Google Pazartesi günü, tehdit aktörlerinin kurumsal Büyük Dil Modelleri erişimini ele geçirerek hileli şekilde pahalı bilişim kaynaklarını ve yapay zeka hizmetlerini kullandığını uyardı.
Taktik LLMjacking olarak adlandırılıyor. LLM çağına uyarlanmış bir kaynak ele geçirme biçimi olan bu yöntemde saldırgan, kimlik avı, kaynak kodu sızıntıları, yanlış yapılandırılmış ortamlar veya istemci tarafında açığa çıkmış kod yoluyla bir API anahtarı elde ederek bir kuruluşun LLM hesaplarına yetkisiz erişim sağlıyor ve tüketim maliyetini meşru sahibi karşılıyor.
Böyle saldırılar geniş coğrafi bir ayak izine sahip. Etkilenen kuruluşlar Kuzey Amerika, Güney Amerika ve Asya Pasifik’te finansal hizmetler, perakende, teknoloji ve ulaşım sektörlerinde yer alıyor.
Google Tehdit İstihbaratı Grubu ve Mandiant, The Hacker News ile paylaştığı raporda şunları kaydetti: "Kripto madenciliğinde görülen kademeli kaynak tüketiminin aksine, LLMjacking saatler içinde büyük artışlar yaratan hileli bulut faturaları oluşturabiliyor."
"Bireysel olaylar arasında, kaynak tüketimiyle ilişkili hileli harcamaların tek bir günde 100.000 ABD dolarını aştığını gözlemledik, bazı kuruluşlarda erişim iptal edilene kadar kümülatif harcamalar 1 milyon dolar seviyesine ulaştı."
Spectrum’un bir ucunda müşteri destek sohbet robotlarının yetkisiz görevler için, örneğin kod üretimi gibi, manipüle edilmesiyle gerçekleşen düşük seviyeli kaynak hırsızlığı yer alıyor. LLMjacking diğer uçta yer alıyor; saldırılar doğrudan arka uç model kaynaklarını hedefliyor, kamuya açık LLM uç noktalarını tespit ediyor ya da geçerli LLM API anahtarlarını elde ediyor.
En yaygın ilk erişim vektörü, IAM kimlik bilgileri, Hizmet Hesabı anahtarları, GitHub Personal Access Token’ları ve aktif oturum belirteçleri dahil olmak üzere açığa çıkmış veya çalınmış bulut kimlik belirteçleri olmuş. Bu belirteçler saldırganın hedef kuruluşların altyapısına ilk erişim noktası kurmasına olanak tanıyor.
Bunlardan biri UNC6993 adlı tehdit aktörü. Bu aktörün yanlış yapılandırılmış bir Hizmet Hesabı anahtarı üzerinden bir bulut örneğini ihlal ettiği ve bunu bir LLM API’sine erişim elde etmek için kullandığı belirtiliyor.
Google’a göre UNC6993 ayrıca bir grup LLM kullanıcısına katılmak için uygulama portalı gibi görünen bir oturum ele geçirme sayfası da barındırdı. "Bu sayfa kullanıcıları meşru LLM hizmeti web sitesine yönlendiriyor ve aktif erişim belirteci içeren ham JSON yüklerini yapıştırmalarını sağlıyor, bu yük daha sonra şifre ve çok faktörlü kimlik doğrulama kontrollerini atlamak için arka uç API’sine gönderiliyor."
Başka bir olayda, kimliği belirsiz bir saldırganın çalınmış bir Personal Access Token kullanarak özel kod depolarına eriştiği, ardından konteynerleştirilmiş bir bulut ortamında çalışan bir paketteki şüpheli bir web uygulaması açığını istismar ettiği görüldü.
Diğer ilk erişim yolları arasında kurumsal kullanıcıların IAM kimlik bilgilerinin ele geçirilerek çok faktörlü kimlik doğrulama önlemlerini atlamak için programlı olarak yeni erişim anahtarları üretilmesi ve geniş proje izinlerine sahip ele geçirilmiş bir bulut Hizmet Hesabı anahtarının kullanılması ile kamuya açık GitHub depolarından elde edilen LLM API anahtarları yer alıyor.
Başarılı bir şekilde erişim sağlandıktan sonra tehdit aktörleri ayrıcalıkları yükseltmek, ağda daha derine inmek, kalıcılık sağlamak ve yatay hareket için hedefleri ve ek bulut kimlik bilgilerini belirlemek amacıyla dahili keşif yapmak için zaman kaybetmiyor.
Gözlemlenen taktiklerden bazıları şöyle:
Hassas kimlik bilgileri için bulut hizmetleri, kod depoları ve veri depolarını numaralandırma.
Kullanılabilir hizmetleri ve kimlik politikalarını haritalamak için birden fazla bulut bölgesinde dahili keşif yapma.
Sabit kodlanmış gizli bilgiler, yapılandırma değişkenleri ve geliştirici kimlik bilgileri aramak için hassas kod tabanlarını klonlama.
İkincil bulut ortamları için kimlik bilgileri belirlemek amacıyla erişim günlüklerini tarama.
Ek kimlik bilgileri toplamak için hedefli veritabanı sorguları çalıştırma.
Ayrıcalıkları yükseltmek ve kalıcı erişimi sürdürmek için bulut kimlik izinlerini ve sanal makine yapılandırmalarını kötüye kullanma.
Hizmet hesaplarıyla ilişkili belirteç oluşturma ayrıcalıklarını istismar ederek yüksek ayrıcalıklı hizmet hesapları için geçici kimlik bilgileri oluşturma ve bulut gizli yöneticilerinden altyapı kimlik bilgileri, dahili veritabanı parolaları ve üçüncü taraf API anahtarlarını dışa aktarma.
Yetkisiz IAM ve hizmet hesapları oluşturma ve kalıcılık için bilgi işlem örneklerine SSH anahtarları enjekte etme.
İç faturalama optimizasyon yardımcı programları gibi görünen arka kapı hizmet hesapları oluşturma.
LiteLLM’de CVE-2026-40217 gibi LLM yönlendirme yazılımını hedefleyen açıkları istismar ederek ayrıcalıkları yükseltme.
Google’a göre "LLMjacking’in nihai amacı, aktörlerin belirteç yönlendirme, otomatik model akışı ve GPU donanımı sağlama yoluyla elde ettiği temel modellerin parasal kazanç ve kaynak ele geçirilmesi." Tehdit aktörleri erişimlerini kendi vekil uç noktalarını ve ajan iş yüklerini barındırmak için de kullandı.
UNC6993 örneğin, mağdur bulut projeleri içindeki operasyonlarını ölçeklendirmek için ek API anahtarları oluşturmuş ve 100.000 ABD dolarının üzerinde faturalama ücreti oluşturmuş. Bazı tehdit aktörleri oran sınırlarını atlatmak için sürekli olarak kısa ömürlü hizmet hesapları oluşturup silmeyi içeren "yak ve döndür" stratejisi benimsiyor.
LLMjacking ekosisteminin olgunlaşması, ilk erişimi sağlayan saldırganlar ile aşağı akış parasal kazanç altyapısını yönetenler arasında iş bölümü vurgulayan yeni bir aktör kategorisinin ortaya çıkmasına da yol açtı.
LLM Mixer’lar, yasa dışı yönlendirme kapıları olarak işlev görüyor; yetkisiz LLM erişimini diğer suç aktörlerine yeraltı mağazaları üzerinden aracılık ediyor, topluyor ve yeniden satıyor. Bu tür bir hizmet Jet Night ("jet-night[.]com") olarak adlandırılıyor ve yaklaşık 60 dolar aylık ücretle sınırsız belirteç planı ve iddia edilen bir öncü model erişimi sunuyor.
Bu tür bir yasadışı yeniden satış pazarı, kötü aktörlerin kurumsal kotayı sızdırmasına ve tespit edilmeden önce faturalama maliyetlerini mağdurlara aktarmasına olanak tanıyor.
Jet Night tek belirteç yönlendirme teklifi değil. Broadcom’a ait Symantec ve Carbon Black’in geçen hafta yayınladığı rapora göre, kurumsal sistemlere gerçek OpenAI Codex ve Anthropic Claude Code CLI’lerini kurup bunları satıcıların kendi sunucuları yerine üçüncü taraf altyapı üzerinden yönlendirecek şekilde yeniden yapılandıran gri piyasa bir röle hizmeti bulunuyor.
Hizmetin en az 2026 yılının başından beri aktif olduğu değerlendiriliyor ve başta Çin anakarasında bir düzine kuruluş olmak üzere Güney Kore, Tayvan ve Malezya’daki çok uluslu yan kuruluşları etkiliyor. Hedeflenen sektörler arasında endüstriyel otomasyon, elektronik imalat, yarı iletkenler, ilaç, nakliye, lastik imalatı, petrokimya ve veri merkezi hizmetleri yer alıyor.
Symantec’in açıklamasına göre "Hizmet kendi istemci yazılımını oluşturmak yerine gerçek CLI araçlarını yeniden kullanıyor." "Araçları normal şekilde kuruyor, ardından yapılandırmalarını yeniden yazıyor, Codex için kumanda kutusunu kapatıyor, örneğin bunu ‘danger-full-access’ olarak ayarlıyor ve her isteği OpenAI’nin veya Anthropic’in yerine kendi sunucuları üzerinden yönlendiriyor."
Hizmetin özellikle Anthropic ve OpenAI’nin faaliyet göstermediği pazarları hedeflediği görülüyor. Kurulum, bir çalışanın Batı yapay zeka kod asistanını denemek için yetkisiz bir yeniden satıcıya yönelmesiyle sağlanıyor.
Dikkat çekici şekilde hizmet değiştirilmiş veya Truva atı içeren bir istemci dağıtımı yapmıyor. npm üzerinden Codex veya Claude Code CLI’nin meşru kurulumundan kısa süre sonra kullanıcıların, yapılandırmayı geçersiz kılmak için benzer görünümlü bir alan adından ("vibe.aiok[.]me") dosyasız PowerShell veya bash kurulum betiğini getiren tek satırlık bir komut çalıştırmaları isteniyor.
Yeniden yapılandırma, Codex için "~/.codex/config.toml" veya Claude Code için "~/.claude/settings.json" hedef alıyor; CLI’nin yürütme kumanda kutusunu devre dışı bırakıyor, yazma kumanda kutusu için ağ erişimini etkinleştiriyor, kullanıcının gerçek API kimlik bilgilerini röle tarafından verilen belirteçlerle değiştiriyor ve telemetri ile hata raporlamasını devre dışı bırakıyor.
Betik ayrıca kurulumun tamamlanmasından önce sistemin hizmet verdiği bölgede çalıştığını doğrulamak için Windows yerel ayarını da kontrol ediyor. Hizmetin operatörlerinin yalnızca Batı yapay zeka satıcılarının uyguladığı bölgesel kısıtlamaları aşmakla kalmayıp aynı zamanda Jet Night’a benzer şekilde kapasiteyi piyasa fiyatının altında yeniden sattığı tahmin ediliyor.
Çalışanların girdikleri istemlerin toplanması veya yanıtların uydurulması/ değiştirilmesi için hizmetin konumunu kötüye kullandığına dair bir kanıt olmasa da bulgular, bu tür araçların kullanımıyla ilişkili güvenlik risklerini gösteriyor.
Google, "Tehdit aktörleri, ortaya çıkan yeraltı LLM Mixer’ların sağladığı anında, yüksek marjlı parasal kazanç nedeniyle geleneksel kaynak hırsızlığı olan kripto madenciliği yerine giderek daha fazla LLMjacking’i önceliklendirecek" dedi.
"Kuruluşlar üretim ortamlarına daha üst seviye modelleri ve ajan iş akışlarını entegre ettikçe, siber suçluların açığa çıkmış API belirteçlerini hedeflemek ve model yönlendirme ara yazılımındaki açıkları istismar etmek için otomatik keşfi geliştirmesi muhtemel."
