11月7日、pbxscience.comが「Google Warns of LLMjacking: Stolen AI Access Is Leaving Companies With Bills of Up to $1 Million」と題した記事を公開した。企業のクラウドAI認証情報を盗んで転売する「LLMjacking」攻撃がGoogleによって報告されており、被害額が最大100万ドルに達した事例や、盗んだAPIキーを使ったフロンティアモデルへのアクセスが月額わずか60ドルで闇市場に流通している実態が明らかになっている。

1日で10万ドル超、累計100万ドルの請求書

Googleの脅威インテリジェンスグループ（GTIG）とMandiantは2026年11月2日に公開したレポートの中で、LLMjackingと呼ばれる攻撃手法への対応事例を複数報告した。

LLMjackingとは、企業が保有するクラウドAIサービスへのアクセス権限を盗み出し、それを不正に転売するという手口だ。攻撃者が直接利益を得る一方、被害企業にはAIのAPI利用料が請求される。概念自体は2024年頃から観測されていたが、GTIGの今回のレポートは実被害額・攻撃クラスター・地下サービスの実態を具体的な事例とともにまとめた点で重要な報告となっている。

被害規模は深刻で、単日に10万ドルを超える不正請求が発生した事例や、アクセスが失効するまでに累計100万ドル近い請求が積み上がった組織も確認されている。ある事例では、8時間以内に50万回以上のLLM APIコールが実行された。

被害は北米・南米・アジア太平洋地域の金融・小売・テクノロジー・輸送業界に及ぶ。

どこから侵入するのか

GTIGが確認した主な侵入経路は以下の3つだ。

• 設定ミスのあるサービスアカウントキー：「UNC6993」と追跡されたクラスターは、クラウドインスタンスのキーを奪い、そこから追加のAPIキーを作成。被害組織のプロジェクト内で10万ドルを超える請求を発生させた。

• セッションハイジャック：UNC6993はLLMユーザーグループへの参加申し込みを装った偽ページを用意し、訪問者にアクティブなアクセストークンを含むペイロードを貼り付けさせることで、パスワードや多要素認証（MFA）をすり抜けた。

• GitHubへの漏洩キー収集：公開リポジトリからLLM APIキーをスクレイピングし、max_tokens=1（出力を1トークンに制限）という極小リクエストで有効性を検証。監視ツールの量ベースアラートをすり抜ける設計になっている。

闇市場に並ぶ「月額60ドルの無制限AIアクセス」

GTIGが報告した中でとくに実態がわかりやすいのが、Jet Nightというトークンルーティングサービスだ。フロンティアモデルへの無制限アクセスを月額約60ドルで販売しており、この価格が成立する理由は、盗んだ第三者のAPIキーを使って実費を被害者に押しつけているためだとGTIGは分析している。GTIGのレポートによれば、Jet Nightが断続的にダウンするタイミングは、被害者がキーの不正利用を発見して失効させた時期と一致していたという。

こうした仕組みを支えているのがLLM Mixerと呼ばれる地下サービスだ。攻撃者の役割は「認証情報の窃取」と「不正ルーティングサービスの運営」に分業化が進んでおり、後者がAPIアクセスを集約・転売するゲートウェイとして機能する。

SymantecとCarbon Blackも別途、企業のAIコーディングアシスタントをサードパーティサーバー経由にリルートするグレーマーケットのサービスを報告している。

最初のキー失効だけでは不十分

GTIGが強調するのは、盗まれたキーを失効させるだけでは不十分という点だ。攻撃者は侵入後に追加の足場を築いており、具体的には以下の行動が確認されている。

• コードリポジトリやデータベースからの追加シークレット収集
• 不正なIAM・サービスアカウントの作成
• 計算インスタンスへのSSHキー注入
• 社内の請求最適化ツールに偽装したバックドアサービスアカウントの設置
• レート制限をかわすための短期サービスアカウントの「作成と削除の繰り返し」

また、AIリクエストのルーティングに使われるオープンソースゲートウェイ**LiteLLM**の脆弱性も悪用された。元記事ではCVE番号およびLiteLLMの修正済みバージョンが記載されているが、これらの数値は元記事で確認のうえ参照していただきたい。当該脆弱性はカスタムコードのガードレール機能に存在するサンドボックス脱出を含む3つの脆弱性チェーンであり、LiteLLMを使用している組織は元記事記載のバージョン以降への更新を確認する必要がある。

防御側がとるべき対策

GTIGは以下の対策を推奨している。各項目には、LLMjackingの手口に照らした背景も添える。

• AIサービスの予期しない有効化を高リスクシグナルとして扱う：AIを自社で使っていない組織でも、侵害されたクラウド環境を踏み台にされれば請求対象になりうる。自社のクラウドプロジェクト内でAIサービスが突然有効化された場合は即座に調査すべきだ。
• 新規アクセスキーの作成・アカウントの大量生成と削除・異常なモデルリクエスト・ログ無効化の試みを監視する：攻撃者はキーを失効させられても再侵入できるよう、先回りして複数の足場を用意する。これらのシグナルを見逃すと、最初のキーローテーション後も被害が続く。
• 漏洩キーのローテーションとリポジトリのシークレットスキャン：GitHubへの誤コミットが主要な初期侵入経路の一つとなっている。git-secretsやtruffleHogなどのツールを導入してプッシュ前検査を自動化することが望ましい。
• 最小権限の適用と、クラウドLLMサービスへのデフォルト拒否設定：過剰な権限を持つサービスアカウントがあると、侵入後に攻撃者が追加のAPIキーを自由に作成できてしまう。
• 予算アラートとモデルごとのクォータ設定：異常な請求額が発生した際にいち早く検知するための最後の防衛線となる。
• 極小リクエストも監視対象に含める：攻撃者はmax_tokens=1のような量的に目立たないリクエストでキーの有効性を確認する。量ベースのアラートだけでは検知が漏れる。

GTIGは今後、LLMjackingが暗号通貨マイニングの乗っ取り（クリプトジャッキング）に代わる主要な攻撃手法として普及すると予測している。地下のLLM Mixerが収益化を容易にしているためだ。

詳細はGoogle Warns of LLMjacking: Stolen AI Access Is Leaving Companies With Bills of Up to $1 Millionを参照していただきたい。