Selon Google, le LLMjacking coûte jusqu'à 100 000 dollars par jour aux victimes

Le 2 novembre 2026, le Google Threat Intelligence Group (GTIG) a publié The Rise of LLMJacking, un rapport sur des attaquants qui détournent l'accès payant d'une entreprise aux grands modèles de langage et le font tourner à ses frais. Google indique que Mandiant, son équipe de réponse aux incidents, a traité plusieurs cas de ce type en 2026, chez plusieurs fournisseurs de cloud et de modèles, dans la finance, le commerce, la tech et le transport, en Amérique du Nord, en Amérique du Sud et en Asie-Pacifique.

Google écrit avoir observé, sur des incidents isolés, des frais frauduleux supérieurs à 100 000 dollars en une seule journée, et des montants cumulés atteignant 1 million de dollars dans certaines organisations avant que l'accès soit coupé. BleepingComputer a repris le rapport le 3 novembre avec les mêmes chiffres.

Plus rapide que le cryptojacking

Le GTIG compare le LLMjacking au cryptojacking, où des serveurs volés minent de la cryptomonnaie lentement, en arrière-plan. La différence, selon le rapport, c'est la vitesse : un accès détourné à un modèle peut faire exploser la facture en quelques heures. Dans plusieurs cas étudiés par Mandiant, la victime n'avait même pas activé les services d'IA. Les attaquants ont utilisé des clés d'accès volées pour activer eux-mêmes des services comme Bedrock ou l'API Gemini, puis ont fait grimper la facture en quelques minutes ou quelques heures.

Comment ils entrent

Certains attaquants cherchent des points d'accès à des modèles laissés ouverts sur internet. Le rapport montre l'un d'eux en train de tester des serveurs Ollama exposés et d'essayer d'y enregistrer ses propres modèles.

Selon Google, la porte d'entrée la plus fréquente reste les identifiants cloud volés ou exposés : identifiants IAM, clés de comptes de service, jetons d'accès personnels GitHub et jetons de session actifs. Un groupe que le GTIG suit sous le nom UNC6993 est entré dans une instance cloud par une clé de compte de service mal configurée. Il a aussi monté un faux portail qui demandait aux utilisateurs de coller une charge JSON brute contenant un jeton d'accès valide, ce qui lui permettait de contourner mot de passe et authentification multifacteur.

Les clés d'API des modèles sont une cible à part entière. Le GTIG décrit un groupe qui récupérait des clés d'API d'entreprise dans des dépôts GitHub publics, puis vérifiait lesquelles fonctionnaient encore avec des requêtes limitées à un seul token (max_tokens=1). Des requêtes aussi petites passaient sous les alertes de volume des outils de sécurité des victimes.

Une fois à l'intérieur, d'après le rapport, les attaquants fouillaient dépôts de code, journaux, bases de données et gestionnaires de secrets à la recherche d'autres identifiants, créaient des comptes dérobés et injectaient des clés SSH. Un groupe arrivé ensuite a exploité une faille de la passerelle LiteLLM, CVE-2026-40217, pour transformer des clés virtuelles ordinaires en identifiants d'administration complets.

Le marché de la revente

Le rapport suit ensuite l'argent. Le GTIG décrit des « LLM Mixers » : des services qui mettent en commun des clés volées, mesurent l'usage, masquent l'origine des requêtes et vendent l'accès à des abonnés. UNC6993 utilisait des passerelles open source comme new-api et gcli2api pour répartir les requêtes entre plusieurs comptes, et Google pense qu'il revend cet accès sur des boutiques clandestines.

Le cas le plus net est un service de routage de tokens appelé Jet Night. Selon le GTIG, un acteur a passé plus de 500 000 appels d'API en moins de huit heures avec des clés tierces volées pour le faire tourner, et Jet Night a reporté près d'un million de dollars de coûts en tokens sur l'organisation victime. Jet Night proposait une offre illimitée à environ 60 dollars par mois, avec un accès supposé aux modèles de pointe. Google note qu'une offre grand public comparable coûte en général entre 100 et 250 dollars par mois, et que le service a annoncé plusieurs pannes sur sa chaîne Telegram, probablement quand les victimes découvrent et révoquent les clés. Le GTIG liste jet-night.com et newapi.pro comme indicateurs de compromission.

Le GTIG s'attend à ce que les attaquants préfèrent de plus en plus le LLMjacking au cryptojacking, à mesure que les entreprises mettent en production des modèles plus chers et des agents.

Ce que Google conseille

La liste de mesures du rapport est longue. Celles qui concernent presque tous ceux qui paient pour de l'IA :

• Garder les clés dans un gestionnaire de secrets et les faire tourner automatiquement.
• Activer le scan de secrets sur GitHub ou GitLab pour repérer et retirer une clé commitée.
• Refuser l'accès aux services LLM du cloud à tout compte qui n'en a pas besoin.
• Fixer des quotas d'API par modèle et des plafonds de dépense.
• Restreindre chaque clé par modèle, environnement et limite d'usage, pour qu'une clé prévue pour un petit modèle ne puisse pas appeler un modèle cher.
• Surveiller les journaux de passerelle pour repérer les toutes petites requêtes comme max_tokens=1, qui précèdent souvent un abus à grande échelle.
• Mettre à jour les passerelles comme LiteLLM et imposer une authentification multifacteur résistante au phishing.

Google ajoute que l'activation d'un service d'IA que personne dans l'équipe n'a demandée doit être traitée comme un événement de sécurité critique.

Pas seulement un sujet pour les équipes sécurité

Une clé d'API d'IA traîne souvent dans un projet perso, un outil no-code ou un dépôt écrit par un agent. Le rapport montre ce qui arrive quand une telle clé fuit : le trafic de quelqu'un d'autre tourne sur votre compte, et la facture arrive en quelques heures, pas en quelques mois. Un plafond de dépense dans le tableau de bord du fournisseur est la mesure la moins chère de la liste de Google, et c'est celle qui limite les dégâts quand tout le reste a échoué.