LLM乗っ取りでサイバー攻撃者がコスト節約 知財流出の危険性も高まる「LLMジャッキング」の深刻度
AIアカウント乗っ取りを起点とし、サイバー攻撃者が被害企業のコスト負担で、LLMや計算資源を自身のAI処理に使う「LLMジャッキング」が広がっている。Googleの脅威分析グループが、その実態をレポートで説明している。
サイバー攻撃者はAIの利用を急速に高度化しているが、利用コストが大きなネックとなっている。高性能なAIモデルの利用料金や、AIシステムを実行するための計算インフラの費用は高額。そのため、正規ユーザーのクラウドインフラやシステムに侵入し、有料のAIサービスAPIやGPUなどの計算資源を盗用して、自身のAI処理に使う手口が広がっている。
これは「LLMジャッキング」と呼ばれている。被害に遭えば、高額な料金を負担させられるばかりか、自社のコストで高度なサイバー攻撃にさらされる可能性がある。他社の攻撃に使われれば、間接的に脅威アクターの犯罪に加担することにもなる。また、LLMに不正アクセスされれば、モデル抽出などを通じた知的財産の流出にもつながる。
Googleの脅威分析グループ（Google Threat Intelligence Group：GTIG）は、2026年9月8日（米国時間）に公開した最新のレポートで、LLMジャッキングの背景や事例を説明している。
闇市場でAIアカウントの取引価格が急上昇
2026年、GTIGが監視するダークウェブのフォーラムでは、AI関連アカウントの購入希望者と販売者の双方が劇的に増加した。
需要は「Claude」「Gemini」などの商用LLMや、「Cursor Pro」「Devin」といった自律型AIコーディングIDE（統合開発環境）のアカウントに集中している。こうしたアカウントの平均取引価格は、2026年に入ってから2倍以上に上昇したという。
なぜAIアカウントの闇取引価格が高騰しているのか。脅威アクターにとって、高度なサイバー攻撃を仕掛けるために必要な高性能AIのコストが最大の課題となっているからだ。一方で、国家スパイやデータ窃取グループは、企業独自のAIモデルやトレーニングデータ、ファインチューニング用のスキル、独自プロンプト、RAG（検索拡張生成）システムを標的にしている。
こうした攻撃の足掛かりとして、一般AIアカウントの認証情報の価値が高まっている。
アカウント窃取技術も高度化している。LUMMAC.V2やACRSTEALERなどの情報窃取マルウェアが進化し、ブラウザの保存情報だけでなく、開発者のPC内にあるAIツールのローカル設定ファイルを直接狙うようになった。ここには有料APIキーやカスタムモデルのルーティング設定が平文で保存されていることが多く、これらが窃取されると、企業のAIクォータ（利用枠）やインフラのハイジャックにもつながる。
2026年4月に発生したLLMジャッキングの事例
レポートでは、Mandiantのインシデント対応チームが実際に調査した事例を紹介している。このアクターは、被害組織の環境内に独自のAI処理システムを勝手に構築していた。
手口はこうだ。
初期侵入からインフラ構築まで
まず、開発者が誤って露出させていたGitHubのパーソナルアクセストークンを盗み、被害組織のGoogle Cloud環境へ侵入した。
次に、この環境内で「Gemini Enterprise」を有効化し、HPCインスタンスを起動した。また、「Artifact Registry」にカスタムDockerリポジトリを作成し、LiteLLMやManusのコンテナイメージをデプロイした。
これをサーバレスサービスの「Cloud Run」に一般公開設定でデプロイし、ファイアウォールを変更して外部から自由にアクセスできるようにした。
一方で、編集者権限を持つ不正なサービスアカウントを作成し、キーを外部にエクスポートしてアクセスの永続性を確保した。
また、「BigQuery」にクエリを投げ、環境変数や追加のAPIキー、認証情報が保存されているテーブルをスキャンし、特定した。
上記に成功した攻撃者は、侵入先に「AI Workbench」のノートブックインスタンスを立ち上げ、被害組織のデータを用いたRAGパイプラインを実行した。
さらに、クラウドサービスの割り当て制限を操作する「Cloud Quotas API」を不正利用し、「NVIDIA RTX 6000 GPU」の割り当て増加を申請。48 vCPUの大規模計算インスタンスを複数起動し、被害組織のコスト負担で実行し続けた。
つまり、脅威アクターは被害企業のデータやAIモデル、インフラ予算を使って、独自の自律型AIシステムを稼働させていた。
Copyright © ITmedia, Inc. All Rights Reserved.