Bir sonraki milyon dolarlık dolandırıcılık, meşru bir bulut faturası olabilir. Siber suçlular kurumsal yapay zeka kimlik bilgilerini ele geçiriyor, premium modellere erişimi yeniden satıyor ve mağdurları altı ve yedi haneli faturalarla baş başa bırakıyor.
Hackerlar şirketlerin kendi saldırılarını finanse etmesinin yolunu buldu. LLMjacking, çalınan yapay zeka erişimini anında gelire dönüştürüyor; suçlular abonelik ücretlerini toplarken mağdurlar hesaplama maliyetlerini üstleniyor.
Yapay zeka harcamaları, CFO’ların göz ardı edemeyeceği bir siber güvenlik riski haline geliyor. Geleneksel AP kontrolleri, makine hızında biriken sahtekarlık harcamaları için tasarlanmadı; bu durum teknik erişim ile finansal yetki arasında bir boşluk ortaya çıkarıyor.
Şehirde yeni bir AP dolandırıcılığı türü var ve tamamen yapay zekayla ilgili. Siber suçlular, çalınan kurumsal yapay zeka altyapısını gerçek zamanlı olarak paraya çevirmenin yolunu buldu; yetkisiz büyük dil modelleri erişimini satarken kimlik bilgileri tehlikeye giren şirketler faturayı ödüyor.
Google’ın siber tehdit istihbaratı biriminden Pazartesi 2 Kasım tarihli rapor, kurumsal finansmanda yeni bir kör noktayı ortaya koyuyor: Yapay zeka harcamaları faturaya yansımadan önce bile dolandırıcılık riski haline gelebilir. Raporda Google ekibi, sahtekar yapay zeka tüketiminin tek bir günde 100.000 doları aştığı olayları belgeledi; bazı kuruluşlarda erişim iptal edilmeden önce kümülatif faturalar 1 milyon dolar ulaştı.
LLMjacking olarak bilinen saldırılar, birden fazla kıtada finansal hizmetler, perakende, teknoloji ve ulaşım şirketlerini etkiledi. CFO’lar için saldırılar, kimliği doğrulanmış bir yazılım isteğinin finans departmanında onay olmadan faturalandırılabilir bir harcama tetikleyebildiği tüketim tabanlı yapay zeka altyapısı etrafındaki finansal kontrollerde bir zayıflığı ortaya çıkarıyor.
Sonuç, suçluların kurumsal kaynakların ekonomik değerini elde ederken maliyeti doğrudan mağdura aktardığı yeni bir faaliyet gideri dolandırıcılığı kategorisi.
İşte duyduğunuz gibi, bu suçlu için iyi, şirket için kötü bir şey.
Siber Suç Pay-Öde Kullanım Modelini Keşfetti
Geleneksel finansal siber suç genellikle para çalmak, hassas bilgi çıkarmak veya fidye istemekle ilgilidir. LLMjacking, ölçülebilir bir piyasa fiyatı olan bir şeye erişimi çalarak paraya çevirmenin başka bir yolunu sunuyor.
Fidye yazılımdan farklı olarak mağdurların ödemeyi kabul etmesini gerektirir, LLMjacking çalışırken otomatik olarak ücret üreten altyapıyı sömürür. Premium yapay zeka modelleri, genellikle tüketilen giriş ve çıkış token hacmine göre istekleri işlemek için ücret alır. Geçerli kimlik bilgileriyle saldırganlar bir kuruluşun bulut hesabına karşı muazzam hacimlerde istek üretebilir.
PYMNTS Intelligence raporu “When ‘Good Enough’ Isn’t Enough: Digital Identity Verification in the Age of Bots and Agents” Ocak ayında ortaya koyduğuna göre, finansal hizmet firmaları kimlik doğrulama başarısızlıkları nedeniyle yaklaşık 34 milyar dolar gelir kaybediyor.
Bazı saldırganlar kimlik bilgilerini ele geçirmeye veya bulut ortamlarını tehlikeye atmaya odaklanıyor. Diğerleri araştırmacıların “LLM Mixers” olarak adlandırdığı, çalınan kimlik bilgilerini toplayıp yapay zeka modellerine erişimi indirimli fiyatlarla yeniden satan aracı hizmetleri işletiyor.
Böyle bir hizmet olan Jet Night, öncü modellere sınırsız erişimi yaklaşık aylık 60 dolar karşılığında reklamını yaptı. Google araştırmacıları hizmeti, sekiz saatten kısa sürede 500.000 API çağrısı üreten ve bir mağdur kuruluşa neredeyse 1 milyon dolarlık token maliyeti aktaran bir saldırganla ilişkilendirdi.
Bu, LLMjacking’i geleneksel bulut kaynak hırsızlığından farklı kılan şey. Çalınan ürün sadece hesaplama kapasitesi değil. Kurbanın talep üzerine pahalı yapay zeka hizmetleri satın alma yeteneğidir.
Kimlik Doğrulama Finansal Yetkilendirme İçin Kritik Hale Geliyor
Google’ın bulgularına göre, saldırganların çoğu gelişmiş yapay zeka güvenlik önlemlerini yenmek yerine açık API anahtarları, tehlikeye atılmış hizmet hesapları, çalınmış kimlik tokenları ve yazılım depolarına gömülü kimlik bilgileri gibi tanıdık zayıflıkları sömürüyor. İçeri girdikten sonra saldırganlar bazen ayrıcalıklarını genişletebiliyor, daha önce kullanılmamış yapay zeka hizmetlerini etkinleştirebiliyor veya ek kimlik bilgileri oluşturabiliyor.
Bir olayda saldırganlar tehlikeye atılmış hesapları pay-öde anlaşmalarına kaydetti, premium temel modelleri seçti ve yüksek hacimli çıkarım trafiği üretti. Ayrıca erişimi sürdürmek ve hız sınırlarından kaçınmak için kısa ömürlü hizmet hesapları oluşturup sildiler.
Bir bulut platformu bir API isteğini doğru şekilde doğrulayabilir ve ilgili hesabı faturalandırabilir. Ancak başarılı kimlik doğrulama, işletmenin altta yatan harcamayı yetkilendirdiğini kanıtlamaz. Finans ekipleri için bu, hesap ödenebilir kontrollerinden tanıdık bir soruyu gündeme getiriyor: Harcamayı kimin yapma yetkisi var ve bu yetkinin ötesinde harcamayı ne engelliyor?
Bulut ortamlarında bu kontroller giderek daha fazla satın alma emirlerinin ötesinde hizmet hesapları, API kimlik bilgileri, model izinleri ve kullanım kotası düzeyinde çalışmak zorunda.
PYMNTS Intelligence raporu “Payment Protection: Why Firms Still Aren’t Real-Time Ready” Ağustos ayında, firmaların yüzde 65’inin önümüzdeki 12 ay içinde kimlik doğrulama ve müşteri tanıma otomasyonunu benimsemeyi veya genişletmeyi planladığını tespit etti.
CFO’lar için daha geniş çıkarım, tüketim tabanlı yapay zekanın siber güvenlik ile finansal kontrol arasındaki sınırı değiştirmesi. Google, premium modeller ve özerk iş yükleri daha yaygın hale geldikçe çalınan yapay zeka erişimi için suç pazarının genişlemesini bekliyor.
Aynı altyapı işletmelerin zekayı anında satın almasına izin verirken, suçluların onu aynı hızda tüketmesine de izin verebilir. Ve fatura geldiğinde bulut sağlayıcısı hesabın talep ettiği şeyi tam olarak teslim etmiş olabilir.
Cevapsız kalan soru, şirketin bunu hiç satın almak istemesi mi.
