11月3日、CSO Onlineが「Enterprises pay $100,000 a day for AI they never ordered」と題した記事を公開した。企業のクラウドAI認証情報を盗み出し、地下サービスとして転売する「LLMjacking」と呼ばれる攻撃手口が横行している。被害企業はAIを一切使っていないにもかかわらず、1日10万ドルを超す課金が静かに積み上がっていく——Googleの脅威インテリジェンスチーム（GTIG）が警告するこの実態を、以下に詳しく紹介する。
LLMjackingとは何か
「LLMjacking」とは、企業のクラウドLLM（大規模言語モデル）APIアクセス権を不正に乗っ取り、それを地下マーケットで有料サービスとして転売する攻撃手口の総称だ。名称は仮想通貨の不正マイニングを指す「cryptojacking」に倣っており、2024年頃から複数のセキュリティ研究者によって観測・命名されている。cryptojackingがCPU・GPUリソースを搾取するのに対し、LLMjackingが標的とするのはLLM APIの推論コストだ。正規の認証情報を使ったリクエストとして処理されるため、被害企業のシステムからは不正アクセスとして検知されにくく、課金だけが先行して積み上がるという点が特徴的な被害構造を生む。
1日10万ドルの請求が突然届く
GTIGによると、この手口で1日あたり10万ドルを超す偽の課金が発生したケースがあり、被害企業がアクセスを遮断するまでに累計100万ドル近くに達した事例も確認されている。北米・南米・アジア太平洋にまたがる多様なクラウドおよびLLMプロバイダーが対象となっている。
攻撃者は盗んだLLM APIアクセスを「LLM Mixer」と呼ばれる地下の中継サービスを通じて有料会員に転売する。被害企業のシステムは正規の認証情報を使ったリクエストだと認識するため、不正アクセスに気づかないまま課金だけが積み上がっていく。
「LLM Mixer」という犯罪インフラ
LLM Mixerとは、盗んだAPIキーを束ねて不特定多数のサブスクリプション利用者に提供する犯罪的なルーティングゲートウェイである。複数のアカウントにリクエストを分散させることで、消費量を薄め、アクセス元の特定を困難にする仕組みだ。
GTIGが追跡した脅威アクターの一つ「UNC6993」は、オープンソースゲートウェイのnew-apiや「gcli2api」を使って盗んだキーを集約し、リクエストを分散させていた。
別の攻撃では、盗んだサードパーティAPIキーを使い、正規のトークンルーティングサービス「Jet Night」を悪用。わずか8時間未満で50万件以上のLLM APIコールを実行し、被害企業に約100万ドルのトークンコストを押し付けた。Jet NightはフロンティアモデルへのAPIアクセスを月額約60ドルで広告しており、正規の同等サービスと比較して大幅に安い。GTIGはJet Nightで散発的に発生したダウンタイムについて、被害企業がキーを無効化したことが原因だと推測している。
Swimlaneのリードセキュリティ自動化アーキテクト、Nick Tausek氏はこう述べている。
「盗んだモデルアクセスを売りさばくことで、攻撃者はそのアクセスをできるだけ長く維持する動機を持つ。クラウドの請求額が爆発している理由を誰かが問い始めた頃には、攻撃者はすでに有料顧客を抱えているかもしれない。」
攻撃の入口は「1トークンのリクエスト」
初期侵入に使われるのは、IAM認証情報、サービスアカウントキー、GitHubのパーソナルアクセストークン、アクティブなセッショントークンといった、公開リポジトリや不正取得によって手に入れた認証情報だ。
特に注目すべき手口は、**max-tokens=1** という極小リクエストによるキーの有効性確認である。消費量がほぼゼロのため、通常の消費ベース検知をくぐり抜けられる。
Tausek氏はこれに対し、「単一トークンのリクエストだけでは検知はほぼ不可能だが、新規作成された認証情報や予期しない権限変更と組み合わせれば、調査の端緒になる」と指摘する。
アクセス確立後、攻撃者は追加の認証情報を求めてクラウドサービス・リポジトリ・データストアを横断し、SSHキーの注入や不正なサービスアカウントの作成、権限昇格といった行動を取る。
さらにGTIGは、LLMゲートウェイとして広く使われる**LiteLLM**において、「ユーザーIDリバインド脆弱性（CVE-2026-40217）」を悪用し、通常の仮想キーを管理者権限に昇格させる攻撃も観測している。なお、このCVE番号は元記事に記載されたものを引用しているが、発行年次の確認を推奨する。
組織が取るべき対策
GTIGは以下の対策を推奨している。
- 認証情報を対象モデル・ワークロード・エンドポイントに限定する（最小権限の徹底）
- APIキーのスコープを細粒度で設定する
- 低ボリュームの不審なリクエストを監視する
- モデル消費に上限（スペンディングリミット）を設ける
- 未認可のAIサービス有効化やゲートウェイの脆弱性を継続的に監視する
Tuskiraの共同創業者兼CEO、Piyush Sharma氏は「あるアプリケーション向けに発行したキーが、他のモデルやワークロードへの再利用可能なパスになってはならない」と強調する。ゲートウェイレイヤーを掌握された場合、当初の侵害認証情報の範囲を超えたアクセスが開かれる点も見逃せない。
LLMjackingはcryptojackingと同様、被害が顕在化するまでに相当な時間差が生じる。請求異常の検知・認証情報スコープの絞り込み・ゲートウェイ監視の三点を軸に、AIインフラ固有の防御策を今から整備しておくことが重要だ。
詳細はEnterprises pay $100,000 a day for AI they never orderedを参照していただきたい。
