AnswersPublished17 sources
LLMJacking: Stjålne AI-nøgler kan koste virksomheder dyrt
Google rapporterer, at kriminelle kaprede virksomheders adgang til sprogmodeller og brugte eller videresolgte den. Angrebene ramte organisationer inden for finans, detailhandel, teknologi og transport i Nordamerika, Sydamerika og Asien Stillehavsområdet.
Udgivet afRedigeret med GPT-6 LunaBilleder genereret med GPT Image 2
Research answer
Key takeaways
- Google rapporterer, at kriminelle kaprede virksomheders adgang til sprogmodeller og brugte eller videresolgte den.
- Angrebene ramte organisationer inden for finans, detailhandel, teknologi og transport i Nordamerika, Sydamerika og Asien Stillehavsområdet.
- Videresalgstjenesten Jet Night blev sat i forbindelse med over 500.000 API kald på under otte timer.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did Google’s Mandiant and Google Threat Intelligence Group report on November 2, 2026, about LLMJacking incidents across financial serv. Article summary: Google’s Mandiant and Google Threat Intelligence Group reported on November 2, 2026, that criminals were hijacking enterprise LLM access and monetizing it at victims’ expense, producing fraudulent charges above $100,000 . Topic tags: general, documentation, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
Google Threat Intelligence Group og Mandiant har beskrevet flere hændelser fra 2026, hvor kriminelle kaprede virksomheders adgang til store sprogmodeller (LLM’er) og brugte eller solgte adgangen videre. I nogle tilfælde oversteg de uretmæssige cloududgifter 100.000 dollar på én dag. Hos enkelte organisationer nåede de samlede udgifter op på 1 million dollar, før adgangen blev lukket. 4
Hvad betyder LLMJacking?
LLMJacking er kapring af en organisations adgang til sprogmodeller og tilhørende computerressourcer. Det handler om at misbruge virksomhedens cloud- og modeladgang – ikke blot om at manipulere samtaler i en chatbot, som kunder bruger. Angribere kan enten køre deres egne opgaver via offerets konto eller sende andre brugeres modelforespørgsler gennem den kompromitterede adgang. 4
Mandiant fortæller, at hændelserne ramte organisationer inden for finans, detailhandel, teknologi og transport i Nordamerika, Sydamerika og Asien-Stillehavsområdet. Der var tale om flere forskellige cloud- og LLM-udbydere. 4
Sådan bliver stjålet adgang til en stor regning
Blandt de rapporterede adgangsveje var stjålne cloud-loginoplysninger, API-nøgler til LLM’er og adgangstokens. Andre opsummeringer af hændelserne nævner også IAM-loginoplysninger, nøgler til servicekonti, personlige GitHub-adgangstokens og kaprede sessionstokens. 3
5
9
Når angriberne først er inde, kan de bruge offerets godkendte adgang til at sende store mængder forespørgsler til modeller. Nogle sælger adgangen videre gennem mellemled. Så ender offeret med regningen for den såkaldte inferens – den beregning, der kræves for at besvare modelforespørgsler. 3
Udgifterne kan vokse hurtigt. Google oplyser, at de falske cloudregninger i nogle hændelser oversteg 100.000 dollar på én dag, og at de samlede beløb hos enkelte organisationer nåede 1 million dollar, før adgangen blev lukket.
UNC6993 og markedet for videresolgt AI-adgang
Ifølge Google-relateret rapportering fik gruppen UNC6993 adgang til en cloudinstans via en forkert konfigureret nøgle til en servicekonto. Derfra nåede gruppen frem til en LLM-API. Sagen viser, hvordan en svaghed i en cloud-identitet kan blive springbræt til uautoriseret brug af modeller. 17
En anden del af det kriminelle økosystem består af såkaldte “LLM Mixers”: tjenester, der sender betalende kunders forespørgsler gennem kompromitteret modeladgang. Jet Night er et eksempel. En operation forbundet med tjenesten blev sat i forbindelse med over 500.000 API-kald på under otte timer og næsten 1 million dollar i tokenudgifter hos ét offer. 18
Kilderne oplyser også, at Jet Night annoncerede adgang til omkring 60 dollar om måneden, mens lovlige abonnementer blev angivet til cirka 100–250 dollar. 18
20 Den lave pris illustrerer videresalgsmodellen: Kunden betaler mellemleddet, mens organisationen bag de stjålne loginoplysninger kan stå med regningen.
Omtalt LiteLLM-sårbarhed – men teknikken er omstridt
Google-relateret omtale beskriver også, hvordan angribere udnyttede CVE-2026-40217 i LiteLLM, en gateway til modeller, til at ændre almindelige virtuelle nøgler til administratoradgang. 17 En anden kilde peger dog på uoverensstemmelser mellem Googles beskrivelse og LiteLLM’s svar i en sikkerhedsmeddelelse. De tilgængelige kilder afklarer ikke forskellen, så den præcise tekniske forklaring bør læses med forbehold.
Derfor kan omkostningerne løbe løbsk
Google-forskerne sammenligner LLMJacking med cryptojacking, hvor kaprede ressourcer bruges til kryptomining. I modsætning til det mere gradvise ressourceforbrug ved cryptojacking kan LLMJacking ifølge forskerne føre til store spring i cloududgifter på få timer.
Hændelserne viser, at uautoriseret modeladgang også er et spørgsmål om økonomisk kontrol: En kompromitteret nøgle kan åbne for omfattende brug, inden virksomheden opdager det og lukker adgangen.
For organisationer, der bruger cloudbaserede modeller, peger hændelserne på nogle praktiske prioriteter: beskyt cloud-identiteter og API-nøgler, undersøg hvor adgangstokens kan være blevet eksponeret, og hold øje med uventede ændringer i modelbrug og udgifter. Det er defensive følger af de beskrevne adgangsveje og regninger – ikke en udtømmende liste over anbefalinger fra Google. 3
5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "LLMJacking: Stjålne AI-nøgler kan koste virksomheder dyrt"?
Google rapporterer, at kriminelle kaprede virksomheders adgang til sprogmodeller og brugte eller videresolgte den.
What are the key points to validate first?
Google rapporterer, at kriminelle kaprede virksomheders adgang til sprogmodeller og brugte eller videresolgte den. Angrebene ramte organisationer inden for finans, detailhandel, teknologi og transport i Nordamerika, Sydamerika og Asien Stillehavsområdet.
What should I do next in practice?
Videresalgstjenesten Jet Night blev sat i forbindelse med over 500.000 API kald på under otte timer.
Sources
cloud.google.comThe Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources | Google Cloud Blog
mallory.aiLLMJacking Turns Stolen Cloud Credentials Into Six-Figure AI ...
pranavaraparla.comActive alerts — Vibe Coding · Security Issue Tracking
ai-threat.watchAttacks on AI systems: latest reports and research - AI Threat Watch