一家企业的云账单，一天之内多出 10万美元 。不是业务暴涨，是有人拿着偷来的钥匙，在后台疯狂调用大模型。 谷歌旗下Mandiant与谷歌威胁情报组（GTIG）发布报告《LLMJacking的崛起：威胁行为者如何变现被入侵的云与模型资源》，梳理了今年响应的多起LLMjacking案例。部分机构在被切断访问前，累计账单已经冲到 100万美元 。 和过去偷云算力的挖矿劫持不同，挖矿是慢慢抽血，LLMjacking的账单可以在几个小时内陡然拉起。 受害方分布在北美、南美和亚太，行业覆盖金融服务、零售、科技和运输。GTIG把这些入侵归到多个以牟利为目的的团伙头上，并观察到一条正在分化的链条：负责破门的人和负责转卖访问权的人，已经不是同一拨。 钥匙是怎么丢的 多数调查里，攻击者的入口是失窃或暴露的云身份凭证，包括服务账号密钥和GitHub个人访问令牌。另一类入口是直接暴露在互联网上的LLM端点，比如没有设防的Ollama服务器。 一个被追踪为UNC6993的团伙，靠配置错误的服务账号密钥进入云实例，再以此为跳板摸到LLM的API。它架设的假门户伪装成某类LLM用户的注册页，访客被引导到真实的LLM服务，并被要求回贴一段包含有效访问令牌的原始JSON数据。拿到这个令牌，密码和多因素认证都不再是障碍。 另一个攻击者从公开的GitHub仓库里扒LLM API密钥，然后逐个测试，每次请求只要求输出一个token。请求小到这种程度，正好从受害方安全监控工具基于流量体积的告警下面溜过去。 路由软件同样被盯上。在一起案例中，后续团伙从已建立访问权的那组人手里拿到预验证的虚拟密钥，再利用LiteLLM密钥重生成端点里的用户ID重绑定漏洞。这个编号CVE-2026-40217的漏洞，能把普通虚拟密钥变成受害者网关的主管理员凭证。 偷来的额度怎么花 有的访问权被直接烧掉。UNC6993尝试在受害者的云项目里生成更多API密钥、开启额外服务，账单很快越过10万美元。另一个攻击者用受害者账号签下高端模型的按量付费协议，为了绕开速率限制，采用GTIG所称的“烧掉再轮换”策略，不断创建和删除短命的服务账号。 还有更进一步的做法：植入基于Manus智能体框架的容器化后门，让上游模型推理指令，再在被入侵主机上执行得出的命令。 剩下的访问权则流向GTIG所说的“LLM混合器”。这类操作把偷来的凭证塞进开源API网关和自定义中继，让用量可以被计量，同时隐藏每个请求的来源。UNC6993使用了new-api和gcli2api等工具，很可能用于归集偷来的密钥，GTIG认为该团伙通过地下店铺对外出售访问权。 Jet Night就是其中一个混合器，做的是令牌路由生意。一个在不到八小时内发起超过 50万次 LLM API调用的攻击者，正是用偷来的第三方密钥驱动它，一家受害机构因此背上近100万美元的token成本。 Jet Night卖的是号称可访问前沿模型的无限量套餐，价格约每月 60美元 。同类消费者套餐通常在100到250美元之间，GTIG判断低到这个程度的价格只有靠偷来的密钥才成立。该服务在Telegram频道上公告的宕机，很可能就是受害者发现入侵并吊销密钥的结果。 防守方的盲区 报告提到，在Mandiant处理的多个案例里，受害者从未启用过LLM服务。攻击者用偷来的密钥去开通Amazon Bedrock、谷歌Gemini API这类服务，账单几分钟内就能膨胀起来。 报告建议，任何未经授权的服务开通都应视为重大安全事件。其他措施包括设置支出上限、把API密钥限定到具体模型和环境、对用来验证失窃密钥的单token探测请求做日志监控。 GTIG首席分析师John Hultquist表示，威胁行为者希望借人工智能在规模上压过防守方，而他们正通过智能体工具和从不知情第三方偷来的令牌做到这一点。 “锁住这些资源，不仅能保护机构免于失控的成本，也能保护更广泛的社区免于廉价、自动化攻击的洪流。”Hultquist说。 GTIG预计，攻击者会越来越偏好LLMjacking而非挖矿劫持，因为混合器回款快、利润高。报告预测，随着企业把更高阶的模型和智能体工作流投入生产，暴露的API令牌和模型路由中间件会招来更多自动化攻击。 特别