11月4日、Divyaが「Google Warns of LLMJacking Attacks That Generate Over $100,000 in Cloud AI Bills Per Day」と題した記事を公開した。なお本記事はGBHackersによる二次報道であり、一次情報はGoogle CloudおよびMandiantが公開した公式脅威インテリジェンスレポートに基づく。企業のクラウドAI利用権を不正に乗っ取り、巨額の推論コストを被害者に丸ごと押し付ける「LLMJacking」が急拡大している——単一インシデントで1日10万ドルを超える事例が記録されており、AIコストが高騰する現在の構造的背景とあいまって、攻撃者にとってかつてないほど割の良い犯罪となっている。
1日10万ドル超——LLMJackingとは何か
Google傘下のサイバーセキュリティ企業Mandiant（※旧FireEye。現在はGoogle Cloudに統合されており、高度持続的脅威（APT）追跡などで知られる）とその脅威分析部門GTIG（Google Threat Intelligence Group）が警告する「LLMJacking」は、企業が保有するクラウド上のLLM（大規模言語モデル）利用権を攻撃者が不正に奪取し、その推論コストを被害者に付け回す攻撃手法だ。
Googleの公式レポートによれば、単一インシデントで1日10万ドル超の請求が発生した事例が記録されており、アクセス権を失効させるまでに累計100万ドルに達した組織も存在する。
従来のクリプトジャッキング（※被害者のコンピュータリソースを無断で使用して暗号資産をマイニングする攻撃手法）は請求が緩やかに積み上がるため、発見が遅れても被害額はある程度抑えられた。一方、LLMJackingは数時間で巨大な請求スパイクを引き起こす点が根本的に異なる。
Mandiantが対応した2026年の複数インシデントは北米・南米・アジア太平洋地域にまたがり、金融・小売・テクノロジー・輸送業が被害を受けた。
なぜ今LLMが狙われるのか
LLMJackingが急増する背景には、AIインフラコストの構造的な高騰がある。高性能モデルの推論には膨大なGPUリソースが必要であり、GPT-4クラスやGemini Ultraクラスのモデルを大量呼び出しするコストは、個人・小規模グループには現実的に払えない水準に達している。その結果、正規の企業アカウントに紐づいたAPIキーは「高性能AIへの無料パスポート」として闇市場で高値がつくようになった。企業がエージェント型ワークフローや大規模バッチ処理にLLMを組み込むほど、乗っ取られたアクセス権の価値も比例して上がる構造だ。
攻撃の構造——「LLM Mixer」という分業体制
GTIGが追跡する攻撃には明確な分業が存在する。
- 初期侵入アクター：クラウド認証情報を窃取し、LLMへのアクセス権を確保する
- LLM Mixer：窃取されたLLMアクセスを束ね、プロキシ経由でアンダーグラウンドの購読者に転売する「不正ゲートウェイ」
攻撃者はチャットボットの表層部分ではなく、バックエンドのモデルリソースを直接狙う。主要な侵入経路はIAM認証情報・サービスアカウントキー・GitHubパーソナルアクセストークン・セッショントークンといったクラウドIDの漏洩・窃取だ。侵入後はOllama（※オープンソースのLLMローカル実行ツール。外部公開されたインスタンスはエンドポイントが認証なしで露出しているケースがある）サーバーを探索したり、/api/createエンドポイントに独自モデルを登録しようとしたりする動作も確認されている。
具体的な手口として以下が確認されている：
UNC6993（※GTIGが追跡する攻撃グループの識別子。UNCはMandiantの命名規則で「未分類グループ」を意味する）：設定ミスのあるサービスアカウントキーでクラウドインスタンスに侵入。さらに偽のポータルサイトを構築し、ユーザーにJSONセッショントークンを貼り付けさせることでパスワードおよびMFAを回避した
APIキー収集：公開GitHubリポジトリからLLM APIキーを収集し、
max_tokens=1のリクエストで有効性を検証。EDR・SIEMアラートを意図的に回避している権限昇格：LiteLLM（※複数のLLMプロバイダAPIを統一インターフェースで呼び出せるオープンソースのLLMゲートウェイ。企業がOpenAI・Anthropic・Geminiなどのモデルを一元管理するミドルウェアとして広く利用されている）の
/key/regenerateエンドポイントに存在するユーザーIDリバインドの脆弱性（CVE-2026-40217）を悪用し、仮想キーをPROXY_ADMINに昇格させた
実被害の規模——月額60ドルで「無制限」AIを売る闇サービス
UNC6993は管理AIサービスを有効化し、追加APIキーを作成することで10万ドル超の料金を短期間で積み上げた。
別のアクターは8時間未満で50万回超のAPIコールを実行し、jet-night.comというサービスを運営。被害者側に押し付けたコストは100万ドル近くに達した。Jet Nightは月額約60ドルの「無制限」プランを販売していたが、GTIGはその価格設定が窃取キーの転用を示唆していると指摘する。
防御側がとるべき対策
GTIGが推奨する対策は以下のとおりだ：
- 一元化されたシークレット管理システムの導入と自動キーローテーション
- 最小権限の原則に基づくアクセス制御（不要なLLMサービスアクセスは拒否）
- コードリポジトリのシークレットスキャン
- APIクォータ・支出上限・予算アラートの設定
- フィッシング耐性MFAの全クラウドIDプロバイダへの適用
- APIキーを特定モデル・環境にスコープ限定
max_tokens=1のような低ボリューム検証リクエストをログで能動的に監視- LiteLLMなどのゲートウェイを迅速にパッチ適用
- BedrockやGemini APIの未承認アクティベーションを重大インシデントとして扱う
今後の見通し
GTIGは、攻撃者が今後クリプトジャッキングよりもLLMJackingを優先するようになると予測している。LLM Mixerは高マージンの収益を短期間で得られる手段であり、企業側が高性能モデルやエージェント型ワークフローを取り込むにつれて攻撃対象の価値も増す。AIインフラへの依存度が高まる一方でセキュリティ対策が追いついていない組織は、今後より深刻なリスクにさらされる可能性がある。
詳細はGoogle Warns of LLMJacking Attacks That Generate Over $100,000 in Cloud AI Bills Per Dayを参照していただきたい。
