Cyberkriminelle stehlen KI-API-Schlüssel und Cloud-Zugangsdaten, um Workloads über die Konten von Unternehmen auszuführen und innerhalb weniger Minuten Rechnungen von mehr als 100.000 Dollar zu verursachen. Die Threat Intelligence Group (GTIG) von Google zufolge hat die als LLMjacking bekannte Praxis in den vergangenen Jahren zugenommen und entwickelt sich zu einem spezialisierten Ökosystem der Cyberkriminalität.
Angreifer nehmen typischerweise zunächst ungeschützte Endpunkte von Sprachmodellen ins Visier oder beschaffen sich gültige API-Schlüssel. Sie können auch gestohlene Cloud-Zugangsdaten verwenden, etwa Identitätstoken, Schlüssel für Dienstkonten, persönliche GitHub-Zugriffstoken oder aktive Sitzungstoken, um sich erstmals Zugang zur Infrastruktur einer Organisation zu verschaffen. Anschließend versuchen sie, ihre Berechtigungen auszuweiten und den Zugriff aufrechtzuerhalten.
Die GTIG beschreibt LLMjacking als die unbefugte Vermarktung und Nutzung von Foundation-Modellen. Angreifer können Anfragen über gestohlene Konten weiterleiten, Modellausgaben automatisch streamen oder GPU-Hardware bereitstellen. Für die Opfer bedeutet das: Kriminelle nutzen den KI-Zugang des Unternehmens, während das Unternehmen die Rechnung bezahlt.
Die Kosten können sich schnell summieren. Google berichtete, dass eine als UNC6993 erfasste Gruppe versuchte, zusätzliche API-Schlüssel zu erstellen und Dienste in den Cloud-Projekten der Opfer zu aktivieren. Dadurch entstanden Kosten von mehr als 100.000 Dollar. In einem anderen Fall registrierte ein Angreifer die Konten der Opfer für nutzungsabhängige Tarife, wählte Premium-Modelle aus und startete Inferenz-Streams mit hohem Volumen. Die Gruppe erstellte und löschte wiederholt kurzlebige Dienstkonten, um Ratenbegrenzungen zu umgehen, und überwachte dabei die entstehenden Kosten.
Einige Angreifer nutzen kompromittierte Zugänge außerdem, um Proxy-Dienste aufzubauen und agentenbasierte Workloads auszuführen. Bei einer Operation richtete ein Akteur öffentlich zugängliche Reverse-Proxys und eine maßgeschneiderte Node.js-Software ein, um unter dem Namen D1337-KAIROS Zugang zu mehreren führenden Modellen anzubieten. Außerdem setzte der Akteur eine containerisierte Hintertür ein, die ein LLM abfragte, um Anweisungen zu interpretieren und lokal Befehle auszuführen.
Laut GTIG wird das Ökosystem zunehmend spezialisierter: Einige Gruppen verschaffen sich Zugang zu Organisationen, während andere den Weiterverkauf dieser Zugänge übernehmen. Diese nachgelagerten Betreiber, die als „LLM Mixer“ bezeichnet werden, nutzen Gateways, um unbefugten Modellzugang weiterzuleiten, zu bündeln und zu verkaufen. Google beobachtete zwei operative Gruppen, die sich abstimmten, um die KI-Infrastruktur von Unternehmen zu kompromittieren und zu monetarisieren. Dabei verwendeten sie Relaysysteme, um gestohlene Zugangsdaten zusammenzuführen, die Nutzung nachzuverfolgen und den Ursprung der Anfragen zu verschleiern.
Google erwartet, dass Kriminelle LLMjacking zunehmend ins Visier nehmen werden. Das Unternehmen rät Organisationen, ihre KI-Plattformen besser zu überwachen, Änderungen an Konten und Diensten im Blick zu behalten, nicht autorisierte Aktivierungen als kritische Sicherheitsvorfälle zu behandeln und Berechtigungen auf diejenigen Nutzer und Konten zu beschränken, die sie benötigen.
Quellen: TechRadar.