出来事の日付：2026年11月3日。

GoogleのMandiantおよびThreat Intelligenceチームが公表したインシデント調査の結果によると、企業の大規模言語モデルへのアクセスを乗っ取った攻撃者は、1日で10万ドルを超えるリソースの不正利用料金を発生させ、アクセスが遮断されるまでに被害企業の累積請求額を100万ドル近くに押し上げることがある。

Googleはこの活動を「LLMJacking」と呼んでいる。調査は2026年中の複数のインシデントを対象とし、南北アメリカとアジア太平洋地域の金融サービス、小売り、テクノロジー、運輸分野の組織が被害を受けた。コンピューティング資源を徐々に消費することがあるクリプトジャッキングとは異なり、モデルの不正利用は数時間のうちにAPIリクエストとクラウド費用の急増を招く可能性がある。

研究者らは、盗まれたAIアクセスをめぐって犯罪市場が発達しつつあると説明した。最初の侵入の足掛かりを得るグループがいる一方、アクセスを集約して転売するインフラを管理する別の運営者もいる。Googleは、こうした経路制御サービスを「LLM Mixers」と呼んでいる。ある調査では、別々の2つの活動グループが連携して環境を侵害し、そのモデル資源を収益化していた。これは分業が進んでいることを示す証拠だ。

各事例で主な侵入経路となったのは、モデルのAPIキーだけではなかった。攻撃者は、侵害されたID・アクセス管理の認証情報、サービスアカウントキー、GitHubの個人アクセストークン、有効なセッショントークンも利用した。あるグループは、設定に不備のあるサービスアカウントキーを悪用し、その後、自分たちにLLM APIへのアクセス権を与えた。また、偽のアプリケーションポータルを使い、利用者に有効なアクセストークンのペイロードを貼り付けさせることで、パスワードと多要素認証による保護を回避した。

ほかの侵入では、盗まれたリポジトリ認証情報と、存在が疑われるアプリケーションの脆弱性を組み合わせたり、クラウドのフェデレーショントークンを悪用して新しいアクセスキーを作成したりしていた。Googleは、公開GitHubリポジトリに露出した企業のモデル用キーを攻撃者が収集する動きも確認した。目立つ通信を発生させずにキーが使えるか確かめるため、攻撃者は出力を1トークンだけに制限した自動リクエストを送信していた。

侵入後、各グループはリポジトリ、データストア、ログ、クラウドサービスから、さらに認証情報を探した。侵害されたあるコンテナ環境では、攻撃者が機密性の高いコードリポジトリを複製し、設定データやログを調べた。別の場所では、攻撃者がデータウェアハウスのメタデータに問い合わせ、管理者パスワードなどの価値あるフィールドを探していた。その後、トークン作成権限の悪用によって、より高い権限を持つサービスアカウントの一時認証情報を取得できるようになり、クラウドのシークレット管理サービスからのさらなる窃取につながった。

調査結果は、モデルへのアクセスを、より広いクラウドのID管理境界の一部として扱う必要がある理由を示している。チャットボットのフロントエンドだけを保護しても、バックエンドのエンドポイントの直接利用は防げない。組織は、露出したキーを削除し、サービスアカウントの権限を絞り、通常と異なるモデルの消費量を監視し、急激な費用の変化をすばやく調べる必要がある。Googleは、報告した請求額を一般的な推定値ではなく、実際のインシデントで観測した数値として示している。ただし、これらの事例は、侵害されたAIインフラがいかに急速に大きな金銭的損失につながり得るかを示している。