Mandiant: kaprede LLM-nøkler kostet ofre opptil 1 million dollar, og åpne Ollama-servere testes
tirsdag 3. november · KI-generert · Kilde: Google Cloud
Lås ned LLM-nøklene og skybudsjettet ditt: Mandiant har sett kaprede nøkler gi regninger på opptil 1 million dollar, og angripere tester åpne Ollama-servere.
Mandiant og Google Threat Intelligence Group (GTIG) beskriver i en rapport publisert 2. november flere hendelser i 2026 der angripere kapret bedrifters tilgang til språkmodeller, en taktikk kalt LLMjacking. Enkelte ofre fikk over 100 000 dollar i falske skykostnader på én dag, og hos noen nådde den samlede regningen 1 million dollar før tilgangen ble stengt. Hendelsene rammet finans, handel, teknologi og transport i Nord-Amerika, Sør-Amerika og Asia-Stillehavsregionen.
Forskjellen fra cryptojacking er tempoet: der gruvedrift spiser ressurser gradvis, gir LLMjacking store kostnadstopper i løpet av timer. Den vanligste inngangen er lekkede eller stjålne sky-identiteter, som IAM-nøkler, Service Account-nøkler, GitHub Personal Access Tokens og aktive sesjonstokens. Én gruppe høstet LLM-API-nøkler fra offentlige GitHub-repoer og testet dem med forespørsler på max_tokens=1, små nok til å gå under volumvarslene i SIEM. I flere saker var LLM-tjenestene ikke slått på hos offeret, så angriperne aktiverte Bedrock eller Gemini API selv.
Mye av tilgangen selges videre. GTIG følger en arbeidsdeling mellom dem som bryter seg inn og dem som driver salgsleddet:
«LLM Mixers fungerer som ulovlige routing-gatewayer som videresender, samler og selger uautorisert LLM-tilgang videre til abonnenter i undergrunnen.» — Google Threat Intelligence Group
Én aktør kjørte over 500 000 API-kall på under åtte timer for å drive tjenesten Jet Night, som sendte nesten én million dollar i tokenkostnader til offeret. Jet Night selger en ubegrenset pakke for rundt 60 dollar i måneden. Gruppen UNC6993 brukte open-source-verktøyene new-api og gcli2api, trolig for å samle stjålne nøkler og fordele trafikken.
To funn treffer deg som selvhoster. Rapporten viser en angriper som kaller /api/create på offentlig eksponerte Ollama-endepunkter for å registrere og kjøre egne modeller på andres maskinvare. Ollama binder seg til 127.0.0.1 port 11434 som standard, ifølge Ollamas egen FAQ, så eksponeringen oppstår først når du flytter adressen med OLLAMA_HOST. Det andre funnet gjelder LiteLLM: en oppfølgende gruppe brukte endepunktet /key/regenerate til å løfte vanlige Virtual Keys til PROXY_ADMIN. Mandiant knytter dette til CVE-2026-40217. Obsidian Security, som rapporterte deler av kjeden til BerriAI, fører det nummeret opp som en kodekjøringsfeil i /guardrails, mens feilen i nøkkelendepunktene har CVE-2026-47101. Rettingen er uansett den samme:
«Oppgradering til den versjonen eller nyere lukker hele kjeden.» — Obsidian Security, om LiteLLM v1.83.14-stable fra 25. april 2026
GTIG venter at LLMjacking vil gå forbi cryptojacking som foretrukket ressurstyveri, fordi videresalget gir rask fortjeneste.
Hva bør du gjøre?
- Sett budsjettvarsler og harde kvoter per modell hos skyleverandøren, og begrens hver API-nøkkel til modellene og miljøet den faktisk trenger.
- Kjør secret scanning på repoene dine, og se i audit-loggene etter forespørsler med max_tokens=1 og uventet aktivering av LLM-tjenester. På GCP er Data Access-loggene som viser inferens slått av som standard.
- Hold Ollama på 127.0.0.1, eller legg en reverse proxy med autentisering foran hvis serveren må nås fra nettverket.
- Oppgrader LiteLLM til v1.83.14-stable eller nyere hvis du kjører den som gateway.