谷歌与Mandiant报告LLMJacking：被盗云令牌和API密钥让部分事件的企业模型访问产生单日超10万美元账单

2026年11月2日，谷歌威胁情报小组（GTIG）与Mandiant发布了一份关于LLMJacking的报告，也就是劫持一个组织访问大语言模型的权限。报告说，Mandiant在2026年处置了多起事件，攻击者在多种云和模型提供商之间接管了企业对大语言模型的访问。受害者分布在北美、南美和亚太，涉及金融服务、零售、科技和运输行业。作者描述的是一种模式，而不是单一的行动，它由几起独立调查拼合而成。

钱是核心问题。与加密货币挖矿式的缓慢占用资源不同，LLMJacking可以在几小时内造成欺诈性云费用的急剧飙升。报告说，在个别事件中，欺诈性费用在一天内超过10万美元，在部分组织里，累计费用在访问被撤销之前达到了100万美元。这些数字来自Mandiant处置的一些选定事件，既不是平均值，也不是整个行业的总和。

关于初始入侵，报告说攻击者绕开前端聊天界面，直接攻击后端的模型资源。他们寻找公开暴露的大语言模型端点，或者有效的API密钥。在多起调查中，最主要的入口是暴露或被盗的云身份令牌，包括IAM凭据、服务账号密钥、GitHub个人访问令牌和有效的会话令牌。其中一个被追踪为UNC6993的团伙，在2026年年中利用了一个配置错误的服务账号密钥，还搭建了一个假冒的门户页面，诱使用户粘贴包含有效访问令牌的原始JSON，这样就能绕过密码和多因素认证。另一名攻击者从公共GitHub仓库里收集企业的大语言模型API密钥，并用把max_tokens设为1的单令牌请求去验证，使端点检测和用量告警都没有触发。

进入之后，攻击者会设法扩大并保持访问权限。报告描述了创建未经授权的IAM账号和服务账号、附加管理员策略，以及向计算实例注入SSH密钥。报告还描述了针对大语言模型路由软件的攻击：拿到预先验证过的虚拟密钥后，后续的团伙利用LiteLLM网关/key/regenerate端点中一个用户ID重新绑定的漏洞（编号CVE-2026-40217），把普通虚拟密钥提升成完整的代理管理员凭据。报告把网关本身当作需要像其他特权系统一样打补丁的对象。

滥用阶段的目的是把访问权限变成钱。攻击者启用了被入侵时尚未打开的托管生成式人工智能服务，创建更多API密钥；在一个案例中，他们为受害者账号订阅按量付费方案，并采用“用完即弃、轮换”的短期服务账号模式运行大批量推理。报告还描述了“LLM Mixer”，也就是汇集、计量并向地下订阅者转售被盗访问权限的非法网关。其中一个名为Jet Night的服务，在不到八小时内发起了超过50万次API调用，并把接近100万美元的令牌费用转嫁给了一名受害者。GTIG认为它依赖被盗密钥，理由是它宣传每月约60美元的无限量套餐，而对应的模型正常要100到250美元，而且它公布的故障很可能是密钥被撤销所致。这些都是GTIG的推断，而不是已经证实的事实。

对防守方，报告给出了分层建议。把任何未经授权启用大语言模型服务的行为当作严重安全事件，因为在好几起事件里，服务在被入侵时是关闭的。使用集中的密钥管理和自动的密钥扫描，最小权限并默认禁止访问大语言模型服务，抗钓鱼的多因素认证，网络白名单，速率限制，细粒度的API配额和支出上限，以及把廉价的通用模型和昂贵的前沿模型区分开的密钥范围。监控网关和API日志里的微小验证请求，尽快给模型网关打补丁，并把模型拉取限制在经过审核的仓库。报告还列出了Google Security Operations中的规则名称，比如账号密钥创建和项目SSH密钥变更，可以检测这类活动的一部分。

阅读这些数字时要小心。这些事件是由一个应急响应方看到的选定样本，部分归因是作者的判断。报告的展望，即GTIG预计LLMJacking将比加密货币挖矿更受重视，也只是预测。实际可做的事情成本很低：今天就确认哪些云账号可以启用模型服务，设置硬性预算上限，并对任何新启用模型服务的行为发出告警，同时轮换一切曾在代码仓库里出现过的API密钥。