LLMjacking називають схемою, за якої зловмисникам не потрібно ламати саму мовну модель. Достатньо отримати хмарні облікові дані компанії, щоб перевірити доступ до платних LLM-сервісів і споживати їхні ресурси коштом жертви. Дослідження Sysdig показує, як звичайна компрометація інфраструктури може перейти у неконтрольовані витрати та потенційне вилучення даних.
Вразлива версія Laravel стала початковою точкою доступу
У дослідженому Sysdig випадку початковий доступ пов’язали із системою на вразливій версії Laravel, для якої відома CVE-2021-3129. Після проникнення зловмисники ексфільтрували хмарні облікові дані.
Це важливе розмежування: LLMjacking не є вразливістю Claude, OpenAI чи іншої окремої моделі. У описаному сценарії ключовою проблемою стала компрометація сервера та секретів, що відкрили шлях до хмарних сервісів.
Викрадені дані перевіряли для Claude, Bedrock, Azure та Vertex AI
Після отримання доступів зловмисники перевіряли, чи можуть працювати з моделями Claude v2 і v3. Дослідники також знайшли скрипт, призначений для перевірки облікових даних одразу у десяти сервісах.
Серед названих платформ були Anthropic, AWS Bedrock, Azure, OpenAI та Google Cloud Vertex AI. Така перевірка показує, що один набір скомпрометованих хмарних даних може бути цінним не лише для доступу до одного сервісу, а й для пошуку доступних ресурсів у кількох середовищах.
Ознаки LLM reverse proxy вказують на можливе перепродавання доступу
Sysdig виявила ознаки використання LLM reverse proxy. Це узгоджується з версією, що доступ до скомпрометованих акаунтів могли перепродавати або надавати через проміжну інфраструктуру, тоді як рахунок залишався б на боці компанії-жертви.
Водночас цей мотив не встановлено остаточно. Дослідники допускають і інші цілі, зокрема вилучення даних для навчання моделей. Тому ознаки reverse proxy не варто подавати як беззаперечний доказ продажу доступу.
Найменші привілеї та ротація ключів зменшують площу атаки
Рекомендації Sysdig зосереджені на контролі доступів і спостереженні за їхнім використанням. Для компаній, які оплачують LLM-сервіси, пріоритетними є такі кроки:
- застосовувати принцип найменших привілеїв до хмарних ролей і доступів;
- захищати ключі та регулярно їх ротувати;
- відстежувати аномальне використання LLM-сервісів і хмарних облікових даних.
Ці заходи не усувають усі ризики компрометації, але обмежують можливість непомітно використати викрадений доступ у великому масштабі.
Оцінка у 46 000 доларів на добу не є рахунком постраждалої компанії
Sysdig оцінила, що непомічений сценарій атаки міг би призвести до витрат понад 46 000 доларів США на добу. Це не підтверджений рахунок конкретної організації, а сценарна оцінка дослідників.
Сам кейс також походить від постачальника кібербезпеки, а не від регулятора чи судового документа. Проте його технічна логіка важлива для бізнесу: витрати на LLM можуть стати індикатором не лише активного використання сервісу, а й компрометації хмарних доступів.