Хакеры выставляют счёт за чужой ИИ

Киберпреступники всё чаще используют большие языковые модели (LLM) почти на каждом этапе атак: ищут жертв, создают вредоносные программы и автоматизируют взломы. Но передовые модели стоят денег. У хакеров нашёлся привычный способ решить проблему: платить чужими средствами.

По данным Google Threat Intelligence Group (GTIG), за последние пару лет набирает распространение LLMjacking — захват чужого доступа к языковым моделям и облачным ресурсам, чтобы использовать их для себя и переложить расходы на владельца аккаунта.

Злоумышленники начинают с поиска открытых в интернете точек доступа к LLM или действующих ключей API — программных ключей, позволяющих приложениям обращаться к модели. Для проникновения в инфраструктуру компаний они также используют утёкшие или украденные облачные учётные данные: токены IAM (системы управления доступом), ключи сервисных аккаунтов, персональные токены GitHub и активные токены сессий.

Получив доступ, преступники стараются расширить свои права, закрепиться в системе и найти новые цели. Затем они превращают чужие модели и вычислительные ресурсы в источник дохода. GTIG описывает LLMjacking как монетизацию и захват ресурсов базовых моделей с помощью перенаправления запросов через прокси, автоматизированной потоковой генерации и аренды вычислительных мощностей GPU — графических процессоров, используемых для работы ИИ.

Расходы могут расти с пугающей скоростью. При криптоджекинге — тайном использовании чужих компьютеров для добычи криптовалюты — затраты обычно накапливаются постепенно. В случае LLMjacking счёт способен превысить 100 тысяч долларов всего за шесть минут.

Google приводит пример группы UNC6993: получив ключи API для LLM, она попыталась создать дополнительные ключи и включить связанные сервисы в облачных проектах жертвы. В результате начисления быстро превысили 100 тысяч долларов.

Другой злоумышленник подключил аккаунты жертв к тарифу Pay-As-You-Go, то есть с оплатой по фактическому использованию, выбрал дорогие базовые модели и запустил поток запросов большого объёма. Чтобы обойти ограничения на частоту обращений, он применял тактику «сжечь и сменить»: постоянно создавал и удалял временные сервисные аккаунты, параллельно проверяя в облачной панели, как растут расходы.

Некоторые преступники используют украденный доступ не только для генерации текста, но и для запуска собственных прокси и автономных ИИ-систем. По данным Google, один из операторов включал ИИ-агентов, размещал общедоступные обратные прокси и применял собственные наборы прокси-кода на Node.js. Через них он предоставлял доступ к нескольким передовым моделям под именем D1337-KAIROS. В его инфраструктуре также обнаружили бэкдор в контейнере: он обращался к внешней LLM, получал от неё инструкции и выполнял команды на заражённой машине.

Рынок LLMjacking пока молод, но быстро развивается и разделяется на специализации. Одни группы получают первоначальный доступ к системам компаний, другие занимаются перепродажей похищенных возможностей. Последних называют «LLM-миксерами»: они создают шлюзы, которые перенаправляют и объединяют доступ к моделям, а затем продают его клиентам подпольного рынка.

В одном расследовании GTIG выявила две отдельные группы операторов, координировавшие взлом и получение прибыли от корпоративной инфраструктуры LLM. Используя открытые программные шлюзы API и собственные системы перенаправления запросов, преступники объединяли украденные учётные данные, учитывали расход ресурсов и скрывали настоящее происхождение запросов.

Google предупреждает, что преступники, вероятно, будут всё чаще переключаться на LLMjacking вместо других способов кражи вычислительных ресурсов. Компания советует организациям внимательнее следить за платформами ИИ, обнаруживать любые изменения в настройках аккаунтов и сервисов LLM и считать несанкционированное подключение критическим инцидентом. Также рекомендуется соблюдать принцип минимальных привилегий: выдавать пользователям и сервисным аккаунтам только те права, которые действительно нужны для работы.