Google, bulut faturalarını artıran LLMjacking saldırılarına karşı uyardı

Google'ın Tehdit İstihbaratı Grubu'nun (GTIG) raporuna göre bilgisayar korsanları, şirketlerin büyük dil modeli (LLM) hizmetlerine erişimi giderek daha fazla ele geçirerek bulut faturalarını artırıyor. LLMjacking olarak bilinen bu yöntem, belirteç yönlendirme, otomatik model akışı veya GPU sağlama yoluyla temel model kaynaklarının ele geçirilmesini kapsıyor.

Saldırganlar genellikle herkese açık LLM uç noktalarını veya çalınmış API anahtarlarını hedef alıyor. Bir kuruluşun altyapısına girmek için bulut kimlik bilgilerini, GitHub Personal Access Tokens'ı veya etkin oturum belirteçlerini kullanabiliyor, ardından ayrıcalıklarını yükseltip erişimlerini genişletebiliyorlar.

Mali yük hızla büyüyebiliyor. Google, UNC6993 adlı bir grubun kurbanların bulut projelerinde ek API anahtarları oluşturup hizmetleri etkinleştirerek 100.000 doları aşan ücret biriktirdiğini bildirdi. Google'ın aktardığı başka bir yöntemde saldırgan, kurban hesaplarını premium modeller için kullandıkça öde planlarına kaydedip yüksek hacimli istekler gönderdi. Saldırgan, ücretleri takip ederken hız sınırlarını aşmak için kısa ömürlü hizmet hesaplarını tekrar tekrar oluşturup sildi.

Bazı saldırganlar yetkisiz erişimi, Google'ın “LLM Mixers” adını verdiği ve yeraltı aboneleri için istekleri yönlendirip bir araya getiren aracılar üzerinden de yeniden satıyor. GTIG, kurumsal LLM altyapısını ele geçirmek ve bundan gelir elde etmek için koordinasyon sağlayan iki operasyon kümesi gözlemlediğini söyledi.

Google, saldırganların LLM kaynaklarını giderek daha fazla hedef almasını bekliyor. Kuruluşlara LLM hesapları ve hizmetlerindeki yetkisiz değişiklikleri izlemelerini, yetkisiz etkinleştirmeleri kritik güvenlik olayı saymalarını ve hesap izinlerini kullanıcıların ihtiyaç duyduğu düzeyle sınırlamalarını öneriyor.