Google analyse le LLMJacking, le vol de clés API revendues

Google Threat Intelligence Group et Mandiant ont publié le 4 novembre 2026 une analyse sur leur blog consacrée au LLMJacking, une technique d'attaque qui consiste à détourner et à revendre l'accès aux modèles d'IA d'entreprises, rapporte gamebusiness.jp. Les attaquants s'emparent de clés API et d'autres identifiants, récupérés dans des dépôts GitHub publics ou par le détournement de sessions, puis les utilisent pour pénétrer l'environnement cloud de la cible.

Les clés dérobées sont mutualisées derrière des passerelles proxy illicites et proposées sur des places de marché souterraines comme un accès à tarif réduit à des modèles de pointe. Dans une enquête, les factures frauduleuses ont dépassé 100 000 USD par jour avant l'arrêt de l'accès non autorisé, pour un préjudice cumulé atteignant 1 million USD. Dans un autre cas, un service de routage de jetons offrait un accès illimité à un modèle de pointe pour environ 60 USD par mois, tandis que l'entreprise victime était facturée environ 1 million USD de coûts d'utilisation.

Un autre attaquant a effectué plus de 500 000 appels d'API LLM en moins de huit heures, en créant et supprimant de manière répétée des comptes de service éphémères selon une méthode dite « Burn and Rotate » pour contourner les limites de débit, et en consultant les écrans de facturation cloud pour évaluer l'impact financier. Les victimes incluent des organisations des secteurs de la finance, du commerce de détail, de la technologie et des transports en Amérique du Nord, en Amérique du Sud et dans la région Asie-Pacifique.

Parmi les contre-mesures recommandées figurent la détection des LLM fantômes, la définition de portées précises pour les clés API et l'analyse automatisée à la recherche d'informations sensibles.