Cibercriminosos estão roubando credenciais de plataformas de inteligência artificial para utilizar modelos avançados, operar serviços clandestinos e revender acesso a terceiros. Google identificou ataques que geraram mais de US$ 100 mil em cobranças fraudulentas em um único dia.
O crescimento da inteligência artificial generativa está criando uma nova oportunidade para o crime digital. Em vez de investir em infraestrutura própria ou pagar pelo acesso a modelos avançados, grupos de hackers estão invadindo ambientes corporativos na nuvem para utilizar recursos de inteligência artificial financiados por outras empresas.
A prática, conhecida como LLMjacking, foi detalhada em um novo levantamento publicado em 2 de novembro pelo Google Threat Intelligence Group (GTIG), com participação de especialistas da Mandiant. A investigação identificou diferentes operações criminosas que sequestram credenciais, exploram configurações inadequadas e utilizam contas corporativas comprometidas para executar modelos de IA em larga escala.
O impacto financeiro pode ser significativo. Segundo o Google, houve incidentes com mais de US$ 100 mil em cobranças fraudulentas em um único dia. Em algumas organizações, os custos acumulados chegaram a US$ 1 milhão antes que os acessos comprometidos fossem revogados.
Como funciona o LLMjacking?
O funcionamento do golpe começa, geralmente, com a obtenção de credenciais que permitem acessar serviços de computação em nuvem e plataformas de inteligência artificial.
Os criminosos procuram endpoints de modelos de IA expostos publicamente, chaves de API disponibilizadas indevidamente ou credenciais corporativas roubadas. Entre os alvos estão tokens de identidade IAM, chaves de contas de serviço, tokens pessoais do GitHub e sessões autenticadas.
Com essas informações, os invasores conseguem entrar na infraestrutura da vítima e ampliar gradualmente seus privilégios. O objetivo não é necessariamente roubar dados imediatamente, mas assumir o controle dos recursos disponíveis para executar modelos de linguagem e utilizar sua capacidade computacional.
Em uma das investigações, o grupo identificado como UNC6993 conseguiu comprometer uma instância de nuvem por meio de uma chave de conta de serviço configurada inadequadamente. Depois de obter acesso, os criminosos tentaram criar novas chaves de API e habilitar serviços adicionais de inteligência artificial.
O resultado foi uma rápida escalada dos custos, com mais de US$ 100 mil em cobranças associadas à utilização indevida dos recursos.
Modelos avançados viram ferramentas de um mercado clandestino
O problema vai além do uso não autorizado de uma conta corporativa. O Google identificou uma estrutura criminosa que transforma credenciais roubadas em serviços comercializados clandestinamente.
Essas operações contam com intermediários conhecidos como LLM Mixers. Eles funcionam como gateways de distribuição, reunindo diferentes credenciais comprometidas e oferecendo acesso a vários modelos de inteligência artificial por meio de uma infraestrutura centralizada.
Na prática, o consumidor clandestino utiliza o serviço como se estivesse contratando uma plataforma legítima de IA. Entretanto, as solicitações são encaminhadas por meio de contas pertencentes a empresas vítimas de invasões.
Para organizar esse mercado, os operadores utilizam gateways de código aberto e sistemas próprios de proxy. Entre as ferramentas identificadas pelo Google estão new-api e gcli2api, empregadas para agregar credenciais e distribuir solicitações entre diferentes contas.
Essa estrutura também dificulta a identificação da origem das requisições, já que o tráfego pode passar por diversos servidores e contas antes de alcançar os modelos de IA.
Mais de 500 mil solicitações em menos de oito horas
Um dos casos identificados pelo GTIG demonstra a dimensão que esse tipo de operação pode alcançar.
Em uma investigação, os pesquisadores observaram um agente criminoso executando mais de 500 mil chamadas de API em menos de oito horas, utilizando chaves de acesso de terceiros comprometidas.
A infraestrutura estava associada ao serviço Jet Night, que oferecia acesso a modelos avançados de inteligência artificial por meio de uma plataforma de roteamento de solicitações.
Segundo o Google, os custos associados ao consumo de tokens encaminhado pelo serviço chegaram a quase US$ 1 milhão para a organização afetada.
Os pesquisadores também observaram planos comerciais anunciados por valores muito inferiores aos praticados normalmente por fornecedores legítimos. Essa diferença levantou suspeitas de que o serviço dependia de credenciais roubadas para manter preços artificialmente baixos.
O levantamento também identificou anúncios de planos com utilização ilimitada de tokens por aproximadamente US$ 60 mensais, enquanto serviços equivalentes poderiam custar entre US$ 100 e US$ 250, dependendo dos modelos e das condições de utilização.
Hackers também estão utilizando agentes de IA
Outro aspecto preocupante é a integração entre credenciais roubadas, infraestrutura em nuvem e agentes autônomos.
Em um dos incidentes, os invasores implantaram um backdoor dentro de um contêiner na nuvem. O programa consultava um modelo de linguagem externo para interpretar instruções e executar comandos localmente.
Também foram identificados proxies reversos públicos e pacotes personalizados desenvolvidos em Node.js para disponibilizar interfaces compatíveis com diferentes modelos avançados.
Uma dessas operações utilizava a identidade D1337-KAIROS para apresentar os serviços de IA disponibilizados pela infraestrutura comprometida.
Isso demonstra que o LLMjacking não se limita ao roubo de capacidade computacional. Os recursos sequestrados também podem sustentar operações automatizadas, desenvolvimento de ferramentas maliciosas e serviços clandestinos de inteligência artificial.
Por que esse tipo de ataque preocupa as empresas?
Diferentemente de ataques tradicionais de cryptojacking, nos quais os criminosos utilizam computadores comprometidos para minerar criptomoedas, o LLMjacking pode produzir aumentos muito mais rápidos no consumo de recursos.
Modelos avançados de IA são cobrados de acordo com fatores como volume de tokens processados, modelo utilizado, capacidade computacional e serviços contratados.
Quando os invasores conseguem habilitar modelos premium e executar milhares de solicitações simultâneas, a conta pode crescer rapidamente.
Além disso, o acesso indevido pode permanecer ativo mesmo quando os funcionários da empresa não estão utilizando os serviços de inteligência artificial.
O Google também alerta que os grupos criminosos estão desenvolvendo estratégias para contornar limites de utilização. Uma delas, chamada de “burn and rotate”, consiste em criar e excluir continuamente contas de serviço temporárias para distribuir o consumo e dificultar a aplicação de limites de requisições.
Google recomenda reforçar o controle sobre credenciais e serviços de IA
Diante do crescimento dessas operações, o Google recomenda que as empresas tratem qualquer ativação não autorizada de serviços de inteligência artificial como um incidente crítico de segurança.
Entre as medidas recomendadas estão monitorar alterações em contas e serviços de IA, acompanhar o histórico de utilização das APIs e identificar padrões incomuns de consumo.
Também é importante restringir permissões de usuários e contas de serviço ao mínimo necessário para suas atividades, além de proteger chaves de API e evitar que credenciais sejam armazenadas em repositórios públicos.
Outro ponto importante é acompanhar a infraestrutura responsável por intermediar solicitações aos modelos de IA. Gateways e sistemas de roteamento, como o LiteLLM, também precisam receber atualizações de segurança e passar por auditorias periódicas.
O alerta do Google mostra que a popularização da inteligência artificial está criando um novo mercado para o crime digital. Em vez de atacar diretamente os fornecedores de modelos, os invasores estão encontrando maneiras de explorar a infraestrutura de seus clientes.
Para as empresas, isso significa que proteger os sistemas de IA deixou de ser apenas uma questão de privacidade e proteção de dados. Também passou a ser uma necessidade financeira: uma credencial comprometida pode transformar uma conta corporativa em uma fonte de recursos para operações criminosas.
