LONDON (IT BOLTWISE) – Angreifer kapern Unternehmenszugänge zu Large Language Models und lassen die Opfer die Cloud-Rechnungen zahlen. Laut Google und Mandiant sind in einzelnen Fällen betrügerische Ausgaben von über 100.000 USD innerhalb eines Tages beobachtet worden. In einigen Organisationen summierten sich die Kosten bis zu 1 Mio. USD, bevor der Zugriff gestoppt wurde. Der Bericht zeigt außerdem, wie Token-Proxys und neue „LLM Mixers“ den Weiterverkauf illegaler KI-Kapazität skalieren.
Wenn Unternehmen KI in Produktion bringen, verschiebt sich das Risiko häufig von der Modellqualität hin zur Betriebs- und Zugriffssicherheit. Genau an dieser Stelle setzt „LLMjacking“ an: Angreifer übernehmen legitime Zugänge zu Large Language Models (LLMs) und nutzen die teure Rechenleistung sowie KI-Services, während der rechtmäßige Kontoinhaber den Konsum bezahlt. Google beschreibt die Masche als eine Weiterentwicklung des klassischen Resource Hijacking, das man aus dem Umfeld von „Cryptojacking“ kennt, aber mit dem Unterschied, dass LLMjacking innerhalb von Stunden deutlich stärkere Peaks in den Cloud-Kosten erzeugen kann.
Der Kernmechanismus ist vergleichsweise nüchtern, aber in der Praxis schwer zu erkennen: Ein Angreifer benötigt einen gültigen API-Schlüssel oder Token, um auf das Backend des Ziel-Setups zuzugreifen. Laut dem Bericht entstehen diese Zugangsdaten oft über Phishing, Quellcode-Leaks, fehlkonfigurierte Umgebungen oder exponierte Client-seitige Logik. Besonders häufig werden dabei gestohlene bzw. missbrauchte Identitäts- und Sitzungsinformationen genannt – etwa IAM-Zugangsdaten, Service-Account-Keys, GitHub Personal Access Tokens (PATs) oder aktive Session Tokens. In dem Material wird außerdem ein Akteur mit dem Label UNC6993 aufgeführt, bei dem Google angibt, er habe über einen fehlkonfigurierten Service-Account-Key eine Cloud-Instanz kompromittiert und daraus einen LLM-API-Zugriff erhalten.
Dass es nicht bei „nur“ einem einmaligen Kostenpeak bleibt, liegt an der Geschwindigkeit, mit der Täter nach dem initialen Fußabdruck weiter vorgehen. Der Bericht skizziert einen typischen Ablauf: Rollen und Berechtigungen werden eskaliert, in der Infrastruktur wird tiefer vorgedrungen, Persistenz wird hergestellt und anschließend erfolgt interne Aufklärung, um weitere Ziele sowie zusätzliche Cloud-Zugangsdaten für laterale Bewegungen zu identifizieren. In diesem Kontext werden auch sehr konkrete Technikmuster beschrieben: Das Absuchen von Code-Repositories nach hardcodierten Secrets, Konfigurationsvariablen und Entwickler-Credentials, das Auswerten von Access Logs zur Suche nach Tokens für Nebenumgebungen und das gezielte Abfragen von Datenbanken zur weiteren Credential-Extraktion. Daneben werden auch Missbrauchsszenarien bei Cloud-Rechten genannt, etwa das Ausnutzen von Token-Erzeugungsprivilegien für Service Accounts, das Anlegen unautorisierter IAM- und Service-Accounts sowie das Einspielen von SSH-Keys in Compute-Instanzen, um Zugänge langfristig zu erhalten.
Für die finanzielle Dimension liefert der Bericht besonders alarmierende Beispiele. Google und Mandiant nennen in einzelnen Vorfällen betrügerische Ausgaben durch Ressourcenverbrauch von mehr als 100.000 USD innerhalb eines Tages; ebenso wird berichtet, dass die kumulierten Kosten bei einzelnen Organisationen bis auf 1 Mio. USD anwachsen konnten, bevor der Zugriff deaktiviert wurde. Der Unterschied zu „klassischem“ Cryptojacking wird dabei deutlich: Während sich nicht autorisierte Kryptoberechnungen oft langsamer und gleichmäßiger verhalten, können LLMjacking-Angriffe sprunghafte Lastspitzen erzeugen, sobald der Täter produktive API-Workflows und umfangreiche Modellaufrufe triggert. Am „Low-End“ wird zudem das Umleiten von Kundenservice-Chatbots beschrieben, wodurch Angreifer unautorisierte Aufgaben wie Code-Generierung auslösen können; am „High-End“ steht dagegen der direkte Zugriff auf Backend-Ressourcen über öffentlich exponierte LLM-Endpunkte oder gültige API-Schlüssel.
Technisch wird die Monetarisierung besonders interessant, weil sie nicht nur „direkten Konsum“ bedeutet, sondern auch eine Art Infrastruktur-Ökonomie aufbaut. Das Ziel sei laut Google die Gewinnabschöpfung und Ressourcenentführung bei Foundation Models, unter anderem durch Token-Proxying, automatisiertes Modell-Streaming und die Beschaffung von GPU-Kapazitäten. Zusätzlich berichten die Autoren, dass Angreifer ihre Zugriffe über eigene Proxy-Endpunkte und „agentic workloads“ kapseln können. Für Unternehmen erhöht das den Druck auf die Security-Operations: Selbst wenn das initial gestohlene Token rotiert wird, kann eine nachgelagerte Proxy-Kette weiterhin Requests durchschleusen. Der Bericht erwähnt außerdem Ansätze wie „burn and rotate“, bei dem kurzlebige Service Accounts kontinuierlich erstellt und gelöscht werden, um Rate-Limits zu umgehen.
Damit kommt eine zweite, organisationsrelevante Ebene ins Spiel: die Entstehung von „LLM Mixern“. Gemeint ist eine Aufteilung der Rollen zwischen Tätern, die initialen Zugang schaffen, und solchen, die downstream die Monetarisierung über Routing-Gateways managen. LLM Mixers fungieren damit als illegale Weiterleitungs- und Aggregationsschicht: Sie proxyen, bündeln und verkaufen unerlaubten LLM-Zugriff an andere Kriminelle über unterirdische Marktplätze. Als Beispiel nennt der Bericht einen Dienst namens Jet Night, der ein „unlimited token plan“ anbietet und angeblich eine Art Zugriff auf ein „frontier model“ für etwa 60 USD pro Monat verspricht. Der Markt-Mechanismus dahinter ist für Opfer besonders unangenehm, weil Quoten- und Abrechnungslogik in Richtung der kompromittierten Enterprise-Accounts laufen kann, während die Weiterverkäufer ihre eigene Rendite aus dem Wiederverkauf ziehen.
Auch jenseits des LLMjacking-Blocks wird die Angriffsfläche deutlich: Eine weitere, in diesem Zusammenhang erwähnte Graumarkt-Relay-Strategie installiert echte CLI-Tools für Codierungsassistenten, konfiguriert sie aber so um, dass jede Anfrage über Dritt-Server läuft statt über die Anbieter-Infrastruktur. Die Beschreibung umfasst dabei Schritte, die typisch für „Living-off-the-Land“-Angriffe sind: Nach der legitim wirkenden Installation werden Sandbox-Einstellungen außer Kraft gesetzt, die lokalen API-Zugaben durch Relay-Tokens ersetzt, Telemetrie und Fehlerberichte deaktiviert und anschließend wird die Kommunikation umgeleitet. Konzeptionell ist das eine direkte Verschiebung von „Zugriff auf API-Tokens“ hin zu „Zugriff auf Ausführungs- und Routing-Logik“ im Entwickler-Workflow – also genau in Bereiche, in denen viele Unternehmen Security-Checks historisch weniger stringent haben als in der Backend-Cloud.
Für die Praxis heißt das: Die Abwehr muss sowohl die Identitätsschicht (Tokens, IAM, Service Accounts) als auch die Pfade zur Modellaufruf-Chain (Routing Middleware, Proxy-Endpunkte, SDK-/CLI-Konfigurationen) abdecken. Inhaltlich liefert der Bericht dafür genügend Anknüpfungspunkte, weil er Angriffswege von exposed tokens über Repo-Leaks bis zu Schwachstellen in LLM-Routing-Software wie CVE-2026-40217 in LiteLLM nennt. Gleichzeitig bleibt der Trend klar: Mit „höherklassigen Modellen“ und agentischen Workflows, die immer tiefer in produktive Systeme eingebettet werden, priorisieren Angreifer zunehmend automatisierte Reconnaissance nach exponierten API-Tokens und die Ausnutzung von Schwächen in der Modell-Routing-Schicht. Für IT-Sicherheits- und Plattformteams ist das weniger ein Thema einzelner Presales-Controls, sondern ein Betriebsmodell für kontinuierliches Monitoring, schnelle Token-Invalidierung und harte Konfigurationshygiene im gesamten KI-Stack.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "LLMjacking: Wie Angreifer KI-Cloud-Zugänge kapern und Rechnungen bis zu 1 Mio. USD treiben" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "LLMjacking: Wie Angreifer KI-Cloud-Zugänge kapern und Rechnungen bis zu 1 Mio. USD treiben" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »LLMjacking: Wie Angreifer KI-Cloud-Zugänge kapern und Rechnungen bis zu 1 Mio. USD treiben« bei Google Deutschland suchen, bei Bing oder Google News!