RéponsesPublié17 sources
Des pirates détournent des accès à l’IA et font grimper les factures cloud
Le LLMJacking consiste à détourner l’accès d’une entreprise à des modèles d’IA pour les utiliser ou le revendre, aux frais de la victime. Google rapporte des frais frauduleux dépassant 100 000 dollars en une journée et pouvant atteindre 1 million de dollars au total avant la révocation des accès.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Le LLMJacking consiste à détourner l’accès d’une entreprise à des modèles d’IA pour les utiliser ou le revendre, aux frais de la victime.
- Google rapporte des frais frauduleux dépassant 100 000 dollars en une journée et pouvant atteindre 1 million de dollars au total avant la révocation des accès.
- Le service de revente Jet Night a été associé à plus de 500 000 appels d’API en moins de huit heures.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What did Google’s Mandiant and Google Threat Intelligence Group report on November 2, 2026, about LLMJacking incidents across financial serv. Article summary: Google’s Mandiant and Google Threat Intelligence Group reported on November 2, 2026, that criminals were hijacking enterprise LLM access and monetizing it at victims’ expense, producing fraudulent charges above $100,000 . Topic tags: general, documentation, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fak
Mandiant et le Google Threat Intelligence Group ont rapporté plusieurs incidents survenus en 2026, au cours desquels des criminels ont détourné l’accès d’entreprises à des modèles de langage (LLM), puis l’ont utilisé ou revendu. Dans certains cas, les frais frauduleux liés aux ressources cloud ont dépassé 100 000 dollars en une journée. Pour certaines organisations, la facture cumulée a atteint 1 million de dollars avant que les accès soient révoqués. 4
Qu’est-ce que le LLMJacking ?
Le LLMJacking consiste à prendre le contrôle de l’accès d’une organisation à des modèles de langage et aux ressources informatiques associées. Les incidents décrits portent sur l’utilisation abusive d’accès professionnels au cloud et aux modèles — et non simplement sur la manipulation des conversations d’un chatbot destiné aux clients. Les criminels peuvent faire tourner leurs propres opérations sur le compte de la victime ou faire passer les requêtes d’autres utilisateurs par les accès compromis. 4
Selon Mandiant, les incidents traités ont touché des organisations des secteurs des services financiers, du commerce de détail, des technologies et des transports, en Amérique du Nord, en Amérique du Sud et en Asie-Pacifique. Plusieurs fournisseurs de cloud et de modèles d’IA étaient concernés. 4
Des accès volés, puis des frais à la charge des victimes
Parmi les méthodes d’accès rapportées figurent le vol d’identifiants cloud, de clés d’API de LLM et de jetons d’accès. D’autres comptes rendus citent aussi des identifiants IAM, des clés de comptes de service, des jetons d’accès personnels GitHub et des jetons de session détournés. 3
5
9
Une fois dans le système, les attaquants peuvent utiliser les accès autorisés de la victime pour lancer des traitements par modèle. Certains revendent ensuite ces accès via des services intermédiaires. Les coûts d’inférence — le calcul nécessaire pour répondre aux requêtes envoyées aux modèles — sont alors facturés à l’organisation compromise. 3
La facture peut gonfler rapidement : Google indique que les frais frauduleux ont dépassé 100 000 dollars en une seule journée dans certains incidents. Pour certaines organisations, le total a atteint 1 million de dollars avant la coupure des accès.
UNC6993 et le marché de la revente d’accès
Selon les comptes rendus liés à Google, le groupe UNC6993 a accédé à une instance cloud en exploitant une clé de compte de service mal configurée, puis s’en est servi pour atteindre une API de LLM. 17 Ce cas illustre comment une faille dans la gestion des identités cloud peut ouvrir la voie à une utilisation non autorisée de modèles d’IA.
Une autre partie de cet écosystème criminel repose sur des services surnommés « LLM Mixers ». Ils font transiter les requêtes de clients payants par des accès compromis. Jet Night en est un exemple. Le service a été associé à plus de 500 000 appels d’API en moins de huit heures et à près d’un million de dollars de coûts de jetons imputés à une victime. 18
Des sources indiquent également que Jet Night proposait un accès à environ 60 dollars par mois, contre quelque 100 à 250 dollars pour des abonnements légitimes comparables. 18
20 Ce modèle permet à l’intermédiaire de percevoir le paiement, tandis que la facture peut revenir à l’organisation dont les identifiants ont été volés.
Une faille LiteLLM rapportée, mais un point à clarifier
Des articles consacrés au rapport de Google décrivent l’exploitation de la vulnérabilité CVE-2026-40217 dans LiteLLM, une passerelle de modèles, afin de transformer des clés virtuelles ordinaires en accès administrateur. 17 Une autre source signale toutefois un désaccord entre la description de Google et la réponse d’un avis de sécurité de LiteLLM. Les éléments disponibles ne permettent pas de trancher : le détail technique doit donc être considéré avec prudence.
Pourquoi les coûts peuvent s’envoler en quelques heures
Google distingue le LLMJacking du cryptojacking, qui entraîne selon ses chercheurs une consommation plus progressive des ressources. Le détournement d’accès à des modèles peut, lui, provoquer de fortes hausses des frais cloud en quelques heures. Ces incidents montrent qu’un identifiant compromis peut permettre un usage intensif avant que l’organisation ne s’en aperçoive et ne le révoque.
Pour les organisations qui utilisent des modèles hébergés dans le cloud, les cas rapportés soulignent l’intérêt de protéger les identités cloud et les clés d’API, de vérifier où les jetons sont exposés et de surveiller les volumes d’utilisation ainsi que les dépenses inhabituelles. Il s’agit de pistes de prévention déduites des méthodes d’accès et des coûts décrits, et non d’une liste exhaustive de recommandations attribuée à Google. 3
5
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « Des pirates détournent des accès à l’IA et font grimper les factures cloud » ?
Le LLMJacking consiste à détourner l’accès d’une entreprise à des modèles d’IA pour les utiliser ou le revendre, aux frais de la victime.
Quels sont les points clés à valider en premier ?
Le LLMJacking consiste à détourner l’accès d’une entreprise à des modèles d’IA pour les utiliser ou le revendre, aux frais de la victime. Google rapporte des frais frauduleux dépassant 100 000 dollars en une journée et pouvant atteindre 1 million de dollars au total avant la révocation des accès.
Que dois-je faire ensuite en pratique ?
Le service de revente Jet Night a été associé à plus de 500 000 appels d’API en moins de huit heures.
Sources
cloud.google.comThe Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources | Google Cloud Blog
mallory.aiLLMJacking Turns Stolen Cloud Credentials Into Six-Figure AI ...
pranavaraparla.comActive alerts — Vibe Coding · Security Issue Tracking
ai-threat.watchAttacks on AI systems: latest reports and research - AI Threat Watch