LLMjacking: как хакеры крадут доступ к нейросетям и оставляют жертвам счета на миллионы

LLMjacking — так называют захват чужого доступа к платным нейросетям. Злоумышленник отправляет запросы по украденному API-ключу, а счёт за них получает владелец аккаунта. В феврале 2026 года у мексиканской компании из трёх человек украли ключ к Gemini: за двое суток, 11 и 12 февраля, счёт вырос с привычных $180 в месяц до $82 314, при прежнем темпе трат такую сумму фирма накопила бы за 38 лет. Другой случай связан с подпольным сервисом Jet Night: менее чем за восемь часов он отправил свыше 500 000 запросов по чужим ключам и оставил владельцу счёт почти на $1 млн. Впервые такие атаки описали исследователи Sysdig в мае 2024 года, а в 2026-м специалисты Google Threat Intelligence Group и Mandiant зафиксировали резкий рост инцидентов. Схема повторяет криптоджекинг, только вместо чужого железа злоумышленники тратят чужой бюджет на ИИ.

Что такое LLMjacking

LLMjacking — захват чужого доступа к коммерческим нейросетям. Злоумышленник шлёт запросы по украденному API-ключу, а счёт за обработку токенов приходит хозяину аккаунта. Облачные сервисы тарифицируют работу моделей в токенах и списывают деньги с владельца, не проверяя, кто именно отправил запрос: платформе достаточно корректной секретной строки.

Впервые такие атаки описали исследователи Sysdig в мае 2024 года. Термин LLMjacking уже внесён в базу MITRE ATT&CK. Сами модели — GPT, Gemini, Claude — взламывать не нужно: нейросеть продолжает работать как обычно, а платит за неё владелец украденного ключа.

Вывод: LLMjacking не ломает ИИ, а паразитирует на чужом облачном бюджете и остаётся незамеченным до самого счёта.

Сколько теряют жертвы: $82 тысячи за двое суток

В феврале 2026 года ключ к Gemini украли у небольшой компании-разработчика из Мексики. В команде три человека, на нейросеть фирма обычно тратила около $180 в месяц. За двое суток, 11 и 12 февраля, неизвестные отправили столько запросов, что счёт вырос до $82 314. В посте на Reddit пострадавший рассказал, что сотрудники платформы сослались на модель разделённой ответственности и дали понять: платить придётся. По его оценке, даже треть суммы обанкротит фирму из трёх человек.

Другой случай — подпольный сервис Jet Night, который обнаружили специалисты Mandiant. Он продавал доступ к передовым нейросетям через собственный сайт и рекламировал его в Telegram. «Безлимит» обходился клиентам примерно в $60 в месяц, заметно дешевле легальных подписок по $100–250. Менее чем за восемь часов сервис отправил свыше 500 000 запросов по чужим ключам, а владельцу достался счёт почти на $1 млн.

По данным Mandiant, у части организаций сумма ущерба достигала $1 млн, прежде чем злоумышленников удалось отрезать от аккаунта.

Чем это похоже на криптоджекинг

Криптоджекинг — скрытая добыча криптовалюты на чужих компьютерах и серверах. Вор не крадёт деньги напрямую, он запускает на взломанной машине майнер, а электричество и мощности оплачивает владелец. LLMjacking устроен по той же логике: атакующий пользуется чужой облачной инфраструктурой, а платит хозяин аккаунта.

В 2021 году команда кибербезопасности Google изучила 50 взломанных облачных аккаунтов: 86% из них использовались для скрытого майнинга. В 58% случаев, где удалось восстановить хронологию, майнер загружали в течение 22 секунд после взлома. Разница в том, что майнер приносит доход постепенно, а украденный доступ к нейросети перепродают сразу, поэтому счёт жертвы взлетает за считанные часы.

Скрытый майнинг при этом не исчез. В октябре 2026 года Check Point описала кампанию Yoba: на GitHub появились поддельные десктопные приложения ChatGPT и Claude со встроенным майнером Monero.

Откуда берутся чужие ключи

Угадывать ключ бессмысленно, это длинная строка случайных символов. Поэтому злоумышленники ищут готовые учётные данные там, где их оставили сами владельцы. Чаще всего атаки начинаются с утёкших или украденных реквизитов облачных аккаунтов и активных сессий.

• Публичные репозитории GitHub: разработчик вписывает секрет прямо в код, а скрипты злоумышленников автоматически просматривают открытые проекты.
• Утечки через сайты: ключ, вписанный в код страницы, может скопировать любой посетитель.
• Веб-архивы: в феврале 2025 года Truffle Security нашла в Common Crawl 11 908 действующих ключей и паролей, 63% из них повторялись на нескольких страницах.
• Бреши в серверах: в первом описанном случае LLMjacking атакующие взломали сайт на устаревшем Laravel (CVE-2021-3129), нашли учётные данные AWS и добрались до Claude в Amazon Bedrock.
• Мобильные приложения: по данным Anthropic, один злоумышленник скачал 1,8 млн установщиков для Android и извлёк из них учётные данные 471 типа.

Отдельная находка — ключи Google Maps. В феврале 2026 года Truffle Security насчитала 2863 «открытых» пропуска, которые при активации Gemini автоматически открывали доступ и к нейросети. Среди владельцев оказались крупные финансовые организации и сама Google. Устранять проблему корпорация начала лишь в мае–июне 2026 года.

Как краденый доступ превращают в бизнес

Сначала злоумышленник проверяет, действует ли ключ: задаёт модели короткий вопрос и ограничивает длину ответа одним токеном. Такая проба стоит доли цента, а системы безопасности реагируют на резкие всплески, поэтому скромный запрос остаётся незамеченным. Затем атакующие наращивают расходы: активируют ИИ-сервисы у компаний, которые ими не пользовались, создают дополнительные ключи и выбирают самые дорогие модели.

Доступ перепродают не напрямую, а через обратный прокси, скрывающий реквизиты жертвы. Крупные площадки объединяют десятки украденных ключей в общий пул. Google называет такие системы LLM-миксерами по аналогии с криптовалютными сервисами вроде Tornado Cash. Собирают их из открытых шлюзов new-api и gcli2api.

Цены на таких площадках заметно ниже легальных. На скриншоте Jet Night тарифы указаны в рублях: от 99 рублей ($1,2) за стартовый пакет до 4990 рублей ($61) за месяц безлимита. Новые модели появляются почти сразу: DeepSeek-R1 добавили в один из подпольных прокси уже на следующий день после релиза 20 января 2025 года. Через один прокси за 4,5 дня прошло 2,2 млрд токенов, по тарифам провайдеров это почти $50 000.

Клиенты ищут не только низкую цену, но и то, чего не дают легальные платформы: ролевые чаты, обход региональных ограничений, генерацию запрещённого контента. Sysdig в 2024 году изучила около 4800 запросов к украденным аккаунтам, примерно 95% из них приходились на общение с персонажами.

Как защититься от LLMjacking

Защита строится на том, чтобы украденный ключ давал злоумышленнику минимум возможностей, а владелец быстро замечал утечку. Эксперты Google Cloud советуют:

• задать квоты для каждой модели и жёсткий потолок расходов;
• держать ключи в хранилище секретов и менять их по расписанию;
• запретить ИИ-сервисы, которыми компания не пользуется, а их внезапную активацию считать инцидентом;
• выдавать каждому ключу минимум прав, доступ к одной модели и одному проекту;
• вести журналы обращений и следить за пробными запросами с ответом в один токен;
• включить двухфакторную защиту, устойчивую к фишингу, и обновлять шлюзы к моделям.

Часть мер теперь встроена в платформы. GitHub с февраля 2024 года по умолчанию блокирует отправку в публичные репозитории файлов с распознанными секретами. Жёсткий потолок расходов в Google Cloud появился в июле 2026 года, а с октября доступен всем клиентам для Gemini API, Gemini Enterprise Agent Platform и Cloud Run: при превышении лимит за считанные минуты блокирует дальнейшее оплачиваемое использование.

Вывод: большинство таких атак — следствие не сложного взлома, а оплошностей разработчиков. Потолок расходов, минимальные права и журналы обращений превращают счёт на $82 314 в простое оповещение о превышении лимита.

Источники: forklog.com, cloud.google.com, rambler.ru