Mandiant ziet LLMJacking-kosten boven $100.000 op één dag

LLMJacking kan bij afzonderlijke incidenten meer dan $100.000 aan cloudkosten op één dag veroorzaken, meldt Mandiant na onderzoek naar meerdere aanvallen op LLM-toegang in 2026.

Bij een Nederlandse organisatie met betaalde modeltoegang kan een gestolen sleutel de normale kostencontrole voorbijschieten voordat een maandfactuur wordt nagekeken. Quota, budgetmeldingen en snelle sleutelintrekking bepalen dan hoe lang de rekening doorloopt.

Gestolen identiteiten openen de modelrekening

De aanvallers richten zich rechtstreeks op modelendpoints of op de identiteiten waarmee teams die beheren. Mandiant noemt blootgestelde of gestolen IAM-gegevens, dienstaccountsleutels, GitHub Personal Access Tokens en actieve sessietokens als dominante eerste ingang. Ook publiek bereikbare LLM-endpoints, zoals Ollama-servers, geven aanvallers een route naar modelcapaciteit. Mandiant onderzocht organisaties in Noord-Amerika, Zuid-Amerika en Azië-Pacific, in de financiële dienstverlening, retail, technologie en transport.

Bij een incident rond UNC6993 kwam de eerste toegang via een verkeerd geconfigureerde dienstaccountsleutel. Daarna maakte de groep een namaakportaal dat zich voordeed als toegang voor LLM-gebruikers. De pagina stuurde slachtoffers naar de echte dienst, maar vroeg ze een actieve sessietoken als ruwe JSON terug te plakken. Zo kon de aanvaller wachtwoord en multifactor-authenticatie omzeilen.

Een andere actor oogstte API-sleutels uit openbare GitHub-repositories en testte ze met verzoeken op max_tokens=1. Die kleine verzoeken bleven volgens Mandiant onder volume-alarmen van EDR- en SIEM-systemen. In andere gevallen gebruikten aanvallers geldige sleutels om diensten als Bedrock of Gemini eerst in een cloudproject te activeren. Het modelverbruik kon daarna binnen minuten of uren grote rekeningen veroorzaken.

Gestolen modeltoegang wordt doorverkocht

Na de eerste toegang proberen aanvallers extra sleutels aan te maken en meer modeldiensten in te schakelen. UNC6993 zette die route in bij een slachtoffer waar de rekening snel boven $100.000 uitkwam. Een andere actor schreef slachtofferaccounts in voor betalen per gebruik van premiummodellen. Om gebruikslimieten te omzeilen, maakte en verwijderde die groep voortdurend kortlevende dienstaccounts en hield ze de cloudrekening in de gaten.

Mandiant beschrijft ook een taakverdeling: de ene groep breekt binnen, terwijl een andere de toegang doorverkoopt via zogeheten LLM Mixers. Dat zijn illegale gateways die gestolen sleutels bundelen, verzoeken routeren en de herkomst ervan verhullen. Eén actor gebruikte gestolen sleutels voor Jet Night, een tokenrouteringsdienst die meer dan 500.000 modelverzoeken in minder dan acht uur verwerkte. Eén slachtoffer kreeg bijna $1 miljoen aan tokenkosten toegerekend. Mandiant meldt ook dat de cumulatieve rekening bij sommige organisaties vóór intrekking van de toegang tot $1 miljoen opliep; het rapport maakt niet duidelijk of dit dezelfde casus betreft.

Jet Night bood volgens GTIG een onbeperkt abonnement aan voor ongeveer $60 per maand, terwijl een vergelijkbare legitieme consumentenbundel volgens de onderzoekers doorgaans $100 tot $250 kost. GTIG vermoedt dat de lage prijs mogelijk is doordat de dienst gestolen sleutels gebruikt. Het team zag ook storingen die waarschijnlijk samenvielen met slachtoffers die hun sleutels introkken. Dat is een aanwijzing uit het onderzoek, geen openbaar gemaakte administratie van Jet Night.

Andere incidenten tonen dezelfde rekeningroute

Wiz CIRT beschreef op 20 oktober afzonderlijke aanvallen op Google Cloud. Aanvallers stalen daar via phishing de gegevens van beheerders en koppelden eigen cloudprojecten aan de rekening van slachtoffers. De AI-verzoeken liepen via die externe projecten, waardoor de promptinhoud buiten de interne logs bleef. Binnen 24 tot 48 uur zagen slachtoffers van die campagnes tientallen tot honderden duizenden dollars aan ongeautoriseerd Gemini-verbruik.

Symantec legde in de zomer een andere fase vast. De honeypot registreerde meer dan 127.000 verzoeken; in de gevangen sessie voerde het systeem geen van de beschreven aanvalstools uit. De prompt met 74 aanvalstools die Symantec in een honeypot ving liet zien wat aanvallers wilden bouwen, niet dat die tools al schade hadden veroorzaakt. Mandiants incidenten voegen daar waargenomen misbruik en concrete cloudkosten aan toe.

Een kwetsbaarheidsnummer vraagt om uitleg

Mandiant meldt ook dat een tweede groep gewone virtuele LiteLLM-sleutels via het endpoint /key/regenerate wist op te waarderen tot beheerdersrechten. Het rapport koppelt die gebruikers-ID-fout aan CVE-2026-40217. Het openbare CVE-projectrecord beschrijft dat nummer als code-uitvoering via /guardrails/test_custom_code. Ook Obsidian Security koppelt CVE-2026-40217 aan een sandboxfout in LiteLLM's aangepaste code. LiteLLM kende al een sandboxfout waarmee een gewone gebruiker code op de gateway kon uitvoeren, via een andere route dan /key/regenerate. De waargenomen sleutel-escalatie staat in Mandiants verslag; de koppeling aan dit CVE-nummer vraagt om opheldering.

Mandiant adviseert organisaties om sleutels centraal te beheren en automatisch te roteren, accounts alleen de benodigde rechten te geven en code op gelekte geheimen te scannen. Het noemt ook afzonderlijke sleutels per model, omgeving en gebruiksgrens, phishingbestendige multifactor-authenticatie, gebruiksquota per model en bestedingslimieten. Beveiligingsteams moeten kleine validatieverzoeken herkennen, waaronder max_tokens=1, en veranderingen in modeldiensten signaleren. Voor Gemini Enterprise Agent Platform staan Data Access-auditlogs volgens het rapport standaard uit; organisaties moeten die zelf inschakelen en de bijbehorende innamekosten meenemen.

Mandiant beschrijft onderzochte incidenten, geen steekproef waaruit de kans op een aanval of een gemiddeld verlies valt te berekenen. De casussen laten wel een terugkerende keten zien: een sleutel of cloudidentiteit opent toegang, modelgebruik wordt een betaalde dienst en de rekening blijft bij de accounthouder tot toegang wordt ingetrokken. Bij betaalde modellen horen quota, auditlogs en sleutelrotatie daarom bij de operationele beveiliging.