GoogleとMandiantがLLMJackingを報告：盗まれたクラウドトークンとAPIキーで、一部の事案では企業のモデル利用が1日10万ドル超の請求に
Google Threat Intelligence GroupとMandiantは2026年11月2日、露出または盗まれたクラウドのIDトークンや漏えいしたAPIキーを使い、攻撃者が企業の言語モデルへのアクセスを乗っ取るLLMJackingの報告書を公表しました。個別の事案で1日に10万ドルを超え、一部の組織で累計100万ドルに達したとされます。LiteLLMゲートウェイの脆弱性CVE-2026-40217、盗んだアクセスを転売するLLMミキサー、シークレット管理、最小権限、予算上限、ゲートウェイのパッチなどの防御策も述べています。数字は選ばれた事案のもので、Jet Nightが盗まれたキーに依存するというGTIGの見方は推論です。
2026年11月2日、Google Threat Intelligence GroupとMandiantは、組織の大規模言語モデルへのアクセスを乗っ取るLLMJackingに関する報告書を公表した。報告書によれば、Mandiantは2026年に、攻撃者がさまざまなクラウドとモデル提供者にまたがる企業のLLMアクセスを乗っ取った複数の事案に対応した。被害は北米、南米、アジア太平洋にあり、金融サービス、小売、テクノロジー、運輸の各分野だった。著者が述べているのは単一のキャンペーンではなく、複数の独立した調査から組み立てたパターンである。
中心は金銭だ。暗号資産のマイニングのようにリソースをゆっくり消費するのと違い、LLMJackingは数時間で不正なクラウド料金の急増を引き起こしうる。報告書は、個々の事案では不正料金が1日で10万ドルを超え、一部の組織ではアクセスが取り消されるまでに累計100万ドルに達したと述べる。これらはMandiantが扱った選ばれた事案の数字であり、平均でも業界全体の合計でもない。
初期侵入について、報告書は攻撃者がフロントエンドのチャット画面を迂回し、バックエンドのモデルリソースを直接狙うと述べる。公開されたままのLLMエンドポイントや有効なAPIキーを探す。複数の調査で最も多かった入口は、露出した、または盗まれたクラウドのIDトークンで、IAM認証情報、サービスアカウントキー、GitHubのパーソナルアクセストークン、有効なセッショントークンを含む。UNC6993として追跡されるクラスターは、2026年半ばに誤設定のサービスアカウントキーを使い、有効なアクセストークンを含む生のJSONを貼り付けさせる偽のポータルも運用して、パスワードと多要素認証を回避した。別の攻撃者は、公開GitHubリポジトリから企業のLLM APIキーを集め、max_tokensを1にした1トークンのリクエストで有効性を確認し、エンドポイント検知や使用量のアラートに引っかからないようにした。
侵入後、攻撃者はアクセスを広げて維持しようとした。報告書は、無許可のIAMアカウントやサービスアカウントの作成、管理者ポリシーの付与、コンピュートインスタンスへのSSHキーの注入を挙げる。LLMのルーティングソフトウェアへの攻撃も述べている。事前に検証済みの仮想キーを得た後続のクラスターが、LiteLLMゲートウェイの/key/regenerateエンドポイントにあるユーザーIDの再バインドの脆弱性（CVE-2026-40217）を突き、通常の仮想キーを完全なプロキシ管理者の認証情報に昇格させた。報告書は、ゲートウェイ自体を他の特権システムと同様にパッチ適用すべき対象として扱っている。
悪用の段階は、アクセスを金に変えることだ。攻撃者は侵害時には有効になっていなかったマネージドな生成AIサービスを有効にし、APIキーを追加で作成した。ある事例では、被害者のアカウントを従量課金プランに加入させ、短命なサービスアカウントを作っては捨てる「焼いて回す」方式で大量の推論を実行した。報告書は、盗んだアクセスをまとめ、計測し、地下の購読者に転売する違法なゲートウェイ「LLMミキサー」も説明している。Jet Nightというサービスは、8時間足らずで50万回超のAPI呼び出しを行い、約100万ドル近いトークン費用を被害者に転嫁した。GTIGは、通常100〜250ドルかかるモデルに対して月約60ドルの無制限プランを宣伝していること、キーの失効によると思われる障害を公表していることから、盗まれたキーに依存していると見ている。これらはGTIGの推論であり、証明された事実ではない。
防御側への助言は多層的だ。LLMサービスの無許可の有効化は、重大なセキュリティイベントとして扱う。いくつかの事案では、侵害時にサービスが無効だったからである。一元的なシークレット管理と自動のシークレットスキャン、必要でなければLLMサービスへのアクセスを拒否する最小権限、フィッシング耐性のある多要素認証、ネットワークの許可リスト、レート制限、きめ細かなAPIクォータと支出の上限、安価な汎用モデルと高額な最先端モデルを分けるキーのスコープを用いる。ゲートウェイとAPIのログで極小の検証リクエストを監視し、モデルゲートウェイを素早くパッチし、モデルの取得を審査済みレジストリに限る。報告書はまた、アカウントキーの作成やプロジェクトのSSHキー変更など、活動の一部を検知するGoogle Security Operationsのルール名も挙げている。
数字は慎重に読む必要がある。事案は一つの対応機関が見た選ばれた集合で、いくつかの帰属は著者の評価だ。GTIGが、LLMJackingは暗号資産マイニングより優先されるようになると見込むという展望も、予測である。実際にできることは安上がりだ。どのクラウドアカウントがモデルサービスを有効にできるかを今日確認し、厳格な予算上限を設け、モデルの新規有効化にアラートを出し、リポジトリに一度でも現れたAPIキーはすべてローテーションすることだ。
Sources
FAQ
LLMJackingは暗号資産マイニング型の乗っ取りとどう違いますか？
マイニング型は計算資源をゆっくり使いますが、LLMJackingは組織のモデルへのアクセスを乗っ取り、数時間で不正料金が急増しえます。報告書は、個別の事案で1日に10万ドルを超え、一部の組織で累計100万ドルに達したと述べますが、選ばれた事案の数字であり業界平均ではありません。
攻撃者は主にどう初期アクセスを得ますか？
報告書によれば最も多い入口は、露出または盗まれたクラウドのIDトークンで、IAM認証情報、サービスアカウントキー、GitHubのアクセストークン、セッショントークンを含みます。公開リポジトリからAPIキーを集め、max_tokensを1にしたリクエストで静かに確認した例もあり、公開されたモデルのエンドポイントも標的です。
組織がまず行うべきことは何ですか？
どのクラウドアカウントがモデルサービスを有効にできるかを確認し、厳格な予算上限と使用量クォータを設定し、新規のモデル有効化にアラートを出します。そのうえでフィッシング耐性のある多要素認証、シークレットスキャン、最小権限を導入し、リポジトリに現れたAPIキーを交換し、極小の検証リクエストを監視し、モデルゲートウェイを素早くパッチします。