Chaves de IA roubadas estão transformando contas de nuvem em prejuízos de um milhão de dólares

Pesquisadores do Google Threat Intelligence Group e da Mandiant expuseram um esquema criminoso em plena expansão chamado LLMJacking: invasores arrombam contas corporativas na nuvem e revendem o acesso roubado a modelos de IA premium em mercados clandestinos, deixando a conta para a vítima pagar. Em alguns casos os valores passaram de 100 mil dólares em um único dia e chegaram a 1 milhão de dólares antes do corte do acesso.

O roteiro é brutalmente simples. Os atacantes colhem chaves de API em repositórios públicos do GitHub, abusam de chaves de conta de serviço mal configuradas ou enganam usuários para colar tokens de sessão ativos em portais falsos de comunidades de LLM. Depois, reativam os serviços de IA e começam a monetizar as cotas por meio de proxy de tokens, streaming automatizado de modelos e provisionamento de GPU, tudo isso enquanto a defesa ainda nem percebeu o movimento.

Serviços como o Jet Night anunciam acesso ilimitado aos modelos mais avançados por cerca de 60 dólares por mês, um preço que só fecha com chaves roubadas, e um único ator chegou a disparar mais de 500 mil chamadas de modelo em menos de oito horas. O recado para os times de segurança é direto: monitore mudanças silenciosas em contas de IA, rotacione credenciais sem preguiça e trate tokens de API expostos como a porta de entrada para um incidente caríssimo.