雲端憑證遭竊成LLMJacking攻擊入口，企業AI模型資源被盜用牟利

Google旗下Mandiant公布2026年多起大型語言模型（LLM）資源遭盜用事件的調查結果，這類攻擊稱為LLMJacking。部分攻擊者利用遭竊的雲端存取憑證及API金鑰，未經授權大量使用企業的AI模型服務，部分受害企業因此單日產生超過10萬美元的雲端使用費用。

LLMJacking與過去駭客劫持雲端運算資源進行加密貨幣挖礦的手法類似。攻擊者也可能透過稱為LLM Mixers的非法代理服務，將遭盜用的企業AI模型存取能力轉售給第三方客戶，藉此牟利，相關模型使用費用卻由受害組織承擔。

根據Google威脅情報團隊（GTIG）調查，一起LLMJacking事件的攻擊者將遭竊的第三方API金鑰用於模型存取轉送服務Jet Night，在不到8小時內呼叫LLM API超過50萬次，讓受害組織承擔將近100萬美元的模型使用費用。在其他事件中，攻擊者則是在入侵企業雲端環境後，利用遭竊的存取金鑰，自行啟用受害企業原本未啟用的Amazon Bedrock、Gemini API等LLM服務，再大量使用模型資源。

圖片來源／Google

針對這類威脅，研究人員建議企業加強雲端身分與服務帳號的權限管理，並將LLM服務遭到未經授權啟用視為重要資安事件，同時監控API呼叫量與模型使用費用是否出現異常。企業也應設定適當的API使用配額與費用警示，確認已啟用相關稽核紀錄，以便及早發現模型資源遭到未經授權使用。