LLMjacking saldırıları bazı şirketlere 1 milyon dolara varan bulut faturası çıkardı

Google Threat Intelligence Group (GTIG) ve Mandiant, 3 Kasım’da yayımladığı raporda, saldırganların şirketlerin büyük dil modeli (LLM) erişimlerini ele geçirdiği ve kullanım ücretini kurbana ödettiği LLMjacking saldırılarını anlattı. Google’a göre Mandiant 2026’da bu türden birden fazla olaya müdahale etti. Olaylar farklı bulut ve LLM sağlayıcılarını kapsıyor ve Kuzey Amerika, Güney Amerika ve Asya Pasifik’te finans, perakende, teknoloji ve ulaşım sektörlerindeki kurumları etkiledi.

Google’a göre LLMjacking, kripto para madenciliği için bilgisayar kaynaklarının çalınmasından (cryptojacking) farklı olarak birkaç saat içinde büyük sahte bulut faturaları oluşturabiliyor. Bazı olaylarda bir günde 100 bin doları aşan ücretler oluştu, bazı kurumlarda toplam fatura erişim kesilene kadar 1 milyon dolara ulaştı.

Giriş yolları

Google’a göre saldırganlar ya internete açık bırakılmış LLM uç noktalarını buluyor ya da geçerli LLM API anahtarları ele geçiriyor. Örneğin bir saldırgan, internete açık Ollama sunucularında kendi modellerini kaydetmeye çalıştı. Ancak incelenen olaylarda en sık görülen giriş yolu, açıkta kalmış ya da çalınmış bulut kimlik bilgileri oldu. Bunlar arasında IAM kimlik bilgileri, servis hesabı anahtarları, GitHub kişisel erişim tokenleri (PAT) ve etkin oturum tokenleri var.

Google’ın UNC6993 olarak izlediği bir saldırgan, 2026 ortasında yanlış yapılandırılmış bir servis hesabı anahtarıyla bir bulut sunucusuna girdi ve bu erişimle bir LLM API’sine erişim izni verdi. Aynı saldırgan, LLM kullanıcı grubuna katılım portalı gibi görünen bir sayfayla kullanıcıları gerçek LLM servisinden aldıkları etkin erişim tokenini içeren veriyi yapıştırmaya yönlendirdi. Google’a göre bu yöntemle parola ve çok faktörlü kimlik doğrulama atlatıldı. Başka bir saldırgan, herkese açık GitHub depolarında açıkta kalmış şirket LLM API anahtarlarını topladı ve anahtarları tek tokenlik (max_tokens=1) küçük isteklerle deneyerek fark edilmeden doğruladı.

Erişimin paraya çevrilmesi

Google’a göre saldırganlar içeri girdikten sonra yetkilerini yükseltti, yeni hesaplar ve SSH anahtarları ekleyerek kalıcılık sağladı ve kurbanın bulut hesabında daha önce kapalı olan üretken yapay zekâ servislerini açtı. UNC6993 yeni API anahtarları oluşturup ilgili servisleri açtı ve kısa sürede 100 bin doları aşan fatura oluşturdu. Bir olayda saldırgan, LLM trafiğini yönlendiren LiteLLM ağ geçidindeki CVE-2026-40217 açığını kullanarak sıradan sanal anahtarları tam yönetici anahtarına yükseltti.

Google’a göre çalınan erişimin önemli bir kısmı, LLM Mixer adı verilen aracı servisler üzerinden yeniden satılıyor. Bu servisler çalınan anahtarları bir havuzda topluyor, kullanımı ölçüyor ve isteklerin kaynağını gizleyerek erişimi yeraltı pazarındaki abonelere satıyor. Google’a göre sekiz saatten kısa sürede 500 binden fazla LLM API çağrısı yapan bir saldırgan, çalınan anahtarlarla jet-night.com adlı bir token yönlendirme servisini çalıştırdı ve kurban kuruma yaklaşık 1 milyon dolarlık token maliyeti yükledi. Google, servisin aylık yaklaşık 60 dolara sınırsız kullanım sunduğunu ve bu fiyatın ancak çalınan anahtarlarla kârlı olabileceğini değerlendiriyor.

Google, saldırganların kripto para madenciliği yerine giderek daha çok LLMjacking’e yönelmesini bekliyor.

Önerilen önlemler

Google’ın önerileri arasında şunlar var:

• Kurumda daha önce kapalı olan bir LLM servisinin izinsiz açılması kritik bir güvenlik olayı olarak ele alınmalı. Google’a göre incelenen birden fazla olayda saldırı sırasında LLM servisleri kapalıydı ve saldırganlar bunları kendileri açtı.
• Anahtarlar ve gizli bilgiler merkezi bir gizli bilgi yönetimi sisteminde tutulmalı ve otomatik olarak yenilenmeli.
• Kullanıcılara ve servis hesaplarına yalnızca gereken yetkiler verilmeli, gerekmiyorsa LLM servislerine erişim de kapatılmalı.
• Kod depolarında açıkta kalan anahtarları bulan otomatik taramalar kullanılmalı.
• LLM servisleri için model bazında kota, harcama sınırı ve bütçe uyarıları tanımlanmalı.
• API anahtarlarının hangi modele ve ortama erişebileceği sınırlandırılmalı.
• Model ağ geçidi kayıtlarında, anahtar doğrulamasında kullanılan max_tokens=1 gibi olağandışı küçük istekler izlenmeli.
• LiteLLM gibi model ağ geçitleri de güncelleme süreçlerine dahil edilmeli.