Google Threat Intelligence Group ve Mandiant, LLMjacking adı verilen yeni bir kötüye kullanım modelinin bazı kuruluşlara tek başına 1 milyon dolara varan bulut faturaları çıkardığını bildirdi. Şirketlerin yapay zekâ modellerine erişim için kullandığı API anahtarları ele geçiriliyor, saldırganlar bu erişimi kendi hesaplarıymış gibi kullanıyor ve kullanım bedelini kurban kuruluş ödüyor.
İncelemeye göre saldırılar Kuzey Amerika, Güney Amerika ve Asya Pasifik’teki kuruluşları vurdu. Finansal hizmetler, perakende, teknoloji ve ulaştırma sektörleri hedefler arasında yer aldı. Araştırmacılar, bazı vakalarda tek bir günde 100 bin doların üzerinde sahte bulut kullanım ücreti oluştuğunu, kimi kuruluşlarda toplam faturanın erişim kesilmeden önce 1 milyon dolara ulaştığını aktardı.
Google, bu yöntemi kriptomining tabanlı cryptojacking ile aynı sınıfta görse de etkisinin daha hızlı ortaya çıktığını belirtti. Kriptodöviz madenciliğinde kaynak tüketimi genellikle yavaş ilerlerken, LLMjacking birkaç saat içinde yüksek tutarlı faturalara yol açabiliyor. Saldırganlar, doğrudan model altyapısını hedef alıyor; müşteri destek sohbet robotlarını kötüye kullanmakla yetinmiyor.
API anahtarları, oturumlar ve yanlış yapılandırmalar kapıyı açıyor
En sık kullanılan ilk erişim yöntemleri arasında phishing, kaynak kod sızıntıları, yanlış yapılandırılmış ortamlar ve istemci tarafında açıkta bırakılan kodlar yer aldı. Saldırganlar; IAM kimlik bilgilerini, Service Account anahtarlarını, GitHub Personal Access Token’larını ve aktif oturum belirteçlerini ele geçirerek kurumların bulut altyapısında ilk ayak izini oluşturuyor.
Google’ın aktardığı örneklerden biri UNC6993 olarak izlenen tehdit aktörü oldu. Bu grup, yanlış yapılandırılmış bir Service Account anahtarı üzerinden bir bulut örneğine sızdı ve ardından aynı erişimi bir LLM API’sine ulaşmak için kullandı.
Şirketin bulgularına göre UNC6993 ayrıca, bir grup LLM kullanıcısına katılma portalını taklit eden bir oturum kaçırma sayfası da barındırdı. Sayfa, kullanıcıları gerçek LLM hizmet sitesine yönlendiriyor, ardından aktif erişim belirtecini içeren ham JSON yükünü yapıştırmalarını sağlıyordu. Böylece saldırganlar parolayı ve çok faktörlü kimlik doğrulamayı devre dışı bırakan bir yol elde etti.
Başka bir olayda ise kimliği belirlenemeyen bir saldırganın çalınmış bir Personal Access Token kullanarak özel kod depolarına eriştiği, ardından da konteynerleştirilmiş bir bulut ortamında çalışan pakette şüpheli bir web uygulaması açığını istismar ettiği tespit edildi. Araştırmacılar, bazı kampanyalarda kurumsal kullanıcıların IAM kimlik bilgilerinin ele geçirilip yeni erişim anahtarları üretmek için programatik biçimde kullanıldığını da yazdı. Güvenliği geniş kapsamlı bir Cloud Service Account anahtarıyla aşanlar ve kamuya açık GitHub depolarında bırakılmış LLM API anahtarlarını toplayanlar da var.
İçeride kalıp yetki yükseltiyorlar
Saldırganlar erişim elde eder etmez yetkilerini artırmaya, ağ içinde daha derine inmeye ve kalıcılık kurmaya yöneliyor. Ardından iç keşif faaliyetleriyle başka hedefler ve ek bulut kimlik bilgileri arıyorlar.
Google’ın paylaştığı örneklerde tehdit aktörlerinin önce bulut servislerini, kod depolarını ve veri saklama alanlarını taradığı görüldü. Amaç, hassas kimlik bilgilerini toplamak. Aynı zamanda birden fazla bulut bölgesi arasında keşif yaparak mevcut servisleri ve kimlik politikalarını haritalıyorlar. Hassas kod tabanlarını klonlayıp gömülü sırları, yapılandırma değişkenlerini ve geliştirici kimliklerini arıyorlar.
Log kayıtları da saldırı zincirinin önemli bir parçası. Erişim günlükleri taranarak ikinci bulut ortamlarına ait kimlikler aranıyor, hedefe dönük veritabanı sorgularıyla ek kimlik bilgileri çıkarılıyor. Bulut kimlik izinleri ve sanal makine yapılandırmaları kötüye kullanılarak yetki yükseltiliyor ve kalıcı erişim korunuyor. Service account’ların token üretme yetkileri kullanılarak yüksek yetkili hesaplar için geçici kimlik bilgileri yaratılıyor, altyapı anahtarları, iç veritabanı parolaları ve üçüncü taraf API anahtarları cloud secret manager’lardan dışarı aktarılıyor.
Bununla da sınırlı kalmayan saldırganlar yetkisiz IAM ve service account’lar oluşturuyor, kalıcılık için compute instance’lara SSH anahtarları enjekte ediyor. Bazı vakalarda arka kapı hesaplar, iç faturalama optimizasyon araçları gibi gösterilerek saklanıyor. Google, LLM yönlendirme yazılımlarını hedefleyen bir açık istismarını da kayda geçti; bunlardan biri LiteLLM’de izlenen CVE-2026-40217. Açığın detay sayfası: https://nvd.nist.gov/vuln/detail/CVE-2026-40217
Şirket, LLMJacking’in nihai amacının foundation model kaynaklarını para kazandıran bir varlığa çevirmek olduğunu belirtti. Saldırganlar bunu token proxying, otomatik model akışı ve GPU donanımı tahsisiyle yapıyor. Ele geçirilen erişimle kendi proxy uç noktalarını ve agentic iş yüklerini de barındırabiliyorlar.
UNC6993 örneğinde saldırganların kurban bulut projeleri içinde ek API anahtarları üreterek faaliyetlerini genişlettiği ve faturalara 100 bin doların üzerinde yük bindirdiği aktarıldı. Bazı gruplar, kısa ömürlü service account’ları sürekli oluşturup silerek oran sınırlamalarını aşmaya çalışıyor. Google bu taktiği “burn and rotate” olarak tanımladı.
Yeni aracı: LLM Mixer’lar ve gri piyasa proxy’leri
LLMjacking ekosisteminin olgunlaşması, LLM Mixer adı verilen yeni bir aktör tipini de ortaya çıkardı. Bu yapı, ilk erişimi sağlayan saldırganlarla aşağı akışta paraya çevirme işini yürütenler arasında iş bölümü oluştuğunu gösteriyor.
LLM Mixer’lar yasa dışı yönlendirme kapıları gibi çalışıyor. Yetkisiz LLM erişimini proxy’liyor, topluyor ve yeraltı pazarlarında başka suç aktörlerine yeniden satıyor. Bu servislerden biri Jet Night olarak geçiyor ve jet-night[.]com alan adı üzerinden aylık yaklaşık 60 dolar karşılığında sınırsız token planı sunduğunu iddia ediyor. İlan edilen paketin, önde gelen bir modele erişim sağladığı öne sürülüyor.
Bu model, saldırganların kurumsal kota ve hesapları süzerek kullanmasına, faturayı ise kurbanlara bırakmasına imkân veriyor. Tespit gecikene kadar oluşan maliyet doğrudan hedef kuruluşa yazılıyor. Jet Night tek örnek değil. Geçen hafta yayımlanan başka bir incelemede, bir gri piyasa relays hizmetinin gerçek OpenAI Codex ve Anthropic Claude Code CLI araçlarını kurumsal sistemlere yüklediği, ardından tüm istekleri şirketlerin kendi sunucuları yerine üçüncü taraf altyapı üzerinden geçecek şekilde yeniden yapılandırdığı aktarıldı.
Bu servisin en az 2026 başından beri aktif olduğu değerlendiriliyor. Ana etkilenme alanı olarak Çin ana karasında yaklaşık bir düzine kuruluş gösterildi; Güney Kore, Tayvan ve Malezya’daki çok uluslu bağlı şirketler de listede yer aldı. Hedef sektörler arasında endüstriyel otomasyon, elektronik üretimi, yarı iletkenler, ilaç, taşımacılık, lastik üretimi, petrokimya ve veri merkezi hizmetleri bulunuyor.
İşleyiş, değiştirilmiş bir istemci dağıtmak yerine gerçek CLI araçlarını kötüye kullanıyor. Symantec’in aktardığına göre kurulum normal şekilde yapılıyor, ardından yapılandırma dosyaları değiştirilerek sandbox devre dışı bırakılıyor. Codex tarafında bu ayar “danger-full-access” düzeyine çekiliyor, istekler OpenAI ya da Anthropic yerine hizmeti işleten aktörün sunucularına yönlendiriliyor.
Servisin özellikle Batılı yapay zekâ sağlayıcılarının doğrudan faaliyet göstermediği pazarlara yöneldiği değerlendiriliyor. Kurulumun çoğu zaman, Batılı bir AI kod asistanını denemek isteyen bir çalışanın yetkisiz bir satıcıya yönelmesiyle başladığı belirtiliyor. Dağıtımda trojanize edilmiş bir istemci kullanılmıyor. Codex ya da Claude Code CLI npm üzerinden yüklendikten kısa süre sonra, kullanıcıdan benzer görünümlü bir alan adından fileless PowerShell ya da bash kurulum betiği çekmesini isteyen tek satırlık bir komut çalıştırması isteniyor. Kullanılan alan adının vibe.aiok[.]me olduğu bildirildi.
Yeniden yapılandırma, Codex için ~/.codex/config.toml dosyasını, Claude Code için ~/.claude/settings.json dosyasını hedef alıyor. Yapılan değişiklikle CLI’nın yürütme sandbox’ı kapatılıyor, yazma sandbox’ı için ağ erişimi açılıyor, kullanıcının gerçek API kimlik bilgileri relays tarafından verilen token’larla değiştiriliyor, telemetri ve hata raporlama işlevleri de devre dışı bırakılıyor. Betik ayrıca Windows yerel ayarını kontrol ederek kurulumun hizmet verdiği bölgede çalışan bir sistemde olup olmadığını doğruluyor.
Operatörlerin yalnızca bölgesel kısıtlamaları aşmadığı, aynı zamanda Jet Night benzeri şekilde kapasiteyi piyasa fiyatlarının altında yeniden sattığı değerlendiriliyor. Yine de mevcut bulgularda, bu servisin çalışanların girdikleri prompt’ları topladığına ya da yanıtları üretip değiştirdiğine dair bir işaret bulunmadı.
Google, tehdit aktörlerinin kriptomining gibi geleneksel kaynak hırsızlığından giderek daha çok LLMJacking’e yöneleceğini, bunun da anlık ve yüksek marjlı para kazancı sağlamasından kaynaklandığını söyledi. Kuruluşlar daha üst seviye modelleri ve agentic iş akışlarını üretim ortamlarına taşıdıkça, saldırganların açık API token’larını bulmak için otomatik keşfi geliştireceği ve model yönlendirme ara katmanlarındaki açıkları istismar etmeye çalışacağı ifade edildi.