雲端憑證遭竊引發LLMJacking攻擊，企業AI模型資源遭盜用牟利

Google旗下資安團隊Mandiant與Google威脅情報團隊（GTIG）公布2026年大型語言模型資源盜用調查，指出攻擊者透過竊取雲端憑證與API金鑰發動「LLMJacking」。這類手法類似劫持雲端運算資源進行加密貨幣挖礦，攻擊者可能透過LLM Mixers等非法代理服務轉售模型存取權牟利，致使受害企業單日承擔超過10萬美元費用，亦有案例在不到8小時內累積近100萬美元帳單。此外，攻擊者也在侵入雲端環境後自行啟用原本未開啟之LLM服務。研究人員建議企業落實身分管理、監控異常呼叫量並設定配額警示。

值得帶走的重點

• Mandiant指出攻擊者竊取雲端存取憑證與API金鑰大量呼叫企業AI模型，部分受害企業單日產生超過10萬美元雲端費用。
• GTIG調查顯示，有攻擊者將遭竊金鑰用於Jet Night轉送服務，不到8小時內呼叫API逾50萬次，致使受害組織產生將近100萬美元費用。
• 部分攻擊者在入侵企業雲端環境後，利用遭竊金鑰自行啟用原本未開啟的Amazon Bedrock或Gemini API等服務並大量消耗資源。
• 研究人員建議加強雲端身分與服務帳號權限管理，監控API呼叫量與費用異常，並設定使用配額與警示機制以利及早發現。