LLMjacking: cos'è e come funziona l'attacco che gonfia le bollette cloud

Aggiornamento del 3 novembre 2026: aggiunto il rapporto originale di Google tra le fonti; tolte le notizie su Synology e Siemens, che riguardavano altre vulnerabilità, e le domande che ripetevano il testo.

L’LLMjacking consiste nel dirottare l’accesso di un’azienda a un modello linguistico di grandi dimensioni (LLM, il tipo di sistema che sta dietro ai chatbot) per farlo lavorare a spese della vittima. Secondo un rapporto di Mandiant e del Google Threat Intelligence Group (GTIG), i costi fraudolenti sul cloud possono superare i 100mila dollari in un solo giorno.¹² Presso alcune delle organizzazioni colpite, la somma degli addebiti ha toccato un milione di dollari prima che si riuscisse a bloccare l’accesso.²

Che cos’è l’LLMjacking e in cosa differisce dal cryptojacking?

Il rapporto, dedicato alla crescita dell’LLMjacking e al modo in cui i criminali traggono profitto da risorse cloud e modelli compromessi, mette insieme vari casi gestiti da Mandiant nel corso dell’anno.² Il cryptojacking, cioè il furto di potenza di calcolo cloud per produrre criptovalute, tende a prosciugare le risorse in modo graduale. Con l’LLMjacking, invece, i costi possono impennarsi nel giro di poche ore.² Le vittime si trovano in Nord America, Sud America e Asia-Pacifico e comprendono società di servizi finanziari, aziende del commercio al dettaglio, imprese tecnologiche e del trasporto. GTIG collega le intrusioni a diversi gruppi con motivazioni economiche e osserva una separazione crescente tra chi entra nei sistemi e chi rivende l’accesso.²

Come riescono gli attaccanti a ottenere l’accesso?

Nella maggior parte delle indagini gli attaccanti sono entrati con credenziali di identità cloud rubate o lasciate esposte, tra cui chiavi di account di servizio e token di accesso personali di GitHub. Altri hanno puntato su endpoint di LLM lasciati aperti su internet, come i server Ollama non protetti.² Un gruppo indicato come UNC6993 è entrato in un’istanza cloud tramite una chiave di account di servizio configurata male e da lì ha raggiunto l’interfaccia di programmazione (API) di un LLM. Ha anche ospitato un falso portale di iscrizione a un gruppo di utenti di LLM: i visitatori venivano inviati al servizio vero e invitati a incollare un blocco di dati JSON contenente un token di accesso attivo. Con quel token, password e autenticazione a più fattori non servivano più.² Un altro attore ha raccolto chiavi API da repository pubblici di GitHub e le ha provate una per una con richieste limitate a un solo token di output. Richieste così piccole sono sfuggite agli avvisi basati sul volume nei sistemi di monitoraggio delle vittime.² Nel mirino finisce anche il software che smista le richieste ai modelli. In un caso un gruppo ha sfruttato un difetto di LiteLLM, catalogato come CVE-2026-40217, per trasformare chiavi virtuali ordinarie in credenziali di amministratore del gateway della vittima.²

Che cosa fanno con l’accesso rubato?

Una parte dell’accesso viene consumata direttamente. UNC6993 ha provato a generare altre chiavi API e ad attivare servizi aggiuntivi nei progetti cloud delle vittime, e gli addebiti hanno superato rapidamente i 100mila dollari.² Un altro attore ha iscritto gli account delle vittime a contratti a consumo sui modelli di fascia alta. Per aggirare i limiti di frequenza delle richieste ha usato una strategia che GTIG chiama “burn and rotate”: crea e cancella di continuo account di servizio di breve durata.² Un terzo ha installato una backdoor in un container, basata sul framework per agenti Manus. Il programma chiedeva a un modello esterno di ragionare sulle istruzioni e poi eseguiva i comandi risultanti sul sistema compromesso.²

Che cosa sono i “LLM Mixers” e chi compra l’accesso?

GTIG chiama “LLM Mixers” i servizi che fanno passare credenziali rubate attraverso gateway API open source e relay personalizzati. In questo modo l’uso può essere misurato e l’origine di ogni richiesta resta nascosta.² UNC6993 ha usato strumenti come new-api e gcli2api, probabilmente per mettere insieme le chiavi rubate, e secondo GTIG vende l’accesso in negozi del mercato clandestino.² Un esempio è Jet Night, un servizio di instradamento di token. Un attore che lo alimentava con chiavi di terzi rubate ha effettuato più di 500.000 chiamate API in meno di otto ore, e una vittima si è ritrovata con costi in token vicini al milione di dollari.² Jet Night propone un piano illimitato con accesso a modelli di frontiera a circa 60 dollari al mese, contro i 100-250 dollari di piani consumer paragonabili. GTIG ritiene che prezzi così bassi reggano solo con chiavi rubate; è una valutazione del gruppo, non un fatto verificato in modo indipendente.²

Come possono difendersi le aziende?

In diversi casi la vittima non aveva mai attivato servizi LLM: gli attaccanti hanno usato chiavi rubate per accendere servizi come Amazon Bedrock di Amazon Web Services e l’API di Gemini di Google. Da lì il conto poteva crescere in pochi minuti.² Per questo il rapporto chiede di trattare ogni attivazione non autorizzata come un evento di sicurezza critico. Tra le altre misure indicate ci sono limiti di spesa, chiavi API legate a modelli e ambienti specifici e il controllo dei log per individuare le richieste da un solo token usate per validare le chiavi rubate.² John Hultquist, analista capo di GTIG, sostiene che i criminali cercano nell’intelligenza artificiale una scala che dia loro un vantaggio sui difensori. Mettere in sicurezza queste risorse, ha detto, protegge dai costi fuori controllo e anche dall’ondata di attacchi autonomi a basso costo.²

Perché il fenomeno potrebbe crescere?

GTIG prevede che gli attaccanti preferiranno sempre più l’LLMjacking al cryptojacking, perché i mixer pagano in fretta e con margini alti. Token API esposti e software di instradamento dei modelli attireranno più attacchi automatizzati man mano che le aziende porteranno in produzione modelli di livello superiore e flussi di lavoro basati su agenti.²

Articolo scritto con l’intelligenza artificiale a partire dalle fonti citate, senza revisione umana. Redazione automatica di Redazia.

Fonti

Footnotes

1. The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources, Google Cloud, 2026-11-02 ↩

2. Google finds ‘LLMjacking’ attackers running up $100K a day in fraudulent cloud charges, SiliconANGLE, 2026-11-02 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶ ↩¹⁷ ↩¹⁸ ↩¹⁹ ↩²⁰