LLMJacking em alta: Mandiant e GTIG detalham como criminosos monetizam acesso sequestrado a modelos e cloud

A Mandiant respondeu a vários incidentes em 2026 em que invasores sequestraram acesso corporativo a LLMs. Atingiram organizações na América do Norte, na América do Sul e na Ásia-Pacífico, em serviços financeiros, varejo, tecnologia e transporte. Diferente do cryptojacking, o custo explode em horas: mais de US$ 100 mil em um único dia e até US$ 1 milhão acumulados em algumas organizações antes da revogação do acesso.

O vetor dominante de acesso inicial são tokens de identidade em cloud expostos ou roubados: credenciais IAM, chaves de Service Account, PATs do GitHub e tokens de sessão. Num caso, o UNC6993 usou uma página de session hijacking que levava a vítima a colar o JSON com um token ativo, o que contornava senha e MFA. Outro grupo usou tokens de federação para gerar novas chaves de acesso e driblar o MFA. Há também coleta de chaves de API de LLM em repositórios públicos do GitHub, validadas com requisições de um único token (max_tokens=1) para escapar de alertas de volume em EDR e SIEM.

Depois da entrada, vêm escalada de privilégios e persistência: contas IAM e de serviço criadas sem autorização, chaves SSH injetadas em instâncias e exploração do CVE-2026-40217 no endpoint /key/regenerate do LiteLLM, que elevava Virtual Keys a PROXY_ADMIN. Na monetização, os LLM Mixers agregam chaves roubadas e revendem acesso. O Jet Night, por exemplo, passou quase US$ 1 milhão em custos de tokens a uma vítima, com mais de 500 mil chamadas em menos de oito horas. Em vários incidentes os serviços de LLM nem estavam habilitados: o invasor os ativou com a chave roubada. Por isso, a fonte recomenda tratar qualquer habilitação não autorizada como evento crítico.

O tema vinha sendo acompanhado pelo CEVIU. Em 22 de outubro de 2026, a matéria "Do phishing ao LLMjacking: invasores sequestram contas de billing na nuvem para consumir LLMs" já tratava de credenciais privilegiadas do Google Cloud comprometidas por phishing para rodar IA em massa. O novo relatório amplia o quadro com a escala dos prejuízos, a divisão de trabalho entre acesso inicial e monetização (LLM Mixers) e o detalhamento do ciclo do ataque.

Em 14 de maio de 2026, o CEVIU publicou "O que são esses ataques e como proteger servidores de IA", sobre um honeypot com Ollama que recebeu mais de 113 mil requisições em um mês. Isso conversa com os endpoints de LLM expostos, como os Ollama abertos citados agora.

Para quem opera cloud, a leitura é que chave de Service Account e PAT esquecidos viraram risco direto de fatura e não só de vazamento. Vale monitorar a habilitação de APIs de LLM e a criação de chaves como alertas de prioridade alta, além de revisar gateways como o LiteLLM. O alerta de custo sozinho pode chegar tarde, já que o estrago se mede em horas.