LLMJacking：遭竊憑證助長 LLM 存取權轉售，累計費用達 $1M

1. 概覽

• 文章：LLMJacking 的興起：威脅行為者如何將遭入侵的雲端及模型資源變現
• 來源：Google Threat Intelligence Group
• 發布日期：2026-11-02
• 原文：Google Threat Intelligence Group
• 相關來源：LiteLLM 官方公告：CVE 配對檢查
• 相關惡意軟件：ai-relay
• 相關威脅組織：UNC6993
• 相關 CVE：CVE-2026-40217（Google 的報告與 LiteLLM 官方公告回應之間存在差異）
• 相關產品：Cloud IAM、LLM API、LiteLLM、new-api、gcli2api
• 嚴重程度：嚴重

2. 執行摘要

多個威脅行為者濫用被盜的雲端憑證、LLM API 金鑰及公開端點，向第三方轉售 LLM 配額。Mandiant 確認一宗事件：受害組織在撤銷存取權限前，因未經授權的使用而被收取約 $1 million 的費用。請注意，涉及雲端環境權限提升或持久化的途徑，必須與直接濫用 LLM API 金鑰或公開端點的途徑區分開來。

3. 攻擊流程

Google 根據多宗應對事件整理出的替代攻擊途徑及變現流程。途徑 A、途徑 B 及其後的變現流程各有不同的先決條件和範圍；觀察到的工具和行動並非全部在單一事件中按次序執行。

攻擊途徑 A：透過雲端憑證入侵環境

1. 利用外洩或被盜的 IAM 憑證、服務帳戶金鑰、PAT 或工作階段 token，存取相應的雲端環境或程式碼庫。
2. 視乎事件情況，列舉雲端服務、程式碼庫及資料儲存區，以搜尋更多憑證或高權限 ID。
3. 具備所需權限時，攻擊者會透過建立服務帳戶、附加管理員政策、注入 SSH 金鑰及產生 token，提升權限或建立持久化。據報，另一個獨立的威脅羣組曾利用預先取得的 Virtual Keys，將權限提升至 LiteLLM 管理員權限。
4. 使用已取得的權限啟用託管式 LLM 服務、建立額外的 API 金鑰及 GPU 執行個體，並要求增加配額。這些操作出現在多宗互不相關的事件中，並非全部在同一次攻擊中執行。

攻擊路徑 B：直接濫用 LLM API 金鑰或公開端點

1. 已確認有人向在公開儲存庫中找到的 LLM API 金鑰發送如 max_tokens=1 的簡短請求，以驗證金鑰是否有效。
2. 在已驗證 API 金鑰的權限及配額範圍內執行推理。單靠這條路徑不會取得雲端整體的管理主控台權限，也不會取得建立 GPU 執行個體的權限。
3. 在另一宗涉及公開 Ollama 端點的事件中，攻擊者呼叫 /api/create，嘗試註冊及執行自訂模型。

後續變現：透過 LLM 混合器及代理轉售

1. 透過閘道或中繼基礎設施整合未經授權的 LLM 存取，再將推理配額轉售予第三方。這與直接出售被盜 token 本身不同。
2. UNC6993 使用 new-api 和 gcli2api。Google 推斷，攻擊者會彙整被盜金鑰並進行負載平衡，同時透過地下網店銷售；但這不代表所有威脅行為者都使用相同的工具組合。
3. 在另一宗事件中，被盜的 API 金鑰透過 ai-relay，用於 jet-night.com 和 newapi.pro 等轉售平台。

4. 攻擊者的位置及執行地點

• 視乎攻擊路徑，存取目標包括公開儲存庫、公開 LLM 端點、雲端 IAM、模型閘道及容器化工作負載。在只濫用 LLM API 金鑰的路徑中，未有確認受害者雲端內的管理主控台或運算執行個體遭入侵。

5. 受害者及管理員的情況

受害者

• 表現為 LLM API 使用費突然大幅增加、配額耗盡、出現不熟悉的模型使用情況，或服務遭暫停。

管理員

• 可觀察到未使用的 LLM 服務遭啟用、API 金鑰或服務帳戶遭建立、IAM 政策遭更改、SSH 中繼資料遭新增、儲存庫遭複製、有人存取機密管理基礎設施，以及 GPU 執行個體遭建立。

6. 成功與失敗的條件

成功條件

• 在濫用雲端憑證的路徑中，該 ID 所允許的雲端／儲存庫操作是攻擊的起點。提升權限、啟用 LLM 服務、建立金鑰及建立運算資源，分別需要相應權限或利用漏洞。
• 濫用 LLM API 金鑰的路徑需要有效金鑰，以及呼叫模型的權限和配額；公開端點路徑則需要端點在未經驗證或受到類似限制的情況下仍接受請求。這些路徑不一定需要雲端管理權限。
• 在 LiteLLM 權限提升事件中，攻擊者使用了預先取得的 Virtual Keys。CVE 編號與已修補版本對應關係如有差異，請參閲第 12 及 14 節的注意事項。

失敗條件及應對措施

• 採用機密掃描、短效憑證、抗網絡釣魚多重驗證、最低權限原則，對未使用的 LLM 權限設定明確的 Deny 規則，並隔離金鑰的適用範圍。
• 透過按模型設定配額上限、預算提示、速率限制、網絡允許清單，以及更新提示詞和保護模型閘道，控制損害擴大。

7. 成功後的情況

• 雲端上的機密、資料庫密碼及外部服務 API 金鑰遭竊。
• 攻擊者透過建立具有管理員權限的 ID 或新增 SSH 金鑰，維持存取權限。
• LLM 配額和 GPU 運算資源遭濫用並轉售。Mandiant 報告指出，部分機構在存取權限被撤銷前，每日未經授權的使用額超過 $100,000，未經授權的費用約達 $1 million（報告沒有説明整筆 $1 million 是否在不足 8 小時內產生）。
• 受害機構的帳戶遭濫用，透過轉售的資源進行第三方活動。

8. 可觀測記錄

• 電郵：邀請電郵，或指引用戶貼上原始 JSON 權杖的假入口網站網址指引。
• 代理伺服器 / SWG / DNS：流向 jet-night.com、newapi.pro、未知 LLM 代理伺服器及公開 Ollama 端點的流量記錄。
• 端點 / EDR：執行雲端 CLI、複製存放庫、透過 curl/wget 向外傳送壓縮檔，以及修改 SSH 金鑰。
• 身分 / IdP：建立服務帳戶或存取金鑰、產生權杖、簽發聯合身分驗證權杖、附加管理員政策，以及可疑工作階段。
• SaaS / 雲端：啟用 LLM 服務、呼叫模型、建立 API 金鑰、提出增加配額的要求、啟動 GPU 執行個體、存取機密管理基礎架構，以及費用激增。
• 網絡：透過例如 max_tokens=1 等少量請求進行驗證流量後出現高頻推理請求、向多個區域發送突發流量，以及連線至未知中繼伺服器的輸出流量。

9. 攻擊成功評估

已確認惡意軟件執行或身分驗證成功

• 判斷階段：已確認惡意軟件執行或身分驗證成功（malware_or_authentication_success） / 範圍：多宗雲端入侵事件
• 依據：公開資訊：Google 報告多宗事件，攻擊者確實利用盜取的權杖和 API 金鑰存取雲端環境及 LLM API。

已確認資訊竊取或工作階段遭入侵

• 判斷階段：已確認資訊竊取或工作階段遭入侵（data_or_session_compromise） / 範圍：多宗雲端入侵事件
• 依據：公開資訊：已確認從存放庫、機密管理基礎架構及資料儲存庫竊取憑證和機密資料。

已確認後續入侵

• 判斷階段：已確認後續入侵（follow_on_compromise） / 範圍：LLM 資源變現
• 依據：公開資訊：已確認建立未經授權的帳戶、API 金鑰和 GPU 執行個體、啟用 LLM 服務，以及透過 LLM Mixers 轉售並產生費用。

10. 調查手冊

觸發條件

• 將 LLM 費用突然激增、啟用未使用的服務、建立陌生 API 金鑰或服務帳戶，以及透過 max_tokens=1 產生的驗證流量，列為調查觸發條件。

初步分流

• 識別產生費用的帳戶、曾被呼叫的模型、金鑰 ID、執行主體、來源 IP、User-Agent、請求頻率，以及服務最初啟用的時間戳記。

端點

• 保全相關工作負載的程序、SSH 金鑰、啟動指令碼、容器、存放庫複製痕跡、壓縮檔建立記錄及輸出流量記錄。

身分 / 雲端

• 交叉比對 IAM 變更記錄、權杖產生記錄、聯合身分驗證設定、機密存取事件、PAT 使用記錄及 GitHub 稽核記錄。

後續入侵

• 追蹤 new-api、gcli2api、LiteLLM 和 ai-relay 的部署或濫用、未經授權的 GPU 執行個體、連線至公開代理伺服器的情況，以及其他雲端服務憑證遭竊的情況。

遏止

• 撤銷遭濫用的金鑰、工作階段及權杖，隔離未經授權的 ID 和執行個體，停用不必要的 LLM 服務及配額，並輪替相關機密資料。

評估

• 將金鑰有效性檢查、雲端登入、機密資料竊取、持久化、資源濫用及對外轉售視為不同階段，逐一評估。

11. 防禦及偵測構想

單一事件偵測

• 偵測啟用通常處於停用狀態的 LLM 服務、產生 PROXY_ADMIN 金鑰、附加管理員政策，以及在整個專案中新增 SSH 金鑰。

時間序列關聯分析

• 將透過最精簡請求驗證金鑰、啟用服務、建立金鑰／帳戶、提高配額、大量呼叫推理服務及帳單激增等事件關聯起來，視為一條完整的攻擊鏈。

威脅狩獵方向

• 找出殘留在公開及私人儲存庫中的 LLM API 金鑰、服務帳戶 JSON 檔案及 PAT，並與使用記錄中的未知來源交叉比對。

記錄設計的盲點

• 缺少模型閘道請求本文、金鑰 ID、雲端稽核記錄或帳單匯出資料，會延誤發現未經授權的使用情況及識別成本來源。

優先應對措施

• 優先轉用短效憑證、落實最低權限原則及金鑰範圍限制、設定配額和預算上限、掃描機密資料，以及修補閘道漏洞。

12. 事實／推論／假設

事實

• 2026 年，Mandiant 在北美、南美及亞太地區的多個機構中應對 LLMJacking 事件，涉及金融、零售、科技及運輸行業。
• 多宗事件的主要初始入侵途徑均為外洩或被盜的雲端憑證，包括 IAM 憑證、服務帳戶金鑰、GitHub PAT 及有效工作階段權杖。此外，攻擊者亦濫用公開儲存庫中找到的公開 LLM 端點及 LLM API 金鑰。
• UNC6993 利用設定錯誤的服務帳戶金鑰入侵雲端執行個體；另一種手法則透過假冒入口網站，要求用戶貼上含有有效存取權杖的原始 JSON，藉此繞過密碼及 MFA。
• 攻擊者使用 max_tokens=1 發出最精簡請求，以驗證 LLM API 金鑰是否有效，避開因正常流量量級異常而觸發的偵測。
• 入侵後確認的活動包括列舉雲端服務、儲存庫及資料儲存區，複製私人儲存庫，從機密管理基礎設施竊取憑證，建立 IAM／服務帳戶、注入 SSH 金鑰，以及附加管理員政策。
• Google 報告了一宗事件：攻擊者利用預先取得的 Virtual Keys，藉由 LiteLLM 的 /key/regenerate 攻擊用戶 ID 重新綁定，將權限提升至 PROXY_ADMIN，並將其對應至 CVE-2026-40217。與此同時，LiteLLM 的官方公告 GHSA-wxxx-gvqv-xp7p 將相同的 CVE 編號描述為 /guardrails/test_custom_code 中的沙盒逃逸漏洞，意味著目標端點、所需前置權限及影響各有不同，兩者的對應關係仍未釐清。
• 攻擊者啟用託管 LLM 服務、新增 API 金鑰、建立 GPU 執行個體、提高配額、執行服務帳戶的消耗與輪替，並透過 LLM Mixers 或反向代理轉售已掌控的配額。
• Google 表示，攻擊者在不足 8 小時內呼叫 LLM API 超過 500,000 次，利用被盜 API 金鑰在 jet-night.com 上進行 token 路由。在同一宗 Jet Night 事件中，約 $1 million 的費用被轉嫁至受害機構。不過，資料沒有明確指出這筆費用的結算時段是否與不足 8 小時的時間範圍相同。在其他不同事件中，亦觀察到每日未經授權使用所造成的費用超過 $100,000。

推論

• Google 指出，雖然並非所有低價 LLM 閘道器都會使用被盜資源，但根據價格、使用規模及服務中斷模式相符等情況，評估認為 Jet Night 依賴被盜金鑰。

假設

沒有其他假設。未經核實的項目記錄在「不確定因素及限制」一節。

13. MITRE ATT&CK 對照

14. 不確定因素及限制

• 個別受害機構的名稱、所有威脅羣組的詳情、轉售資源的買家，以及財務損失總額，均未有公開披露。Google 報告的 Jet Night 事件約 $1 million 費用屬於單一個案，並非所有事件的普遍金額。目前尚未説明這筆費用的結算時段是否與觀察到超過 500,000 次 API 呼叫的不足 8 小時時間範圍相同。
• 至於 Google 報告的 LiteLLM /key/regenerate 權限提升問題，正確的 CVE 對應、受影響版本及修正版本仍未獲確認。必須小心，不要直接將官方 GHSA 提及的其他端點修補版本，視為應對此攻擊途徑的措施。

15. 對 SOC 及機構的影響

機構應將 LLM API 金鑰視為高價值雲端資源，並一併監察服務啟用、API 金鑰建立、低流量金鑰驗證請求、配額增加、推理 token 消耗量激增，以及帳單變動。機構亦應調查不同入侵途徑中涉及的 GitHub PAT、服務帳戶金鑰、聯合驗證 token 及模型閘道器，因為這些途徑均可能導致 LLM 濫用。

16. 按角色摘要

• SOC：按時間線關聯驗證流量與 max_tokens=1、LLM 服務啟用、API 金鑰建立、配額增加及推理請求激增等情況。
• 管理員：透過明確的 Deny 規則取消不必要的 LLM API 權限，實施金鑰範圍隔離、配額、預算上限及輪換，並確保模型閘道器獲得周全保護及定期更新。
• 用戶：不要信任要求提供雲端 token 或貼上原始 JSON 的外部入口網站；如懷疑金鑰已外洩，應立即撤銷。