Google과 Mandiant, LLMJacking 보고: 도난된 클라우드 토큰과 API 키로 일부 사건에서 기업 모델 접근이 하루 10만 달러 넘는 청구로

2026년 11월 2일 Google Threat Intelligence Group과 Mandiant는 조직의 대규모 언어 모델 접근권을 가로채는 LLMJacking에 대한 보고서를 발표했다. 보고서에 따르면 Mandiant는 2026년에 공격자가 여러 클라우드와 모델 제공자에 걸쳐 기업의 LLM 접근권을 탈취한 여러 사건에 대응했다. 피해자는 북미, 남미, 아시아·태평양에 있었고 금융 서비스, 소매, 기술, 운송 분야였다. 저자들이 설명하는 것은 단일 캠페인이 아니라 여러 개의 독립된 조사에서 조합한 패턴이다.

핵심은 돈이다. 암호화폐 채굴처럼 자원을 천천히 쓰는 것과 달리, LLMJacking은 몇 시간 만에 부정한 클라우드 요금이 급증하게 만들 수 있다. 보고서는 개별 사건에서 부정 요금이 하루에 10만 달러를 넘었고, 일부 조직에서는 접근이 취소되기 전까지 누적 요금이 100만 달러에 이르렀다고 말한다. 이는 Mandiant가 다룬 선별된 사건의 수치이며 평균도 업계 전체의 합계도 아니다.

초기 침투에 대해 보고서는 공격자가 프런트엔드 채팅 화면을 우회해 백엔드 모델 자원을 직접 노린다고 말한다. 공개적으로 노출된 LLM 엔드포인트나 유효한 API 키를 찾는다. 여러 조사에서 가장 흔한 진입로는 노출되거나 도난당한 클라우드 ID 토큰으로, IAM 자격 증명, 서비스 계정 키, GitHub 개인 액세스 토큰, 활성 세션 토큰이 포함되었다. UNC6993으로 추적되는 군집은 2026년 중반에 잘못 구성된 서비스 계정 키를 이용했고, 활성 액세스 토큰이 담긴 원본 JSON을 붙여넣게 하는 가짜 포털도 운영해 비밀번호와 다중 인증을 우회했다. 또 다른 공격자는 공개 GitHub 저장소에서 기업의 LLM API 키를 수집하고, max_tokens를 1로 둔 단일 토큰 요청으로 유효성을 확인해 엔드포인트 탐지와 사용량 경보에 걸리지 않게 했다.

침투 뒤 공격자들은 접근을 넓히고 유지하려 했다. 보고서는 무단 IAM 계정과 서비스 계정의 생성, 관리자 정책 부여, 컴퓨트 인스턴스에 SSH 키 주입을 설명한다. LLM 라우팅 소프트웨어에 대한 공격도 설명한다. 사전 검증된 가상 키를 얻은 후속 군집이 LiteLLM 게이트웨이의 /key/regenerate 엔드포인트에 있는 사용자 ID 재바인딩 취약점(CVE-2026-40217)을 이용해, 평범한 가상 키를 완전한 프록시 관리자 자격 증명으로 끌어올렸다. 보고서는 게이트웨이 자체를 다른 특권 시스템처럼 패치해야 할 대상으로 본다.

악용 단계는 접근권을 돈으로 바꾸는 일이다. 공격자는 침해 당시에는 켜져 있지 않던 관리형 생성형 AI 서비스를 활성화하고 API 키를 더 만들었으며, 한 사례에서는 피해자 계정을 종량제 요금제에 가입시키고 수명이 짧은 서비스 계정을 만들고 버리는 방식으로 대량 추론을 돌렸다. 보고서는 훔친 접근권을 모아 계량하고 지하 구독자에게 되파는 불법 게이트웨이인 ‘LLM 믹서’도 설명한다. Jet Night라는 서비스는 8시간이 안 되는 사이 API를 50만 번 넘게 호출했고 거의 100만 달러에 가까운 토큰 비용을 한 피해자에게 떠넘겼다. GTIG는 보통 월 100~250달러가 드는 모델을 월 약 60달러의 무제한 요금제로 광고하고, 키가 폐기된 뒤로 보이는 장애를 공지한다는 점에서 이 서비스가 도난된 키에 의존한다고 본다. 이는 GTIG의 추론이며 입증된 사실이 아니다.

방어자를 위해 보고서는 여러 겹의 조언을 준다. 허가 없이 LLM 서비스를 활성화하는 행위는 심각한 보안 사건으로 다뤄야 한다. 여러 사건에서 침해 당시 서비스가 꺼져 있었기 때문이다. 중앙 집중식 비밀 관리와 자동 비밀 스캔, 필요하지 않으면 LLM 서비스 접근을 거부하는 최소 권한, 피싱에 강한 다중 인증, 네트워크 허용 목록, 속도 제한, 세분화된 API 할당량과 지출 한도, 저렴한 범용 모델과 비싼 최전선 모델을 구분하는 키 범위를 쓰라고 한다. 게이트웨이와 API 로그에서 아주 작은 검증 요청을 감시하고, 모델 게이트웨이를 빠르게 패치하고, 모델 내려받기는 검증된 레지스트리로 제한한다. 보고서는 계정 키 생성과 프로젝트 SSH 키 변경처럼 활동의 일부를 탐지하는 Google Security Operations 규칙 이름도 나열한다.

숫자는 조심스럽게 읽어야 한다. 사건은 한 대응 기관이 본 선별된 집합이고, 일부 귀속은 저자들의 평가이다. GTIG가 LLMJacking이 암호화폐 채굴보다 우선시될 것으로 본다는 전망도 예측이다. 실제로 할 수 있는 일은 비용이 적다. 오늘 어떤 클라우드 계정이 모델 서비스를 활성화할 수 있는지 확인하고, 엄격한 예산 한도를 두고, 새 모델 활성화마다 경보를 걸고, 저장소에 한 번이라도 나타난 API 키는 모두 교체하는 것이다.