AnswersPublished17 sources
Varastettu tekoälypääsy voi kasvattaa pilvilaskun miljoonaan
LLMJackingissa rikolliset kaappaavat yrityksen pääsyn suuriin kielimalleihin ja käyttävät sitä omiin tarkoituksiinsa tai myyvät sen muille. Googlen raportoimissa tapauksissa luvattomat kulut ylittivät joissakin tilanteissa 100 000 dollaria päivässä.
JulkaisijaMuokattu mallilla GPT-6 LunaKuvat luotu mallilla GPT Image 2
Research answer
Key takeaways
- LLMJackingissa rikolliset kaappaavat yrityksen pääsyn suuriin kielimalleihin ja käyttävät sitä omiin tarkoituksiinsa tai myyvät sen muille.
- Googlen raportoimissa tapauksissa luvattomat kulut ylittivät joissakin tilanteissa 100 000 dollaria päivässä.
- Jet Night niminen jälleenmyyntipalvelu yhdistettiin yli 500 000 API kutsuun alle kahdeksassa tunnissa.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did Google’s Mandiant and Google Threat Intelligence Group report on November 2, 2026, about LLMJacking incidents across financial serv. Article summary: Google’s Mandiant and Google Threat Intelligence Group reported on November 2, 2026, that criminals were hijacking enterprise LLM access and monetizing it at victims’ expense, producing fraudulent charges above $100,000 . Topic tags: general, documentation, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
Googlen Mandiant ja Google Threat Intelligence Group (GTIG) kertoivat useista vuonna 2026 havaituista tapauksista, joissa rikolliset kaappasivat yritysten pääsyn suuriin kielimalleihin eli LLM-palveluihin ja käyttivät sitä itse tai myivät sitä eteenpäin. Luvattomasta resurssien käytöstä kertyi joissakin tapauksissa yli 100 000 dollarin pilvikuluja päivässä. Ennen pääsyn sulkemista joidenkin organisaatioiden kokonaiskulut nousivat miljoonaan dollariin. 4
Mitä LLMJacking tarkoittaa?
LLMJackingilla tarkoitetaan organisaation kielimalli- ja laskentapalvelupääsyn kaappaamista. Kyse ei ole ensisijaisesti siitä, että rikolliset manipuloisivat asiakaspalveluchatbotin keskusteluja, vaan yrityksen pilviympäristöön ja malleihin liittyvän käyttöoikeuden väärinkäytöstä. Rikolliset voivat pyörittää omia toimintojaan uhrin tilillä tai välittää muiden käyttäjien mallipyyntöjä kaapatun pääsyn kautta. 4
Mandiantin käsittelemät tapaukset koskivat rahoitus-, vähittäiskauppa-, teknologia- ja kuljetusalan organisaatioita Pohjois- ja Etelä-Amerikassa sekä Aasian ja Tyynenmeren alueella. Käytössä oli useiden eri pilvi- ja kielimallipalvelujen ratkaisuja. 4
Varastetuista tunnuksista kalliiksi käytöksi
Raportoidut pääsyreitit sisälsivät varastettuja pilvitunnuksia, LLM-palvelujen API-avaimia ja käyttöoikeustokeneita. Tapauskuvauksissa mainitaan myös IAM-tunnukset, palvelutilien avaimet, GitHubin henkilökohtaiset käyttöoikeustunnukset sekä kaapatut istuntotunnukset. 3
5
9
Kun rikolliset pääsevät sisään, he voivat käyttää uhrin valtuutettua yhteyttä mallipyyntöjen suorittamiseen. Osa toimijoista myy pääsyn edelleen välityspalvelujen kautta. Näin mallien käytöstä eli pyyntöjen käsittelystä syntyvä lasku jää organisaatiolle, jonka tunnukset on varastettu. 3
Kulut voivat kasvaa nopeasti: Google raportoi joissakin tapauksissa yli 100 000 dollarin luvattomista maksuista yhden päivän aikana. Joillakin organisaatioilla kokonaiskulut nousivat miljoonaan dollariin ennen kuin pääsy katkaistiin.
UNC6993 ja varastetun pääsyn jälleenmyynti
Googleen kytkeytyvässä raportoinnissa UNC6993-ryhmän kerrotaan päässeen pilviympäristöön väärin määritetyn palvelutilin avaimen kautta ja jatkaneen siitä LLM-rajapintaan. Tapaus havainnollistaa, miten pilvi-identiteetin heikkous voi johtaa mallien luvattomaan käyttöön. 17
Rikollisen ekosysteemin yksi osa ovat niin sanotut LLM Mixers -palvelut. Ne välittävät maksavien asiakkaiden pyyntöjä eteenpäin käyttäen kaapattua pääsyä. Yksi esimerkki on Jet Night. Sen yhteydessä raportoitiin yli 500 000 API-kutsua alle kahdeksassa tunnissa sekä lähes miljoonan dollarin token-kulut yhdelle uhrille. 18
Lähteiden mukaan Jet Night mainosti pääsyä noin 60 dollarin kuukausihintaan, kun lailliset tilaukset maksoivat suunnilleen 100–250 dollaria. 18
20 Jälleenmyyntimallissa asiakas maksaa välittäjälle, mutta lasku voi päätyä sille organisaatiolle, jonka tunnukset on varastettu.
LiteLLM-haavoittuvuudesta on epäselvyyttä
Googleen kytkeytyvä uutisointi kertoi myös hyökkääjien käyttäneen LiteLLM-malligatewayn CVE-2026-40217-haavoittuvuutta tavallisten virtuaaliavainten muuttamiseen ylläpitäjätason käyttöoikeuksiksi. 17 Toisessa toimitetussa lähteessä kuitenkin mainitaan ristiriita Googlen kuvauksen ja LiteLLM:n neuvonannon välillä. Käytettävissä olevat lähteet eivät ratkaise erimielisyyttä, joten haavoittuvuuden tarkkaa teknistä kuvausta on syytä käsitellä varauksella.
Miksi lasku voi kasvaa tunneissa?
Google vertasi LLMJackingia kryptolouhintaan: jälkimmäinen kuluttaa resursseja tyypillisesti vähitellen, kun taas kielimallien luvaton käyttö voi synnyttää suuria pilvilaskupiikkejä muutamassa tunnissa. Tapaukset osoittavat, että kyse ei ole vain tietoturvariskistä vaan myös kulujen hallinnan ongelmasta. Kaapattua tunnusta voidaan käyttää paljon ennen kuin organisaatio huomaa tilanteen ja sulkee pääsyn.
Pilvipohjaisia malleja käyttäville organisaatioille raportoidut pääsyreitit ja laskupiikit korostavat tunnusten ja API-avainten suojaamisen, niiden säilytyspaikkojen tarkistamisen sekä poikkeavien käyttömäärien ja kulujen seurannan merkitystä. Nämä ovat tapausten perusteella johdettuja puolustustoimia, eivät kattava luettelo Googlelle suoraan attribuoiduista suosituksista. 3
5
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Varastettu tekoälypääsy voi kasvattaa pilvilaskun miljoonaan"?
LLMJackingissa rikolliset kaappaavat yrityksen pääsyn suuriin kielimalleihin ja käyttävät sitä omiin tarkoituksiinsa tai myyvät sen muille.
What are the key points to validate first?
LLMJackingissa rikolliset kaappaavat yrityksen pääsyn suuriin kielimalleihin ja käyttävät sitä omiin tarkoituksiinsa tai myyvät sen muille. Googlen raportoimissa tapauksissa luvattomat kulut ylittivät joissakin tilanteissa 100 000 dollaria päivässä.
What should I do next in practice?
Jet Night niminen jälleenmyyntipalvelu yhdistettiin yli 500 000 API kutsuun alle kahdeksassa tunnissa.
Sources
cloud.google.comThe Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources | Google Cloud Blog
mallory.aiLLMJacking Turns Stolen Cloud Credentials Into Six-Figure AI ...
pranavaraparla.comActive alerts — Vibe Coding · Security Issue Tracking
ai-threat.watchAttacks on AI systems: latest reports and research - AI Threat Watch