Están robando el acceso a modelos de lenguaje extensos (LLM) de diversas corporaciones para revenderlo, provocando que las víctimas enfrenten facturas de servicios en la nube de hasta 1 millón de dólares. Mandiant investigó varios incidentes durante 2026 en los que el uso no autorizado de IA generó cargos superiores a los 100.000 dólares en un solo día, evidenciando la rapidez con la que el robo de credenciales puede derivar en pérdidas financieras masivas.

Robando el acceso a modelos de lenguaje extensos (LLM) corporativos y revendiéndolo, dejando a las víctimas con facturas de la nube que alcanzan el millón de dólares. Mandiant investigó múltiples incidentes durante 2026 en los que el uso no autorizado de IA generó más de 100.000 dólares en cargos en un solo día, demostrando lo rápido que las credenciales robadas pueden convertirse en una pérdida financiera mayor.

El Grupo de Inteligencia de Amenazas de Google (GTIG) detalló la actividad en una investigación publicada el 2 de noviembre. Los ataques afectaron a organizaciones de servicios financieros, comercio minorista, tecnología y transporte en América del Norte, América del Sur y Asia-Pacífico. Conocida como LLMJacking, la técnica se enfoca en recursos de IA de pago en lugar de utilizar la potencia de cálculo robada para minar criptomonedas.

• https://cloud.google.com/blog/topics/threat-intelligence/llmjacking-monetizing-compromised-cloud-models 

El principal punto de entrada fueron credenciales de la nube expuestas o robadas, incluyendo claves de cuentas de servicio, tokens de acceso personal de GitHub y tokens de sesión activos. Informes previos sobre el LLMJacking a través de una clave de AWS filtrada describen una ruta similar desde el acceso robado hasta el uso no autorizado del modelo.

Los atacantes también recolectaron claves API de LLM corporativos desde repositorios públicos de GitHub. Para comprobar si las claves funcionaban sin crear picos de tráfico obvios, un grupo envió solicitudes diminutas utilizando max_tokens=1. Estas pruebas de bajo volumen se mantuvieron por debajo de los umbrales de alerta de seguridad de la víctima antes de que comenzara el abuso a gran escala.

Un grupo rastreado, UNC6993, utilizó una clave de cuenta de servicio mal configurada para acceder a recursos de la nube. También operó un portal de membresía falso que persuadía a los usuarios a pegar datos de sesión que contenían tokens de acceso activos. Reutilizar esos tokens permitió el acceso sin necesidad de completar una contraseña nueva o una verificación de autenticación multifactor.

El acceso robado a la IA se convierte en un negocio de reventa

Según la investigación de Mandiant, los atacantes dividen cada vez más las responsabilidades. Algunos grupos irrumpen en entornos empresariales, mientras que otros gestionan "Mezcladores de LLM", servicios de enrutamiento que combinan credenciales robadas y venden acceso no autorizado al modelo a suscriptores que pagan. La víctima recibe la factura mientras los operadores recaudan los ingresos.

En un incidente, un atacante realizó más de 500.000 llamadas a la API de LLM en menos de ocho horas utilizando claves de terceros robadas. La actividad alimentó a Jet Night, un servicio de enrutamiento de tokens que trasladó casi un millón de dólares en costes a una sola organización. El GTIG cree que sus planes inusualmente baratos dependen del acceso robado.

El robo de credenciales no es la única preocupación. Los atacantes también buscaron en repositorios privados, bases de datos y gestores de secretos otras contraseñas y claves. El riesgo refleja las preocupaciones planteadas en la cobertura del incidente de seguridad de Northflank, aunque esa investigación independiente no ha establecido un vínculo con estas operaciones.

Algunos intrusos crearon cuentas de administrador, añadieron claves SSH y disfrazaron cuentas de servicio de puerta trasera como herramientas de facturación. En otro caso, Mandiant informó de la explotación del fallo de LiteLLM CVE-2026-40217 a través de /key/regenerate, lo que permitió que claves virtuales ordinarias obtuvieran privilegios de PROXY_ADMIN, otorgando a los atacantes un control duradero de la puerta de enlace.

La guía del GTIG insta a los defensores a tratar la activación inesperada de servicios de IA como una advertencia crítica. Varias víctimas no habían habilitado los servicios de LLM antes de la intrusión. Tus equipos deberían investigar nuevas claves de acceso, la creación y eliminación rápida de cuentas, solicitudes de modelos inusuales e intentos de desactivar el registro de actividad.

Deberías rotar los secretos expuestos, restringir permisos, escanear repositorios en busca de claves, parchear puertas de enlace y aplicar cuotas específicas para los modelos. El monitoreo debe incluir solicitudes de validación diminutas, no solo picos de gasto. Revocar la primera clave robada es insuficiente cuando los atacantes ya han creado cuentas de reemplazo u otro acceso persistente.