要点
- 盗んだ鍵で会社の AI（大規模言語モデル）を勝手に使い、その料金を会社に払わせる「LLMjacking」が広がっていると Google の Mandiant が報告した。
- 1日で10万ドルを超える請求が出た例や、止めるまでに累計100万ドルに達した組織があったという。
- おもな入り口は、漏れたり盗まれたりしたクラウドの認証情報（GitHub のアクセス用トークンを含む）だ。
何が起きたか
Google Threat Intelligence Group（GTIG）と Mandiant は2026年11月2日、LLMjacking についての報告を公開した。LLMjacking は、攻撃者が企業の AI の利用権を乗っ取り、被害者の費用で AI を動かすことを指す。
被害額は大きい。報告では、1日に10万ドルを超える不正な請求が出た事件があった。アクセスを止めるまでの合計が100万ドルに届いた組織もある。この手口による事件に、Mandiant は2026年だけで何度も対応してきた。狙われた組織の場所は北米、南米、アジア太平洋にわたり、業種も金融から小売、IT、運輸まで偏りがない。
報告が特に強調しているのは、気づくまでの猶予が短いことだ。不正な請求は数時間で一気に積み上がりうる。暗号資産の採掘にクラウドを勝手に使う「クリプトジャッキング」も他人の資源を盗む手口だが、Mandiant はそれと比べても LLMjacking のほうが急に膨らむとみている。
報告が挙げた例は次のとおりだ。
- UNC6993 は Mandiant が付けた呼び名だ。Mandiant によると、この集団は2026年半ば、設定に誤りのあったサービスアカウントの鍵を足がかりにクラウドに入り込んだ。AI の API の鍵を得たあとは、鍵をさらに増やしたり、被害者のプロジェクトで関連サービスを使える状態にしたりしようとした。請求は短いあいだに10万ドルを超えた。この集団は、利用者をだましてログイン済みの状態を丸ごと渡させる偽のページも置いていたという。これが通ると、パスワードや MFA（パスワードのほかにスマホなどでも本人確認する仕組み）による確認が役に立たなくなる。
- 盗んだ鍵頼みと GTIG がみる転売サービスもある。Jet Night（
jet-night.com）は月60ドルほどで AI の使い放題を売っていた。GTIG によれば、同じ水準のサービスの相場は月100〜250ドルだ。これほど安いのは盗んだ鍵があるからだ、と GTIG はみている。報告によると、ある攻撃者が盗んだ他社の API キーをこのサービスに回し、8時間に満たないあいだに50万回以上の呼び出しを送った。被害を受けた組織は、100万ドル近いトークン代（AI の利用料）を負わされたという。 - 別の攻撃者は、被害者のアカウントを従量課金の契約に申し込み、高い最上位モデルを選んで大量に使っていた。
報告は、鍵を盗んで入り込む役と、転売する役（「LLM Mixer」と呼ぶ）の分業が進んでいるとも書いている。
日本の利用者への影響
報告は日本の組織の被害には触れていない。ただ、被害の地域には「アジア太平洋」が入っている。報告に名前が出るのは、無断利用の例として AWS の Bedrock と Google の Gemini API だ。外から届くようになっていた Ollama のエンドポイントが狙われた例もある。Azure は、AI サービス（Microsoft.CognitiveServices）の監視のしかたの説明に出てくる。
AI の API を会社のクレジットカードや請求書払いで使っているなら、鍵が漏れればそのまま会社の出費になる。社内で使っていないはずの AI サービスを、攻撃者が有効にしようとした例もあるという。「うちは AI を使っていない」会社でも、クラウドの契約があれば当たりうる。
今すぐやること
- 請求のアラートと上限を設定する。 Google は、モデルごとの利用の上限と、支出の上限を細かく決めるよう勧めている。クラウドの予算アラートを、気づける人の連絡先に届くようにしておく。
- API キーの権限を絞る。 Google は、鍵ごとに使えるモデル・環境（開発用か本番用か）・量を限るよう勧めている。必要のない AI サービスは、使えない設定にしておく。
- 鍵がコードに入っていないか調べる。 GitHub などに鍵を置いてしまっていないか、自動で調べる仕組み（シークレットスキャン）を入れる。見つけたら、消すだけでなく鍵そのものを作り直す。
- 鍵をまとめて管理し、定期的に入れ替える。 Google は、鍵を一か所で管理し、自動で入れ替える仕組みを勧めている。漏れても使える期間が短くなる。
- AI サービスが勝手に有効にされたら、すぐ調べる。 Google は、許可のない AI サービスの有効化を「重大なセキュリティの出来事」として扱うよう勧めている。
背景
高性能なモデルほど高い。攻撃者にとっては、他人の鍵で動かせばそのまま「タダの AI」になり、転売すればお金になる。Google は、攻撃者がほかの資源の盗用より LLMjacking を優先するようになるとみている。
同じ手口は以前から報告されていた。The Register によると、CrowdStrike も2026年8月に、盗んだトークンで2分間に約20万回の API 要求が送られた例を報告している。鍵の扱いが甘いと、AI の請求書で被害に気づくことになりかねない。
技術者向けの詳細
- 入り口として報告されたもの: IAM の認証情報、サービスアカウントの鍵、GitHub の Personal Access Token、セッショントークンの漏えい。公開 GitHub リポジトリからの LLM API キーの収集。外から届く Ollama などの LLM エンドポイント。フェデレーションのトークンを使った新しいアクセスキーの作成。
- 侵入後: 管理者権限の IAM ユーザー作成、VM やインスタンスのメタデータへの SSH 鍵の追加、「billing optimization」を装ったサービスアカウントの作成など。
- LiteLLM: Google は、LiteLLM の
/key/regenerateの欠陥（CVE-2026-40217）を使って Virtual Key をPROXY_ADMINに昇格させた例を挙げ、LLM ゲートウェイの早めの更新を勧めている。 - 見るべきログ（Google の報告より）
- AWS（CloudTrail、
bedrock.amazonaws.com）:InvokeModel、Converse、ListFoundationModels、PutUseCaseForModelAccess、CreateFoundationModelAgreement。IaC 以外の主体がログを無効にする呼び出し（DeleteModelInvocationLoggingConfigurationなど）は重大とする。 - Azure（
Microsoft.CognitiveServices）: 想定外のaccounts/deployments/write、診断設定の変更。 - GCP（
aiplatform.googleapis.com）: Agent Platform 系サービスへのServiceUsage.EnableService。推論の記録には既定でオフの Data Access ログが要る。 max_tokens=1のようなごく小さい要求が続くのは、盗んだ鍵が使えるかを試している兆候とされる。
- AWS（CloudTrail、
- IOC:
jet-night.com、newapi.pro（LLM Mixer）。そのほかは GTI Collection（登録者向け）。 - ほかの勧め: フィッシングに強い MFA、WAF でのレート制限、VPC のファイアウォールで外向き通信を絞る、許可のないモデルやエンドポイントの洗い出し。
