Mandiant details LLMjacking abuse of stolen cloud credentials
Mandiant investigated multiple LLMjacking incidents in 2026 in which attackers used stolen cloud credentials and API keys to make unauthorized, high-volume use of enterprise AI services. In one case, an attacker routed stolen API access through Jet Night and made more than 500,000 LLM API calls in under eight hours, leaving the victim organization with nearly US$1 million in usage costs. Other attackers activated services such as Amazon Bedrock and Gemini API inside compromised cloud environments, while some resold access through the illegal proxy operation LLM Mixers.
Mandiant's findings show that stolen cloud identities can enable both direct LLM resource abuse and resale through proxy services, making API key management, quotas, billing alerts and cloud audit logs important enterprise controls.
Google旗下Mandiant公布2026年多起大型語言模型（LLM）資源遭盜用事件的調查結果，這類攻擊稱為LLMJacking。部分攻擊者利用遭竊的雲端存取憑證及API金鑰，未經授權大量使用企業的AI模型服務，部分受害企業因此單日產生超過10萬美元的雲端使用費用。
LLMJacking與過去駭客劫持雲端運算資源進行加密貨幣挖礦的手法類似。攻擊者也可能透過稱為LLM Mixers的非法代理服務，將遭盜用的企業AI模型存取能力轉售給第三方客戶，藉此牟利，相關模型使用費用卻由受害組織承擔。
根據Google威脅情報團隊（GTIG）調查，一起LLMJacking事件的攻擊者將遭竊的第三方API金鑰用於模型存取轉送服務Jet Night，在不到8小時內呼叫LLM API超過50萬次，讓受害組織承擔將近100萬美元的模型使用費用。在其他事件中，攻擊者則是在入侵企業雲端環境後，利用遭竊的存取金鑰，自行啟用受害企業原本未啟用的Amazon Bedrock、Gemini API等LLM服務，再大量使用模型資源。
圖片來源／Google
針對這類威脅，研究人員建議企業加強雲端身分與服務帳號的權限管理，並將LLM服務遭到未經授權啟用視為重要資安事件，同時監控API呼叫量與模型使用費用是否出現異常。企業也應設定適當的API使用配額與費用警示，確認已啟用相關稽核紀錄，以便及早發現模型資源遭到未經授權使用。
#Mandiant#Google Threat Intelligence Group#Jet Night#LLM Mixers#Amazon Bedrock#Gemini API