Der Bericht beschreibt das Anlegen nicht autorisierter IAM- und Dienstkonten, das Zuweisen von Administratorrichtlinien und das Einschleusen von SSH-Schlüsseln in Compute-Instanzen. Er beschreibt auch einen Angriff auf Software zur Modellweiterleitung. Nachdem ein Folge-Cluster vorab validierte virtuelle Schlüssel erhalten hatte, nutzte er eine Schwachstelle zur Neuzuordnung der Benutzer-ID im Endpunkt /key/regenerate eines LiteLLM-Gateways, geführt als CVE-2026-40217, um gewöhnliche virtuelle Schlüssel zu vollständigen Proxy-Administrator-Zugangsdaten aufzuwerten. Der Bericht behandelt das Gateway selbst als privilegiertes System, das wie jedes andere gepatcht werden muss.

In der Missbrauchsphase geht es darum, Zugriff in Geld zu verwandeln. Die Akteure aktivierten verwaltete generative KI-Dienste, die zum Zeitpunkt der Kompromittierung nicht eingeschaltet waren, erzeugten weitere API-Schlüssel und buchten in einem Fall Opferkonten auf Pay-as-you-go-Tarife und betrieben Inferenz in großem Umfang nach einem Muster aus Verbrennen und Rotieren kurzlebiger Dienstkonten. Der Bericht beschreibt auch LLM-Mixer, illegale Gateways, die gestohlenen Zugang bündeln, messen und an Untergrund-Abonnenten weiterverkaufen. Ein Dienst namens Jet Night löste in weniger als acht Stunden mehr als 500.000 API-Aufrufe aus und gab fast 1 Million Dollar Token-Kosten an ein Opfer weiter. GTIG glaubt, dass er auf gestohlenen Schlüsseln beruht, weil er einen unbegrenzten Tarif für etwa 60 Dollar im Monat für Modelle bewirbt, die normalerweise 100 bis 250 Dollar kosten, und Ausfälle meldet, die vermutlich auf gesperrte Schlüssel folgen. Das sind Schlussfolgerungen von GTIG, keine bewiesenen Tatsachen.

Für Verteidiger gibt der Bericht gestaffelte Ratschläge. Jede nicht autorisierte Aktivierung eines LLM-Dienstes ist als kritisches Sicherheitsereignis zu behandeln, denn in mehreren Vorfällen war der Dienst zum Zeitpunkt der Kompromittierung ausgeschaltet. Empfohlen werden zentrale Geheimnisverwaltung und automatisches Scannen nach Geheimnissen, minimale Rechte mit Zugriffsverweigerung auf LLM-Dienste, soweit nicht nötig, phishing-resistente Mehrfaktor-Authentifizierung, Netzwerk-Zulassungslisten, Ratenbegrenzung, fein abgestufte API-Kontingente und Ausgabenlimits sowie Schlüsselbereiche, die günstige Hilfsmodelle von teuren Spitzenmodellen trennen. In Gateway- und API-Protokollen sollte man auf winzige Validierungsanfragen achten, Modell-Gateways rasch patchen und Modellabrufe auf geprüfte Register beschränken. Der Bericht nennt außerdem Regelnamen von Google Security Operations, etwa zur Erstellung von Kontoschlüsseln und zu Änderungen von Projekt-SSH-Schlüsseln, die Teile der Aktivität erkennen.

Die Zahlen sind mit Vorsicht zu lesen. Die Vorfälle sind eine ausgewählte Menge, die ein Einsatzteam sah, und mehrere Zuordnungen sind Einschätzungen der Autoren. Der Ausblick, GTIG erwarte, dass LLMJacking dem Cryptojacking vorgezogen wird, ist eine Prognose. Der praktische Schritt ist günstig: Bestätigen Sie noch heute, welche Cloud-Konten Modelldienste aktivieren dürfen, setzen Sie ein hartes Budgetlimit, lösen Sie bei jeder neuen Aktivierung eines Modells einen Alarm aus und rotieren Sie jeden API-Schlüssel, der jemals in einem Repository aufgetaucht ist.