Что такое LLMjacking?

LLMjacking — захват чужого доступа к коммерческим нейросетям: злоумышленник отправляет запросы по украденному API-ключу, а счет за них получает хозяин аккаунта.

Облачные сервисы тарифицируют работу моделей в токенах и списывают деньги с аккаунта владельца. Кто именно прислал запрос, платформа не проверяет — ей достаточно корректной секретной строки.

Так, в феврале 2026 года ключ к Gemini украли у небольшой компании-разработчика из Мексики. Ее название в публикациях не раскрывается: известно лишь, что в команде три человека, а на Gemini она обычно тратила около $180 в месяц. За двое суток, 11 и 12 февраля, неизвестные отправили столько запросов, что счет вырос до $82 314. При прежнем темпе расходов такую сумму фирма потратила бы за 38 лет.

В посте на Reddit пострадавший рассказал, что сотрудники сослались на модель разделенной ответственности и дали понять, что платить все же придется. По его оценке, даже треть суммы обанкротит компанию из трех человек.

Специалисты Mandiant обнаружили сервис Jet Night, который продавал доступ к передовым нейросетям через собственный сайт и рекламировал его в Telegram. «Безлимит» обходился клиентам примерно в $60 в месяц — заметно дешевле легальных подписок по $100–250.

Менее чем за восемь часов сервис отправил свыше 500 000 запросов по чужим ключам, а владельцу достался счет почти на $1 млн.

Впервые такие атаки описали исследователи Sysdig в мае 2024 года. Термин LLMjacking упоминает и база MITRE ATT&CK. Модели вроде GPT, Gemini или Claude злоумышленники не взламывают: те продолжают работать как обычно, а счет за их услуги приходит владельцу украденного ключа.

Сколько компаний пострадало от подобных атак, неизвестно: Google в отчете упоминает лишь «несколько» расследований 2026 года. Сама схема при этом не нова: задолго до бума нейросетей злоумышленники так же за чужой счет майнили криптовалюту на зараженных компьютерах и взломанных облачных серверах.

Чем LLMjacking похож на криптоджекинг?

Криптоджекинг — скрытая добыча криптовалюты на чужих компьютерах и серверах. Злоумышленник не крадет деньги напрямую: он запускает на взломанной машине программу-майнер, а электричество и вычислительные мощности оплачивает владелец.

Облачные платформы стали для таких атак привычной средой. В 2021 году команда кибербезопасности Google изучила 50 взломанных облачных аккаунтов компании и выяснила, что 86% из них использовались для скрытого майнинга. В 58% случаев, по которым удалось восстановить хронологию, программу-добытчика загружали в течение 22 секунд после взлома.

Ущерб жертвы при этом несоизмерим с доходом злоумышленника. Так, в декабре 2021 года основателю сервиса SEO Scout Джонни Платту выставили счет AWS на $45 000. За несколько недель хакеры добыли на его аккаунте около 6 XMR — примерно на $800. Позднее Amazon списала долг.

LLMjacking устроен по той же логике: злоумышленник пользуется чужой облачной инфраструктурой, а платит владелец аккаунта. Различие только в том, как много зарабатывает взломщик и как быстро растет счет жертвы.

Майнер приносит доход постепенно: монеты копятся, пока программа работает на взломанном сервере. Украденный доступ к нейросети злоумышленник перепродает сразу, как в случае с Jet Night, и покупатели с первой минуты тратят чужие деньги. Поэтому расходы пострадавшей компании взлетают за считанные часы, согласно Google Threat Intelligence Group.

К тому же реализовать подобную атаку проще. Для добычи криптовалюты нужно проникнуть на сервер и установить программу-майнер. Чтобы пользоваться чужой нейросетью, достаточно строки ключа: на стороне жертвы ничего не запускается, а запросы выглядят как обычная работа клиента. Поэтому в Google ожидают, что злоумышленники будут все чаще выбирать LLMjacking вместо криптоджекинга.

Скрытый майнинг при этом не исчез — он научился использовать ИИ как приманку. В октябре 2026 года специалисты Check Point описали кампанию Yoba: на GitHub появились поддельные десктопные приложения ChatGPT и Claude со встроенным майнером Monero.

Где злоумышленники берут чужие ключи?

Угадывать пропуск к ИИ-сервису бессмысленно: это длинная строка случайных символов. Поэтому злоумышленники ищут готовые учетные данные там, где их оставили сами владельцы. Как отмечает Google, чаще всего атаки начинаются с утекших или украденных реквизитов облачных аккаунтов и активных сессий.

Самое очевидное место для таких находок — публичные репозитории GitHub. Неосторожный разработчик вписывает секрет прямо в программу, чтобы быстрее ее проверить, а затем выкладывает проект в общий доступ. Злоумышленники находят такие промахи с помощью скриптов, которые автоматически просматривают открытый код.

Учетные данные утекают и через сайты. Чтобы сэкономить время, некоторые разработчики вписывают пропуск к внешнему сервису прямо в код страницы, которая загружается в браузер каждого посетителя. Скопировать его оттуда может любой.

В феврале 2025 года Truffle Security проверила архив Common Crawl за декабрь 2024 года и нашла там 11 908 действующих ключей и паролей. Почти две трети из них (63%) повторялись на нескольких страницах: один и тот же пропуск встречался многократно. Коллекция открыта для всех, поэтому найти в ней чужие учетные данные может и злоумышленник.

Некоторые API-ключи Google и вовсе не считались секретом. Например, строки для встроенных карт компания разрешала размещать в коде веб-страниц открыто. Однако если владелец облачного проекта активировал в нем Gemini, те же ключи автоматически открывали доступ и к нейросети, причем «Корпорация добра» никак не предупреждала об этом клиентов.

В феврале 2026 года та же Truffle Security насчитала 2863 таких уязвимых пропуска. Среди их владельцев оказались крупные финансовые организации и сама Google. Устранять проблему корпорация начала лишь в мае–июне 2026 года.

Еще один путь — бреши в серверах. Как выяснили исследователи Sysdig, в первом описанном случае LLMjacking злоумышленники взломали сайт на устаревшей версии Laravel через уязвимость CVE-2021-3129. На сервере нашлись учетные данные AWS, и с их помощью атакующие добрались до нейросетей Claude в облачном сервисе Amazon Bedrock.

Также хакеры вытаскивают секреты из мобильных программ, причем в промышленных масштабах. По данным Anthropic, один злоумышленник скачал 1,8 млн установщиков для Android и автоматически извлек из них учетные данные 471 типа.

Наконец, реквизиты крадут у самих пользователей. По информации Google, группировка UNC6993 создала поддельный портал: жертвы вставляли туда служебный файл с действующим токеном доступа, и злоумышленники входили в аккаунт без пароля и двухфакторной защиты. Подписчики Claude Max в 2026 году теряли лимиты из-за инфостилеров.

Криптотрейдерам этот риск знаком: торговые боты подключаются к биржам по тому же принципу, через API-ключи. Получив доступ, программа торгует от имени владельца аккаунта. 5 ноября 2026 года платформа SignalPlus предупредила о возможной уязвимости, после чего Binance и Deribit отозвали выданные ей разрешения.

Как краденый доступ превращают в бизнес?

Прежде чем зарабатывать на украденном API-ключе, злоумышленник выясняет, действует ли он и какие модели открывает: владелец мог давно аннулировать доступ или ограничить его одной недорогой нейросетью.

Для проверки атакующий задает модели короткий вопрос и ограничивает длину ответа. По данным Google, лимит ставят минимальный: один токен, то есть слово или его часть. Такая проба обходится владельцу в доли цента, а системы безопасности реагируют на резкие всплески активности, поэтому столь скромный запрос остается незамеченным.

В 2024 году исследователи Sysdig описали способ проверки без затрат для жертвы. Злоумышленники намеренно передавали сервису неверный параметр, например просили ответ длиной в минус один токен. По реакции сервиса было видно, годится ли ключ: недействительный он отклонял сразу, а на рабочий выдавал ошибку в запросе. Скорее всего, владельцу такие запросы ничего не стоили: нейросеть не запускалась.

Убедившись в наличии доступа, взломщики проверяли еще одну настройку: ведется ли журнал обращений к моделям. Пока он работает, облако сохраняет каждый запрос, и владелец видит, кто и когда пользовался ИИ-сервисом. Без такой записи компания чаще всего узнает об атаке лишь после получения гигантского счета.

Затем злоумышленники наращивали расходы владельца аккаунта. По данным Google, они даже активировали ИИ-сервисы у компаний, которые нейросетями не пользовались. Чтобы тратить еще больше, атакующие создавали дополнительные ключи, переводили учетную запись на оплату по факту использования и выбирали самые дорогие модели.

Отдавать покупателю украденный доступ напрямую невыгодно: он может пустить к нейросети кого угодно, и тогда владелец быстрее заметит подозрительную активность. Поэтому продавцы направляют клиентов через обратный прокси. Взамен сообщают адрес этого сервера и пароль к нему, а учетные данные жертвы остаются скрытыми.

Крупные площадки объединяют десятки украденных ключей в общий пул и распределяют между ними запросы клиентов. Google называет такие системы LLM-миксерами — по аналогии с криптовалютными сервисами вроде Tornado Cash. Только вместо происхождения монет здесь скрывают, чей бюджет оплачивает работу нейросети. Собирают такие системы из открытых программ-шлюзов к нейросетям, например new-api и gcli2api.

Внешне такие площадки не отличаются от легальных ИИ-сервисов. На приведенном аналитиками скриншоте сайта Jet Night тарифы указаны в рублях: от 99 ₽ ($1,2) за стартовый пакет до 4990 ₽ ($61) за месяц безлимита.

Новые модели в каталогах таких посредников появляются почти сразу. Как выяснила Sysdig, DeepSeek-R1 добавили в один из подпольных прокси уже на следующий день после релиза 20 января 2025 года.

Месяц доступа в одном из таких сервисов стоил $30. Через один из прокси за 4,5 дня прошло 2,2 млрд токенов: по тарифам провайдеров это почти $50 000.

Расследуя инцидент, Google выяснила, что Jet Night использовал краденые ключи. Низкие цены лишь подтверждают этот вывод: легально продавать доступ к передовым моделям так дешево невозможно.

Кто покупает краденый ИИ?

Клиентов подпольных сервисов привлекает не только низкая цена. Многие ищут то, чего не дают легальные платформы: интимные переписки с чат-ботами, доступ в обход ограничений для отдельных стран или генерацию запрещенных изображений.

Крупнейшая группа покупателей — любители ролевых чатов, где нейросеть изображает вымышленного героя и ведет беседу от его лица. В 2024 году Sysdig изучила около 4800 запросов к украденным аккаунтам. Примерно 95% из них приходились на общение с персонажами, причем большинство переписок носило эротический характер. Подпольные сервисы активно обсуждаются на форуме 4chan и в Discord.

Другой мотив — ограничения для отдельных стран. По наблюдениям Sysdig, после 2022 года пользователи из России лишились легального доступа к западным нейросетям и стали искать обходные пути. Исследователи привели пример студента, который через чужие учетные данные AWS обращался к Claude при написании дипломного проекта.

Третьи ищут нейросеть без встроенных запретов. Как сообщила Microsoft, участники группировки Storm-2139 заходили в Azure OpenAI по найденным в сети реквизитам клиентов, меняли настройки сервиса в обход ограничений и перепродавали доступ. Покупатели генерировали с его помощью откровенные изображения знаменитостей без их согласия. В декабре 2024 года корпорация подала иск против десяти неустановленных участников схемы, а в феврале 2025 назвала имена четырех главных разработчиков инструментов из Ирана, Великобритании, Гонконга и Вьетнама.

Рискуют при этом и сами клиенты. По данным Anthropic, группировка kl1zy продавала подписку на Claude со скидкой, но запросы на деле уходили в более дешевую модель, а разницу она забирала себе. Вдобавок вместе с доступом на устройство попадал инфостилер, пересылавший пароли другим перекупщикам. Так стремление платить меньше оказывало клиентам медвежью услугу.

Во сколько атака обходится жертве?

Облачная нейросеть берет плату за каждый обработанный токен, а злоумышленники отправляют запросы круглосуточно. Поэтому счет жертвы за ИИ быстро вырастает до десятков, а порой и сотен тысяч долларов.

Сколько обойдется один взломанный аккаунт, легко подсчитать по тарифам Anthropic. Флагманская модель Claude Opus 5.5 стоит $4 за обработку 1 млн токенов запроса и $20 за такой же объем ответа.

На старшем стандартном уровне лимитов компании — Scale — аккаунт может обрабатывать за минуту до 10 млн единиц текста на входе и до 2 млн на выходе. Если загрузить нейросеть запросами до этого предела, расходы составят около $80 в минуту, или до $115 200 в сутки.

По данным Mandiant, у некоторых организаций сумма достигла $1 млн, прежде чем злоумышленников удалось отрезать от аккаунта.

Встроенные ограничения провайдера помогают лишь отчасти. Как показал разбор инцидента, в случае с Jet Night лимит на частоту обращений отклонил большинство запросов, но даже прорвавшиеся обошлись владельцу почти в $1 млн.

Злоумышленники научились обходить подобные препятствия. Так, Google описывает прием burn and rotate («сжечь и заменить»): исчерпав квоту одного служебного аккаунта, нападавшие удаляли его и создавали новый. Расходы они отслеживали прямо в дашборде жертвы.

Вовремя заметить атаку компаниям мешают настройки по умолчанию. Например, журнал обращений к ИИ-моделям в Google Cloud приходится активировать вручную: пока этого не сделали, владелец не видит, кто пользуется его ключом.

Лимиты расходов тоже не защищали пользователей облака: до июля 2026 года бюджет, который клиент задает в облаке Google, по умолчанию лишь присылал оповещения о превышении, но не блокировал дальнейшие траты. В итоге о взломе многие узнают, когда счет уже выставлен.

Кто покроет убытки, провайдер решает в каждом случае отдельно. Облачные платформы ссылаются на разделенную ответственность, но порой прощают долг. Например, в 2021 году Amazon аннулировала клиенту счет на $45 000 за мощности, израсходованные криптоджекерами.

Как защитить ключи и бюджет?

Большинство описанных утечек вызваны не сложными атаками, а оплошностями самих разработчиков: ключ остался в коде, на сайте или на сервере с давно не обновлявшимся ПО.

Исследователь дизайна Дональд Норман считал такие ошибки неизбежными. Он предлагал бороться с ними не призывами к внимательности, а ограничениями — тогда случайный сбой не обернется бедой.

На этом принципе строится и защита от LLMjacking: нужно, чтобы украденный пропуск давал злоумышленнику минимум возможностей, а владелец как можно быстрее замечал утечку.

Компаниям (Google рекомендует):

  • задать квоты для каждой модели и жесткий потолок расходов;
  • держать ключи в специальном хранилище секретов и автоматически менять их через короткие промежутки времени;
  • запретить ИИ-сервисы, которыми компания не пользуется, а их внезапную активацию считать критическим инцидентом;
  • выдавать каждому ключу минимум прав, например доступ к одной модели и одному проекту;
  • вести журналы обращений к нейросетям и следить за пробными запросами с ответом в один токен;
  • включить устойчивую к фишингу двухфакторную защиту;
  • своевременно обновлять промежуточные шлюзы к ИИ-моделям.

Потолок расходов в Google Cloud появился лишь в июле 2026 года. С октября он доступен всем клиентам, но пока только для нескольких сервисов: Gemini API, платформы Gemini Enterprise Agent Platform (бывший Vertex AI) и Cloud Run. Если сумма превышена, лимит за считанные минуты блокирует дальнейшее оплачиваемое использование.

Обновления шлюзов тоже критичны. Через уязвимость в решении LiteLLM злоумышленники превращали обычные украденные ключи в администраторские.

Разработчикам и частным пользователям:

  • не вписывать секреты в программы, а хранить их в отдельном файле настроек, исключенном из публикации;
  • не размещать пропуск к ИИ-сервису в коде сайта или мобильного приложения, а обращаться к нейросети через собственный сервер;
  • установить лимит расходов и оповещения в консоли провайдера;
  • заводить отдельный ключ под каждый проект и выдавать ему только нужные права;
  • запретить ИИ-ассистенту для программирования подставлять реквизиты в код;
  • не вставлять токены и служебные файлы на сторонние сайты, даже если страница выглядит как официальный портал;
  • не покупать «дешевый безлимит» к нейросетям: за скидкой почти наверняка стоит чужой ключ, а иногда и инфостилер.

Принцип минимальных прав знаком криптотрейдерам. Ключ биржевого API для торгового бота настраивают без права вывода средств и разрешают использовать только с заданных IP-адресов.

Частично подстраховывают и платформы. GitHub с февраля 2024 года по умолчанию блокирует отправку в публичные репозитории файлов с распознанными секретами. Truffle Security советует еще и прописать запрет на «зашитые» реквизиты в правилах ИИ-помощников для программирования, таких как Cursor и Copilot.

Полной гарантии эти меры не дают: например, группировка UNC6993 обошла двухфакторную защиту, выманив у жертв уже выданный токен. Зато они меняют исход атаки: вместо счета на $82 314 за двое суток компания получит оповещение о превышении лимита, а злоумышленник — отказ в обслуживании.