LLMjacking : quand les pirates détournent l’IA générative pour faire exploser la facture cloud

Google a mis en garde les entreprises contre une nouvelle forme de piratage qui vise directement les modèles de langage de grande taille. Baptisée LLMjacking, cette technique permet à des acteurs malveillants de s’approprier l’accès aux API d’intelligence artificielle d’une organisation pour en consommer les ressources à leur profit, laissant la victime régler l’addition.

Le phénomène prend de l’ampleur. D’après le Threat Intelligence Group et Mandiant, les frais frauduleux peuvent dépasser 100 000 dollars en une seule journée, et certains groupes ont accumulé jusqu’à un million de dollars de consommation avant que l’accès ne soit révoqué. La géographie des victimes est large : Amérique du Nord, Amérique du Sud, Asie-Pacifique, touchant la finance, le commerce de détail, la technologie et les transports.

Contrairement au cryptojacking, qui grignote progressivement la puissance de calcul, le LLMjacking frappe vite et fort. Les attaquants ne cherchent pas à miner de la monnaie virtuelle, ils ciblent les modèles eux-mêmes, GPT, Claude, ou leurs équivalents hébergés en cloud, pour générer du texte, du code ou des analyses à coût zéro pour eux.

La porte d’entrée la plus fréquente reste le vol d’identifiants cloud. Clés de compte de service, jetons d’accès GitHub, identités IAM d’utilisateurs d’entreprise, sessions actives : tout ce qui permet de s’authentifier auprès d’un fournisseur d’IA devient une cible. Le groupe baptisé UNC6993 a ainsi compromis une instance cloud via une clé de compte de service mal configurée, avant d’en extraire l’accès à une API de modèle de langage.

Mais les méthodes évoluent. Les chercheurs ont observé une page d’hameçonnage imitant un portail d’application pour rejoindre une communauté d’utilisateurs de LLM. La victime y colle son payload JSON contenant un jeton d’accès actif, pensant s’authentifier légitimement. Le jeton est immédiatement récupéré par l’attaquant, qui contourne ainsi mot de passe et double facteur.

Une fois le pied mis dans l’infrastructure, les opérateurs ne perdent pas de temps. Ils énumèrent les services cloud, les dépôts de code, les entrepôts de données à la recherche d’autres secrets. Ils clonent les bases de code sensibles pour y traquer mots de passe en dur, variables de configuration, identifiants de développeurs. Ils scrutent les journaux d’accès pour repérer des passerelles vers d’autres environnements cloud.

Cette phase de reconnaissance interne permet l’escalade de privilèges. Les permissions associées aux comptes de service sont détournées pour générer des identifiants temporaires à haut niveau. Les machines virtuelles mal configurées offrent des pivots supplémentaires. En quelques heures, l’attaquant dispose d’une carte détaillée de l’infrastructure et de multiples issues pour persister.

L’adoption massive de l’IA générative en entreprise a créé une surface d’attaque inédite. Chaque clé API distribuée à un développeur, chaque endpoint exposé pour un chatbot interne, chaque intégration dans un pipeline CI/CD représente un vecteur potentiel. La mise en production rapide, souvent au détriment des revues de sécurité, aggrave le problème.

Les fournisseurs de cloud et d’IA commencent à réagir. Google a étendu son programme de récompense aux vulnérabilités d’architecture critiques, avec une prime maximale de 250 000 dollars pour les failles permettant un accès root dans le cloud. Mais la première ligne de défense reste côté client : rotation régulière des clés, principe de moindre privilège, surveillance des pics de consommation anormaux, et formation aux nouvelles formes d’hameçonnage ciblant les identifiants d’IA.

Le LLMjacking n’est pas une menace théorique. C’est une réalité économique pour les organisations qui ont vu leur facture cloud s’envoler sans explication apparente. Tant que les clés d’API circuleront dans des dépôts publics, des fichiers de configuration mal sécurisés, ou des conversations d’ingénieurs piégés par de fausses offres d’emploi, le robinet restera ouvert.

Sources : The Hacker News, BleepingComputer, The Register