Хакеры используют корпоративный ИИ за чужой счёт: Google сообщает о потерях до $1 млн

Исследователи Google Threat Intelligence Group и Mandiant описали схему под названием LLMjacking — кражу вычислительных ресурсов языковых моделей. Преступники получают чужой API-ключ или токен доступа, отправляют запросы к дорогостоящим моделям, а счета приходят настоящему владельцу. В отличие от скрытого майнинга криптовалют, который постепенно расходует мощности компьютера, здесь огромные долги накапливаются за считаные часы.

По данным Google, от таких атак уже пострадали компании в Северной и Южной Америке, а также Азиатско-Тихоокеанском регионе. Среди жертв — организации из финансовой сферы, торговли, технологического сектора и транспорта.

Чаще всего злоумышленникам даже не приходится взламывать сами языковые модели. Достаточно найти действующий ключ доступа. Его можно украсть через поддельную страницу входа, обнаружить в открытом репозитории GitHub или получить из неправильно настроенной облачной системы. В ход идут и корпоративные учётные записи, и токены разработчиков, которые дают доступ к закрытым проектам.

Google приводит пример группировки UNC6993. Преступники воспользовались ошибкой в настройках служебной учётной записи и проникли в облачную инфраструктуру компании. Затем создали поддельный портал для пользователей ИИ и предложили посетителям скопировать туда данные активной сессии из настоящего сервиса. Так они получали действующие токены и обходили защиту паролем и двухфакторную проверку. Создав дополнительные API-ключи, группировка накопила более $100 000 расходов в облачном проекте жертвы.

Получив доступ, хакеры ищут новые ключи в исходном коде, журналах работы систем и базах данных. Они расширяют свои права, создают скрытые служебные учётные записи и закрепляются в инфраструктуре, чтобы первоначальная блокировка не остановила атаку. Иногда злоумышленники постоянно создают и удаляют временные аккаунты, обходя ограничения на количество запросов. Исследователи также зафиксировали попытки использовать уязвимость CVE-2026-40217 в LiteLLM — программе для маршрутизации запросов к языковым моделям.

Но украденные вычислительные мощности нужны преступникам не только для собственных задач. Вокруг них уже сложился теневой рынок. Появились посредники, которых исследователи называют LLM Mixers: они собирают доступ к чужим ИИ-аккаунтам, пропускают запросы клиентов через свои серверы и продают эту услугу. Например, сервис Jet Night обещает безлимитный доступ к одной из передовых языковых моделей примерно за $60 в месяц. Расходы при этом несут взломанные компании, пока не обнаружат постороннюю активность.

Другую схему обнаружили специалисты Symantec и Carbon Black, входящих в Broadcom. По их данным, как минимум с начала 2026 года действует посреднический сервис, который использует настоящие инструменты разработки OpenAI Codex и Anthropic Claude Code, но незаметно для корпоративной системы меняет способ их работы. Исследователи связывают его с примерно дюжиной организаций в материковом Китае, а также с подразделениями международных компаний в Южной Корее, Тайване и Малайзии. Среди затронутых отраслей — промышленная автоматизация, электроника, производство полупроводников, фармацевтика, судоходство и центры обработки данных.

Сами программы при этом не подделывают. Пользователь устанавливает официальный Codex или Claude Code, а затем по инструкции посредника запускает дополнительный сценарий настройки. Тот направляет запросы через сторонние серверы, подменяет учётные данные и отключает защитные механизмы. Например, Codex переводится в режим danger-full-access, который снимает ограничения на выполнение команд. Одновременно отключаются отправка диагностических данных и сообщений об ошибках.

По версии исследователей, такой услугой могут пользоваться сотрудники компаний из стран, где западные ИИ-сервисы официально недоступны. Они обращаются к неофициальным посредникам, чтобы получить доступ к инструментам разработки. При этом доказательств того, что операторы сервиса крадут пользовательские запросы или подменяют ответы моделей, пока нет. Но сама возможность направлять корпоративные данные через чужие серверы и отключать защиту создаёт серьёзные риски.

Google ожидает, что подобных атак станет больше. Компании всё активнее внедряют дорогие языковые модели и автономных ИИ-агентов, а преступники получают возможность быстро перепродавать украденные ресурсы. Поэтому их интерес смещается от скрытого майнинга к поиску открытых API-ключей, краже облачных учётных записей и взлому программ, которые управляют запросами к ИИ.