Criminosos invadem serviços de IA para usar modelos sem pagar

Criminosos estão encontrando nova maneira de lucrar com a inteligência artificial (IA): em vez de investir na contratação de modelos avançados, eles roubam credenciais de empresas para utilizar serviços de IA pagos por outras pessoas. Conhecida como LLMjacking, a prática pode provocar prejuízos de mais de US$ 100 mil (cerca de R$ 540 mil) em poucos minutos.

O alerta foi feito pelo Google Threat Intelligence Group (GTIG), que identificou o crescimento desse tipo de ataque nos últimos anos. Segundo a equipe de inteligência, grupos especializados estão invadindo ambientes corporativos para assumir o controle de serviços de IA, explorar sua capacidade computacional e transferir os custos para as organizações vítimas.

A estratégia começa, geralmente, com a identificação de pontos de acesso a modelos de linguagem expostos publicamente ou com o roubo de chaves de acesso às APIs dessas plataformas. Os criminosos também utilizam credenciais de serviços em nuvem, tokens de identidade e informações de sessão para entrar na infraestrutura das empresas.

Entre os dados explorados estão credenciais de gerenciamento de identidade e acesso (IAM, na sigla em inglês), chaves de contas de serviço, tokens pessoais do GitHub e tokens de sessões ativas. Depois de conseguir uma entrada, os invasores procuram ampliar seus privilégios e consolidar o acesso aos sistemas comprometidos.

Como funciona o LLMjacking?

• O objetivo é assumir o controle dos recursos de modelos de linguagem de grande porte (LLMs, na sigla em inglês) e transformá-los em uma fonte de dinheiro. De acordo com o GTIG, isso acontece por meio de serviços de intermediação de tokens, transmissão automatizada de modelos e disponibilização de hardware com GPUs;
• Na prática, os invasores utilizam a capacidade computacional e as assinaturas das vítimas para executar tarefas de IA. Enquanto isso, a conta da empresa comprometida recebe as cobranças pelo processamento;
• O impacto financeiro pode ser bastante rápido. Em um dos casos documentados pelo Google, um agente identificado como UNC6993 conseguiu acesso a chaves de APIs de LLMs e tentou gerar novas credenciais e habilitar serviços adicionais em projetos de nuvem pertencentes às vítimas. A operação acumulou mais de US$ 100 mil em cobranças;
• Outro grupo adotou estratégia diferente: inscreveu contas comprometidas em planos de pagamento por uso, selecionou modelos avançados e iniciou fluxos de inferência em alto volume;
• Para contornar limites de utilização, os criminosos empregaram técnica chamada burn and rotate, que consiste em criar e excluir continuamente contas de serviço temporárias. Eles também acompanhavam a interface de cobrança do provedor de nuvem para monitorar o impacto financeiro das operações.

• Ataques cibernéticos a geladeiras de supermercados atingem 7 países da Europa
• Modelo de IA da Anthropic ignora aviso e mantém ciberataque em teste de segurança
• Falsa entrevista e IA: Binance detalha invasão de US$ 6,3 bilhões

Criminosos também revendem acesso a modelos de IA

O uso indevido da infraestrutura corporativa não se limita à execução de tarefas próprias. Em alguns casos, os invasores também aproveitam o acesso roubado para hospedar serviços de proxy e sistemas baseados em agentes de IA.

O Google identificou um criminoso que habilitou agentes, implantou proxies reversos acessíveis publicamente e utilizou estruturas personalizadas em Node.js para disponibilizar serviços compatíveis com diferentes modelos avançados.

O grupo também implantou um backdoor em contêiner que consultava um modelo de linguagem externo para interpretar instruções e executar comandos localmente.

Segundo o GTIG, o ecossistema criminoso está se tornando mais organizado. Enquanto alguns grupos ficam responsáveis por invadir ambientes corporativos e obter credenciais, outros cuidam da monetização dos acessos roubados.

Esses operadores são chamados de LLM Mixers. Eles funcionam como intermediários que agregam, encaminham e revendem o acesso não autorizado a modelos de IA para clientes de mercados clandestinos.

Com o uso de gateways de API de código aberto e estruturas próprias de retransmissão, os criminosos conseguem reunir credenciais roubadas, controlar o consumo e dificultar a identificação da origem das solicitações.

Google alerta para avanço dos ataques

O GTIG avalia que os criminosos devem priorizar cada vez mais o LLMjacking, em detrimento de outras práticas de roubo de recursos computacionais.

Diante desse cenário, a equipe recomenda que as organizações ampliem a visibilidade sobre suas plataformas de IA e monitorem alterações em contas e serviços associados aos modelos.

O Google também orienta que qualquer ativação não autorizada de recursos seja tratada como um incidente crítico de segurança.

Outra recomendação é aplicar o princípio do menor privilégio, garantindo que usuários e contas tenham somente as permissões estritamente necessárias para realizar suas atividades.

O avanço desse tipo de ataque mostra como a expansão da IA também cria novas oportunidades para o cibercrime. Além do risco de exposição de informações, empresas agora precisam lidar com a possibilidade de criminosos transformarem seus próprios serviços de IA em uma fonte de despesas inesperadas.