LLMjacking : Mandiant chiffre le coût des modèles cloud détournés

Le Google Threat Intelligence Group (GTIG) et Mandiant ont publié le 2 novembre un rapport qui met un prix sur le LLMjacking — le détournement d'accès aux modèles d'IA hébergés via des identifiants cloud volés. Le rapport primaire est l'« authority » ici ; la reprise FR d'UnderNews en donne l'essentiel. Si vous opérez des charges IA sur AWS, GCP ou Azure, le message est opérationnel : une clé qui fuit ne coûte plus quelques dollars de calcul, elle coûte six chiffres en quelques heures.

Ce que le rapport démontre

GTIG documente un écosystème structuré, avec division du travail entre les acteurs d'accès initial et les opérateurs de monétisation. Les chiffres cités, verbatim :

• Facturation frauduleuse dépassant « 100 000 $ US en une seule journée » sur des incidents individuels.
• Jusqu'à « 1 million de dollars US avant révocation des accès » en cumulé chez certaines organisations.
• GTIG attribue à l'acteur UNC6993 plus de 100 000 $ de charges accumulées, et à l'acteur Jet Night près d'un million de dollars de coûts de tokens refacturés à une victime.
• Un acteur a passé plus de 500 000 appels API LLM en moins de huit heures.
• Jet Night revendait un « forfait tokens illimité pour environ 60 $ US par mois », contre 100 à 250 $ pour un service grand public équivalent (comparaison GTIG).

Contrairement au cryptojacking, qui grignote le calcul lentement, le LLMjacking produit des pics de facturation « en quelques heures ».

Comment ils entrent et encaissent

Le vecteur d'accès initial dominant, selon GTIG : les identifiants cloud exposés ou volés — clés IAM, clés de comptes de service, Personal Access Tokens GitHub, jetons de session actifs. Un acteur a « moissonné opportunistement des clés API LLM d'entreprise exposées dans des dépôts GitHub publics ». UNC6993 a utilisé un faux portail applicatif pour faire coller aux utilisateurs un jeton d'accès actif, contournant mot de passe et MFA. Les clés volées sont validées par des requêtes max_tokens=1 pour rester sous les seuils d'alerte EDR/SIEM.

Côté monétisation, la technique « burn and rotate » crée et supprime en continu des comptes de service éphémères pour contourner les limites de débit. Les clés sont ensuite agrégées dans des « LLM Mixers » — des passerelles proxy illicites qui revendent l'accès à prix cassé, via des outils open source comme new-api et gcli2api.

Le rapport cite aussi une escalade de privilèges applicative : CVE-2026-40217, un défaut de ré-association d'identifiant dans l'endpoint /key/regenerate de LiteLLM, permet de transformer une clé virtuelle standard en PROXY_ADMIN.

Indicateurs

IOCs publiés par GTIG (Table 1), défangés :

jet-night[.]com     # LLM Mixer
newapi[.]pro        # LLM Mixer

Des indicateurs supplémentaires sont réservés aux utilisateurs enregistrés via une collection GTI.

Que faire

1. Traitez toute activation non autorisée d'un service LLM comme un incident critique. Dans plusieurs cas, le service n'était pas activé avant la compromission.
2. Gérez les secrets au centre et faites tourner les clés automatiquement pour limiter la durée de vie d'un identifiant fuité ; automatisez le scan de secrets sur GitHub/GitLab.
3. Scopez chaque clé API par modèle, par environnement (dev/prod) et par limite d'usage ; posez des plafonds de dépense et des quotas granulaires.
4. MFA résistant au phishing sur les IdP, consoles et plateformes de développement.
5. Surveillez les journaux d'accès natifs — sur GCP, les Data Access logs sont désactivés par défaut et doivent être activés à la main. Alertez sur les requêtes anormales à faible volume (max_tokens=1), et patchez les passerelles comme LiteLLM (CVE-2026-40217).

Limites

Le rapport ne nomme aucune victime et reste prudent sur l'attribution : UNC et noms de clusters (UNC6993, Jet Night, D1337-KAIROS), pas d'accusation formelle. Les montants sont tirés d'enquêtes « récentes » sans date précise, et la plupart des IOCs à forte valeur sont derrière l'accès GTI. C'est une cartographie d'écosystème solide, pas une liste de courses prête à l'emploi — mais le signal pour les équipes est clair : la facturation cloud est désormais une surface d'attaque à monitorer comme les autres.