LLMjacking : plus de 100 000 $ de factures en un jour

Ce qui se passe

Google Threat Intelligence Group et Mandiant ont publié lundi 2 novembre un rapport sur le LLMjacking : l'attaquant obtient l'accès aux modèles de langage d'une organisation et le propriétaire en paie la consommation. Contrairement au cryptojacking, qui grignote lentement, la facture peut exploser en quelques heures. Sur des incidents précis, Google cite plus de 100 000 $ de frais frauduleux en une seule journée, et jusqu'à 1 million de dollars cumulés dans certaines organisations avant la révocation de l'accès. Les victimes se trouvent en Amérique du Nord, en Amérique du Sud et en Asie-Pacifique : finance, commerce, technologie, transport.

Par où l'attaquant entre

Le point d'entrée le plus courant n'est pas une clé de modèle mais une identité cloud exposée ou volée : identifiants IAM, clés de compte de service, jetons d'accès personnels GitHub, jetons de session actifs. Autres chemins observés :

des clés d'API de LLM trouvées dans des dépôts GitHub publics ;
des clés exposées dans du code côté client, des fuites de code source, des environnements mal configurés ;
l'hameçonnage : le groupe UNC6993 a hébergé une fausse page de portail qui invitait à coller le JSON brut d'un jeton de session actif, ce qui contourne mot de passe et double authentification ;
un identifiant IAM d'employé pour générer de nouvelles clés d'accès et contourner la double authentification ;
l'exploitation de logiciels de routage de modèles, par exemple CVE-2026-40217 dans LiteLLM (élévation de privilèges).

Une fois dedans, les acteurs montent en privilèges, créent des comptes de service et des clés SSH pour durer, parfois déguisés en « outils d'optimisation de facturation », et pratiquent le « burn and rotate » : créer et supprimer sans cesse des comptes de service jetables pour contourner les limites de débit.

La revente

Le rapport décrit une division du travail : ceux qui entrent, et ceux qui monétisent. Les « LLM Mixers » sont des passerelles qui agrègent et revendent des accès non autorisés ; le service Jet Night (jet-night[.]com) annonce un forfait « illimité » d'environ 60 $ par mois pour un modèle de pointe. Google prévoit que le LLMjacking supplantera le cryptojacking, tant la marge est rapide.

Le relais qui réécrit Codex et Claude Code

Un rapport de Symantec et Carbon Black, publié la semaine précédente, décrit un service de relais actif depuis le début de 2026 qui touche une douzaine d'organisations, surtout en Chine continentale (plus des filiales en Corée du Sud, à Taïwan et en Malaisie). Il n'embarque aucun client piégé : l'employé installe les vrais CLI Codex et Claude Code par npm, puis, selon toute vraisemblance sur consigne du revendeur, lance une ligne qui télécharge un script depuis un domaine sosie (vibe.aiok[.]me). Le script réécrit :

~/.codex/config.toml pour Codex, ~/.claude/settings.json pour Claude Code ;
le bac à sable désactivé (danger-full-access côté Codex), l'accès réseau activé pour le bac à sable en écriture ;
vos vraies clés remplacées par des jetons émis par le relais, télémétrie et rapports d'erreurs coupés.

Symantec ne trouve aucune preuve que le service lise les invites ou fabrique des réponses ; il montre surtout ce que coûte le fait de passer par un revendeur non autorisé.

Comment s'y prendre

Ces gestes sont des conseils généraux découlant du rapport, pas des consignes de Google :

Chercher des clés d'API de LLM dans vos dépôts publics et dans le code envoyé au navigateur ; révoquer et remplacer toute clé qui y traîne.
Mettre un plafond de dépense et des alertes de facturation chez chaque fournisseur de modèle.
Vérifier la version de LiteLLM si vous l'utilisez comme routeur (CVE-2026-40217 est cité parmi les techniques).
Relire ~/.codex/config.toml et ~/.claude/settings.json : un danger-full-access ou un point d'accès inconnu n'a rien à y faire.

Source : The Hacker News, qui cite le rapport de Google Threat Intelligence et Mandiant et celui de Symantec. Source en anglais.