Google, LLMjacking Saldırılarına Karşı Uyarıyor: Şirketler 1 Milyon Dolara Varan Zararlarla Karşı Karşıya

Google, LLMjacking Saldırılarına Karşı Uyarıyor: Şirketler 1 Milyon Dolara Varan Zararlarla Karşı Karşıya

Google, 2026 yılının Kasım ayında yaptığı bir uyarıda, kötü niyetli aktörlerin Büyük Dil Modelleri (LLM) erişimlerini ele geçirerek pahalı bilgi işlem kaynaklarını ve yapay zeka hizmetlerini kötüye kullandığını duyurdu. Bu tür saldırılar, bazı şirketlere bulut faturalarında 1 milyon dolara kadar maliyet çıkarabiliyor.

Bu taktik, LLM dönemine uyarlanmış bir kaynak ele geçirme biçimi olan LLMjacking olarak adlandırılıyor. Saldırganlar, kimlik avı, kaynak kodu sızıntıları, yanlış yapılandırılmış ortamlar veya açıkta kalan istemci tarafı kodları aracılığıyla bir API anahtarı elde ederek bir kuruluşun LLM hesaplarına yetkisiz erişim sağlıyor ve tüm tüketim maliyetlerini meşru sahibine yüklüyor.

Bu tür saldırılar geniş bir coğrafi alana yayılmış durumda; Kuzey Amerika, Güney Amerika ve Asya Pasifik’teki finansal hizmetler, perakende, teknoloji ve ulaşım sektörlerindeki kuruluşlar etkileniyor.

Google Tehdit İstihbarat Grubu ve Mandiant tarafından hazırlanan bir raporda, “Kripto madenciliği ile ilişkili kademeli kaynak tüketiminin aksine, LLMjacking saatler içinde büyük dolandırıcılık amaçlı bulut faturalandırma artışları yaratabilir” denildi. Raporda ayrıca, “Bireysel olaylarda, kaynak tüketimiyle ilişkili dolandırıcılık amaçlı ücretlerin tek bir günde 100.000 ABD dolarını aştığını, bazı kuruluşlarda ise erişim iptal edilmeden önce kümülatif ücretlerin 1 milyon ABD dolarına ulaştığını gözlemledik” ifadeleri yer aldı.

Saldırıların bir ucunda, kod üretimi gibi yetkisiz görevleri gerçekleştirmek için müşteri destek sohbet robotlarının manipülasyonunu içeren düşük seviyeli kaynak hırsızlığı bulunuyor. LLMjacking ise diğer uçta yer alıyor; burada saldırganlar, açıkta kalan LLM uç noktalarını tespit ederek veya geçerli LLM API anahtarlarını elde ederek doğrudan arka uç model kaynaklarını hedef alıyor.

En yaygın ilk erişim vektörü, IAM kimlik bilgileri, Hizmet Hesabı anahtarları, GitHub Kişisel Erişim Tokenları (PAT’ler) ve aktif oturum tokenları dahil olmak üzere açıkta kalan veya çalınan bulut kimlik tokenları olmuştur. Bu tokenlar, saldırganın hedef kuruluşların altyapısına ilk girişini sağlamasına olanak tanıyor.

UNC6993 adlı bir tehdit aktörünün, yanlış yapılandırılmış bir Hizmet Hesabı anahtarı aracılığıyla bir bulut örneğine sızdığı ve bunu bir LLM API’sine erişim sağlamak için kullandığı belirtiliyor.

Google, “UNC6993 ayrıca, bir grup LLM kullanıcısına katılmak için bir uygulama portalı gibi görünen bir oturum ele geçirme sayfası barındırdı” dedi. “Bu sayfa, kullanıcıları meşru LLM hizmet web sitesine yönlendirerek, aktif bir erişim tokenı içeren ham JSON yüklerini yapıştırmaları için kandırıyor ve bu token daha sonra parola ve çok faktörlü kimlik doğrulama (MFA) kontrollerini atlamak için arka uç API’sine gönderiliyordu.”

Başka bir vakada, bilinmeyen bir saldırganın çalınan bir Kişisel Erişim Tokenını kullanarak özel kod depolarına eriştiği ve ardından kapsayıcılı bir bulut ortamında çalışan bir paketteki şüpheli bir web uygulaması güvenlik açığını istismar ettiği gözlemlendi.

Diğer ilk erişim yolları arasında, kurumsal kullanıcıların IAM kimlik bilgilerinin ele geçirilerek MFA korumalarını atlamak için yeni erişim anahtarları oluşturulması ve geniş proje izinlerine sahip ele geçirilmiş bir bulut Hizmet Hesabı anahtarının ve genel GitHub depolarından elde edilen LLM API anahtarlarının kullanılması yer alıyor.

Başarılı bir şekilde giriş sağlandıktan sonra, tehdit aktörleri ayrıcalıkları yükseltmek, ağda daha derinlere inmek, kalıcılık sağlamak ve yanal hareket için hedefleri ve ek bulut kimlik bilgilerini belirlemek amacıyla dahili keşif yapmak için zaman kaybetmiyor.

Gözlemlenen taktiklerden bazıları şunlardır:

• Hassas kimlik bilgileri için bulut hizmetlerini, kod depolarını ve veri depolama alanlarını numaralandırmak.
• Mevcut hizmetleri ve kimlik politikalarını haritalamak için birden fazla bulut bölgesinde dahili keşif yapmak.
• Sabit kodlanmış sırları, yapılandırma değişkenlerini ve geliştirici kimlik bilgilerini aramak için hassas kod tabanlarını klonlamak.
• İkincil bulut ortamları için kimlik bilgilerini belirlemek amacıyla erişim günlüklerini taramak.
• Ek kimlik bilgilerini toplamak için hedeflenmiş veritabanı sorguları çalıştırmak.
• Ayrıcalıkları yükseltmek ve kalıcı erişimi sürdürmek için bulut kimlik izinlerini ve sanal makine yapılandırmalarını kötüye kullanmak.
• Hizmet hesaplarıyla ilişkili token oluşturma ayrıcalıklarını kötüye kullanarak yüksek ayrıcalıklı hizmet hesapları için geçici kimlik bilgileri oluşturmak ve altyapı kimlik bilgilerini, dahili veritabanı parolalarını ve üçüncü taraf API anahtarlarını bulut sır yöneticilerinden sızdırmak.
• Yetkisiz IAM ve hizmet hesapları oluşturmak ve kalıcılık için SSH anahtarlarını bilgi işlem örneklerine enjekte etmek.
• Dahili faturalandırma optimizasyon araçları gibi görünen arka kapı hizmet hesapları oluşturmak.
• LiteLLM’deki CVE-2026-40217 gibi LLM yönlendirme yazılımlarını hedef alan güvenlik açıklarını istismar ederek ayrıcalıkları yükseltmek.

Google, “LLMjacking’in nihai amacı, token proxy’leme, otomatik model akışı ve GPU donanımı sağlama yoluyla aktörlerin temel modelleri ticarileştirmesi ve kaynaklarını ele geçirmesidir” dedi. “Tehdit aktörleri ayrıca kendi proxy uç noktalarını ve aracılı iş yüklerini barındırmak için erişimlerini kötüye kullandılar.”

Örneğin, UNC6993, kurban bulut projeleri içinde operasyonlarını ölçeklendirmek için ek API anahtarları oluşturarak 100.000 ABD dolarının üzerinde faturalandırma ücreti biriktirdi. Bazı tehdit aktörleri, sürekli olarak kısa ömürlü hizmet hesapları oluşturup silmeyi içeren bir “yak ve döndür” stratejisi benimseyerek hız limitlerini aşmaya çalışıyor.

LLMjacking ekosisteminin olgunlaşması, LLM Karıştırıcıları adı verilen yeni bir aktör kategorisinin ortaya çıkmasına da yol açtı. Bu durum, ilk erişimi sağlayan saldırganlar ile aşağı akış ticarileştirme altyapısını yönetenler arasında bir iş bölümünü vurguluyor.

LLM Karıştırıcıları, yeraltı mağazaları aracılığıyla diğer suç aktörlerine yetkisiz LLM erişimini proxy eden, toplayan ve yeniden satan yasa dışı yönlendirme ağ geçitleri olarak işlev görüyor. Bu tür hizmetlerden biri olan Jet Night (“jet-night[.]com”), yaklaşık 60 dolar karşılığında sınırsız token planı ve iddia edilen bir öncü modele erişim sunuyor.

Bu yasa dışı yeniden satış pazarı, kötü niyetli aktörlerin kurumsal kotaları sızdırmasına ve ihlaller tespit edilmeden önce faturalandırma maliyetlerini kurbanlara yüklemesine olanak tanıyor.

Jet Night, tek token yönlendirme hizmeti olmaktan çok uzak. Broadcom’a ait Symantec ve Carbon Black tarafından geçen hafta yayınlanan bir rapora göre, kurumsal sistemlere orijinal OpenAI Codex ve Anthropic Claude Code CLI’larını kuran, ancak her isteği satıcıların kendi sunucuları yerine üçüncü taraf altyapısı üzerinden yönlendirecek şekilde yeniden yapılandıran bir gri pazar aktarım hizmeti bulunuyor.

Bu hizmetin en az 2026 başından beri aktif olduğu ve başta Çin anakarasındaki bir düzine kuruluş olmak üzere, Güney Kore, Tayvan ve Malezya’daki çok uluslu yan kuruluşları etkilediği değerlendiriliyor. Hedeflenen sektörler arasında endüstriyel otomasyon, elektronik imalatı, yarı iletkenler, ilaç, nakliye, lastik imalatı, petrokimya ve veri merkezi hizmetleri yer alıyor.

Symantec, “Hizmet, kendi istemci yazılımını oluşturmak yerine orijinal CLI araçlarını yeniden kullanıyor” dedi. “Bunları normal şekilde kuruyor, ardından yapılandırmalarını yeniden yazarak sanal alanı kapatıyor (Codex durumunda ‘danger-full-access’ olarak ayarlayarak) ve her isteği OpenAI veya Anthropic sunucuları yerine kendi sunucuları üzerinden yönlendiriyor.”

Hizmetin, Anthropic ve OpenAI’nin faaliyet göstermediği pazarları hedef aldığı ve kurulumun, bir çalışanın yetkisiz bir satıcıya başvurarak Batılı bir yapay zeka kodlama asistanını denemeye çalışmasıyla tetiklendiği görülüyor.

Özellikle, hizmet değiştirilmiş veya Truva atı bulaşmış bir istemci dağıtmıyor. Codex veya Claude Code CLI’nın npm aracılığıyla meşru kurulumundan kısa bir süre sonra, kullanıcılara, yapılandırmayı geçersiz kılmak için benzer bir alan adından (“vibe.aiok[.]me”) dosyasız bir PowerShell veya bash kurulum betiği almak için tek satırlık bir komut çalıştırmaları talimatı veriliyor.

Codex için “~/.codex/config.toml” veya Claude Code için “~/.claude/settings.json”ı hedefleyen yeniden yapılandırma, CLI’nin yürütme sanal alanını devre dışı bırakıyor, yazma sanal alanı için ağ erişimini etkinleştiriyor, kullanıcının gerçek API kimlik bilgilerini aktarım tarafından verilen tokenlarla değiştiriyor ve telemetri ile hata raporlamayı devre dışı bırakıyor.

Betiğin ayrıca, kurulum tamamlanmadan önce hizmet verdiği bölgedeki bir sistemde çalıştığını doğrulamak için Windows yerel ayarını kontrol ettiği belirtiliyor. Hizmetin arkasındaki operatörlerin sadece Batılı yapay zeka satıcıları tarafından uygulanan bölgesel kısıtlamaları aşmakla kalmayıp, aynı zamanda Jet Night’a benzer şekilde piyasa oranlarının altında kapasiteyi yeniden sattığı şüpheleniliyor.

Hizmetin, çalışanlar tarafından girilen istemleri toplamak veya yanıtları uydurmak veya değiştirmek için konumunu kötüye kullandığına dair bir kanıt olmasa da, bulgular bu tür araçları kullanmanın güvenlik risklerini ortaya koyuyor.

Google, “Tehdit aktörleri, gelişmekte olan yeraltı LLM Karıştırıcıları tarafından sağlanan anlık, yüksek marjlı ticarileştirme sayesinde, kripto madenciliği gibi geleneksel kaynak hırsızlığı yerine LLMjacking’e giderek daha fazla öncelik verecek” dedi. “İşletmeler daha yüksek katmanlı modelleri ve aracılı iş akışlarını üretim ortamlarına entegre ettikçe, siber suçluların açıkta kalan API tokenlarını hedeflemek ve model yönlendirme ara yazılımlarındaki güvenlik açıklarını istismar etmek için otomatik keşiflerini iyileştirmeleri muhtemeldir.”