LLMJacking : quand les pirates détournent les accès aux modèles d’IA

Mandiant, la branche de Google spécialisée dans la réponse aux incidents, a recensé une série d’intrusions ciblant les accès aux grands modèles de langage (LLMLLMUn grand modèle de langage apprend des régularités dans des textes pour produire ou transformer du langage. Il ne constitue pas une base de faits garantie.) en 2026. Le phénomène, baptisé « LLMJacking », ressemble au cryptojacking mais se distingue par des facturations massives en quelques heures, parfois supérieures à un million de dollars avant que les comptes ne soient bloqués.

Des attaques multirégionales et multisectorielles

Les victimes sont dispersées entre l’Amérique du Nord, l’Amérique du Sud et l’Asie‑Pacifique, et proviennent de secteurs très différents : finance, commerce de détail, technologie ou transport. Aucun fournisseur de cloud ni aucun éditeur de modèles n’est à l’abri ; les cybercriminels exploitent des points d’accès LLM exposés ou des clés d’API valides, contournant les interfaces publiques.

Vecteurs d’accès privilégiés

Le vol de jetonsTokenUnité de contenu traitée par un modèle de langage, pouvant représenter un mot, une partie de mot ou un caractère. d’identité (ID Tokens), d’identifiants IAM, de clés de comptes de service ou de Personal Access Tokens (PAT) GitHub constitue le vecteur dominant. Plusieurs scénarios ont été documentés :

• Le groupe UNC6993 a pénétré une instance cloud grâce à une clé de compte de service mal configurée, puis a présenté une fausse page d’authentification demandant à l’utilisateur de coller le contenu JSON d’un jeton d’accès actif.
• Un autre acteur a combiné un PAT volé avec une vulnérabilité suspectée dans un conteneur, obtenant ainsi un accès aux dépôts de code privés.
• Des identifiants IAM d’employés et des jetons de fédération ont été réutilisés pour générer de nouvelles clés, contournant l’exigence de MFA.
• Des clés d’API LLM découvertes dans des dépôts GitHub publics ont été testées avec des requêtes de faible volume (max_tokens=1) afin d’échapper aux alertes des EDR et SIEM.

Escalade, persistance et exploitation

Une fois à l’intérieur, les pirates cartographient les services, les politiques d’identité et les dépôts de code à la recherche de secrets en dur. Ils créent alors des comptes IAM ou de service factices, parfois déguisés en outils internes d’optimisation de facturation, et injectent des clés SSH dans les instances de calcul. Un cas notable montre l’abus de privilèges de création de tokens pour obtenir des identifiants temporaires très privilégiés et extraire des secrets depuis les gestionnaires de secrets du cloud.

Le Google Threat Intelligence Group (GTIG) a aussi identifié une faille dans un logiciel de routage LLM. Un groupe a exploité la vulnérabilité CVE‑2026‑40217 (réaffectation d’identifiant utilisateur sur /key/regenerate) pour transformerTransformerArchitecture de réseau neuronal reposant notamment sur des mécanismes d'attention pour traiter des séquences de données. des clés virtuelles standards en identifiants d’administration complets (PROXY_ADMIN).

Monétisation via les « LLM Mixers »

Les acteurs ne se contentent pas de consommer les modèles ; ils revendent l’accès sur le marché noir. Les « LLM Mixers » fonctionnent comme des passerelles de routage illicites, agrégant et redistribuant les clés volées à des abonnés clandestins. UNC6993 a utilisé des outils open source (new‑api, gcli2api) pour agréger ces clés et répartir la charge entre plusieurs comptes.

Un service nommé Jet Night (jet‑night.com) a facturé près d’un million de dollars en moins de huit heures grâce à plus de 500 000 appels d’API avec des clés tierces volées. Le service propose un forfait « illimité » à environ 60 $ / mois, bien en dessous du prix d’un accès public équivalent (100‑250 $ / mois). Les pannes signalées sur son canal Telegram public coïncident avec des révocations de clés par les victimes.

Quels signes de compromission surveiller ?

Mandiant a constaté que, dans plusieurs incidents, les services LLM n’étaient pas actifs au moment de la compromission. Les clés détournées ont servi à activer les services (Bedrock, API Gemini, etc.). Toute activation non autorisée doit donc être traitée comme un événement de sécurité critique. Les organisations devraient renforcer la surveillance des usages d’API, mettre en place des limites de débit strictes et auditer régulièrement les secrets stockés dans leurs environnements cloud.

Vers une escalade du phénomène

Le GTIG prévoit que le LLMJacking dépassera le cryptojacking grâce à une monétisation immédiate et à forte marge. L’intégration croissante de modèles haut de gamme et de workflows agentiques en production augmente la surface d’attaque. Les cybercriminels affinent leurs outils de reconnaissance automatisée des jetons d’API exposés et exploitent de plus en plus les failles des intergiciels de routage.

Les entreprises qui adoptent l’IA générativeIA générativeIntelligence artificielle capable de créer de nouveaux contenus, notamment du texte, des images, du son, des vidéos ou du code. doivent donc repenser leurs politiques d’accès, appliquer le principe du moindre privilège et surveiller de près toute activité inhabituelle sur leurs comptes de service.

En renforçant la visibilité sur les flux d’API et en limitant la diffusion des clés d’accès, les organisations peuvent réduire significativement le risque de se retrouver victimes de LLMJacking.