LLMjacking : Google signale des factures cloud à 1 million

Ce qui s'est passé

Le 3 novembre 2026, les équipes Google Threat Intelligence Group (GTIG) et Mandiant ont publié conjointement le rapport « The Rise of LLMJacking : How Threat Actors Monetize Compromised Cloud and Model Resources ». Ce document représente la synthèse la plus complète à ce jour sur une catégorie d'attaque émergente qui combine des techniques classiques de vol de credentials cloud avec l'explosion de valeur des infrastructures d'intelligence artificielle générative.

Le LLMjacking — néologisme construit par analogie avec le cryptojacking — désigne le détournement d'accès légitimes à des API de modèles de langage pour faire exécuter des inférences au compte et aux frais de la victime. Contrairement au cryptojacking, qui draine progressivement des ressources de calcul sur de longues périodes, le LLMjacking peut générer des pics de frais extrêmement rapides. Les chercheurs ont documenté des incidents où les coûts frauduleux ont dépassé 100 000 dollars en une seule journée. Certaines organisations ont été exposées à des cumuls de 1 million de dollars avant que les accès compromis ne soient finalement révoqués.

Les vecteurs d'accès initiaux documentés comprennent des clés de compte de service cloud exposées, des jetons d'accès personnels GitHub non protégés, et des fichiers de configuration contenant des identifiants en clair. Ces éléments circulent sur des marchés clandestins et des dépôts publics scannés en continu par des bots automatisés. La fenêtre entre l'exposition d'une clé et son exploitation peut se mesurer en heures, voire en minutes pour les credentials à haute valeur.

Le rapport identifie nommément un groupe d'attaquants, suivi sous le nom UNC6993, qui s'est distingué par une technique d'escalade de privilèges particulièrement efficace. Ce groupe a exploité CVE-2026-40217, une vulnérabilité dans LiteLLM — une couche d'abstraction open source très répandue pour créer des passerelles d'accès à plusieurs fournisseurs LLM. La faille permettait de transformer une clé virtuelle ordinaire en une clé maître disposant de droits d'administration complets sur la passerelle. Depuis cette position, l'attaquant pouvait créer de nouvelles clés, augmenter les quotas d'utilisation, et faire exécuter des inférences massives sans limite apparente.

La monétisation de ces accès volés ne passe pas systématiquement par une utilisation directe. Les chercheurs ont documenté l'existence de structures souterraines baptisées « LLM Mixers » — des services de revente d'accès à des API compromises, fonctionnant selon un modèle proche des bulletproof proxy services. Les acheteurs finaux peuvent ainsi utiliser des capacités LLM de pointe sans compte chez les fournisseurs, sans passer par les vérifications KYC imposées par OpenAI, Anthropic, Google ou Amazon Bedrock, et sans laisser de traces directement liées à leur identité. Les vendeurs d'accès perçoivent leur rémunération rapidement, ce qui selon Google explique pourquoi ce modèle tend à supplanter le cryptojacking en termes d'attractivité pour les groupes cybercriminels.

La géographie des victimes est large : Amérique du Nord, Amérique du Sud et zone Asie-Pacifique sont toutes représentées dans les incidents documentés. Les secteurs touchés comprennent les services financiers, le commerce de détail, la technologie et le transport. La diversité sectorielle suggère que les attaquants ne ciblent pas des industries spécifiques mais cherchent à maximiser leur exposition à des organisations disposant d'accès cloud à forte capacité LLM — celles qui investissent massivement dans l'IA générative et disposent donc de quotas élevés et de limites de dépenses larges.

Google et Mandiant soulignent que le problème est structurellement amplifié par la croissance exponentielle de l'adoption des API d'IA. En 2026, quasiment toutes les grandes organisations déploient des agents IA, des copilotes ou des chatbots internes connectés à des API LLM commerciales. Cette surface d'attaque — qui n'existait pratiquement pas il y a trois ans — représente désormais un vecteur d'extraction de valeur directement quantifiable en dollars facturés par token. Les chercheurs estiment que la tendance va s'accélérer à mesure que les prix des modèles les plus puissants augmentent.

En termes de détection, le rapport identifie des signatures distinctives : des pics soudains de consommation API, des requêtes vers des modèles inhabituellement coûteux (multimodaux, à très long contexte), des adresses IP géographiquement incohérentes avec les usages habituels, et des volumes d'inférence nocturnes anormaux. Ces indicateurs peuvent être intégrés dans les SIEM et les plateformes de gestion des coûts cloud pour déclencher des alertes précoces, à condition que les équipes de sécurité aient mis en place une baseline de consommation normale.

Pourquoi c'est important

Le LLMjacking représente une rupture conceptuelle dans le paysage de la menace cloud. Pendant des années, les équipes de sécurité ont été formées à protéger les credentials cloud pour empêcher le vol de données ou le déploiement de ransomware. Le LLMjacking introduit une nouvelle dimension : les credentials cloud volés génèrent désormais des pertes financières directes et immédiates, sans qu'aucune donnée ne soit nécessairement exfiltrée. Une organisation peut subir un préjudice d'un million de dollars sans qu'un seul fichier client n'ait été consulté.

Cette évolution a des implications pratiques pour les équipes FinOps et CISO. Traditionnellement séparés dans les organisations, la gestion des coûts cloud et la sécurité doivent désormais être intégrées : les anomalies de facturation sont des signaux de sécurité au même titre que les alertes SIEM. Les grandes plateformes cloud proposent des outils de budget alerts et d'anomaly detection, mais leur granularité au niveau des API spécifiques aux services LLM reste insuffisante pour détecter des patterns de LLMjacking sophistiqués avant que les dommages ne s'accumulent.

L'émergence des LLM Mixers comme infrastructure criminelle organisée indique une professionnalisation du marché. Ces structures ne sont pas le fait d'acteurs opportunistes isolés mais de groupes ayant développé une logistique d'automatisation, de gestion des stocks d'accès, et de facturation à destination d'une clientèle criminelle diversifiée. Certains usages finaux documentés incluent la génération de deepfakes, le contournement de filtres anti-spam, et la production à grande échelle de contenu de désinformation. Le préjudice ne se limite donc pas aux victimes qui reçoivent les factures.

Pour les équipes de sécurité françaises et européennes, le rapport arrive dans un contexte réglementaire en évolution rapide. La directive NIS2 et le règlement DORA imposent aux entités essentielles et importantes de signaler les incidents ayant un impact financier significatif. Un incident de LLMjacking générant 1 million de dollars de frais pourrait entrer dans le périmètre de notification obligatoire. Les équipes juridiques doivent évaluer dès maintenant leurs obligations de reporting dans ce type de scénario.

Ce qu'il faut retenir

• Auditer immédiatement tous les credentials cloud ayant accès aux API LLM (clés de service, tokens GitHub, variables d'environnement) et révoquer ceux qui ne sont plus en usage actif ou sans rotation automatique configurée.
• Mettre en place des alertes de budget et d'anomalie de consommation sur les services IA cloud avec des seuils bas, et intégrer ces alertes dans les processus de réponse aux incidents de sécurité.
• Mettre à jour LiteLLM vers une version corrigeant CVE-2026-40217 et traiter toute passerelle LLM interne comme un composant critique nécessitant une gestion des patches aussi rigoureuse que les systèmes exposés sur internet.