Depuis sa découverte en mai 2024, le LLMjacking a évolué parallèlement aux modèles linguistiques à grande échelle (LLM) eux-mêmes. Les attaquants développent constamment de nouveaux motifs et méthodes pour mener des LLMjacking, notamment en s'étendant rapidement à de nouveaux LLM tels que DeepSeek.
Comme l’a rapporté l’équipe de recherche sur les menaces Sysdig (TRT) en septembre, la fréquence et la popularité des attaques LLMjacking augmentent. Compte tenu de cette tendance, nous n’avons pas été surpris que DeepSeek ait été ciblé quelques jours après son exposition médiatique et l’augmentation de son utilisation qui a suivi. Les attaques de LLMjacking ont également reçu une attention publique significative, notamment une action en justice intentée par Microsoft contre des cybercriminels qui ont volé des informations d'identification et les ont utilisées pour abuser de ses services d'IA générative (GenAI). Le procès allègue que les défendeurs ont utilisé DALL-E pour générer du contenu offensant. Dans notre mise à jour LLMjacking de septembre, nous avons donné des exemples de la manière dont les attaquants génèrent des images de manière inoffensive.
🔎Tableau des coûts estimés des abus de LLM (Source : Sysdig 2025)
Le coût d’un LLM basé sur le cloud peut être énorme, dépassant plusieurs centaines de milliers de dollars par mois. Sysdig TRT a trouvé plus d'une douzaine de serveurs proxy utilisant des informations d'identification volées pour de nombreux services différents, notamment OpenAI, AWS et Azure. Le coût élevé des LLM est la raison pour laquelle les cybercriminels préfèrent voler des informations d’identification plutôt que de payer pour des services LLM. Une image contenant du texte, une capture d'écran, une police, un numéro. Le contenu généré par l’IA peut contenir des erreurs.
Les LLMjackers adoptent rapidement DeepSeek
Les attaquants implémentent les derniers modèles rapidement après leur sortie. Par exemple, le 26 décembre 2024, DeepSeek a publié son modèle avancé DeepSeek-V3, et quelques jours plus tard, il était déjà implémenté dans une instance ORP (oai-reverse-proxy) hébergée sur HuggingFace :
Abonnez-vous à la newsletter maintenant
Lisez les meilleures nouvelles de B2B CYBER SECURITY une fois par moisCette instance est basée sur un fork de l'ORP, où ils ont téléchargé le commit avec l'implémentation de DeepSeek. Quelques semaines plus tard, le 20 janvier 2025, DeepSeek a publié un modèle de raisonnement appelé DeepSeek-R1, et le lendemain, l'auteur de ce référentiel fork l'a implémenté.
Non seulement un support a été mis en œuvre pour de nouveaux modèles tels que DeepSeek. Nous avons remarqué que plusieurs ORP ont été dotés de clés API DeepSeek et que les utilisateurs commencent à les utiliser.
Tactiques, techniques et procédures de LLMjacking
Le LLMjacking n’est plus seulement une mode ou une tendance possible. Des communautés se sont formées dans lesquelles des outils et des techniques sont échangés. Les ORP sont divisés et spécifiquement adaptés aux opérations de LLMjacking. Les informations d'identification Cloud sont testées pour l'accès LLM avant la vente. Les opérations de LLMjacking commencent à établir un ensemble unique de TTP, dont certains sont identifiés ci-dessous.
Communautés
Il existe de nombreuses communautés actives qui utilisent les LLM pour le contenu pour adultes et créent des personnages IA pour les jeux de rôle. Ces utilisateurs préfèrent communiquer via 4chan et Discord. Ils partagent l’accès aux LLM via des ORP, privés et publics. Bien que les fils de discussion 4chan soient régulièrement archivés, des résumés d'outils et de services sont souvent disponibles sur le site Web de style pastbin Rentry.co, qui est un choix populaire pour partager des liens et des informations d'accès associées. Les sites Web hébergés sur Rentry peuvent utiliser Markdown, fournir des URL personnalisées et être modifiés après la publication.
Lors de l'enquête sur les attaques LLMjacking dans nos environnements cloud honeypot, nous avons découvert plusieurs domaines TryCloudflare dans les journaux d'invite LLM, où l'attaquant a utilisé le LLM pour générer un script Python qui interagissait avec les ORP. Cela a permis de remonter jusqu'aux serveurs utilisant les tunnels TryCloudFlare.
Vol d'identifiants
Les attaquants volent des informations d'identification via des vulnérabilités dans des services tels que Laravel, puis utilisent les scripts suivants comme outils de vérification pour déterminer si les informations d'identification sont adaptées à l'accès aux services ML. Une fois l’accès à un système obtenu et les informations d’identification trouvées, les attaquants exécutent leurs scripts de vérification sur les données collectées. Une autre source populaire d’informations d’identification sont les progiciels dans les référentiels publics qui peuvent exposer ces données.
Tous les scripts ont des caractéristiques communes : la concurrence pour être plus efficace avec un grand nombre de clés (volées) et l'automatisation.
Bonnes pratiques pour détecter et combattre le LLMjacking
Le LLMjacking s'effectue principalement en compromettant les informations d'identification ou les clés d'accès. Le LLMjacking est si répandu que MITRE l'a inclus dans son cadre d'attaque pour sensibiliser à cette menace et aider les défenseurs à comprendre cette attaque.
La défense contre la compromission des comptes de service d'IA implique principalement la sécurisation des clés d'accès, la mise en œuvre d'une gestion des identités solide, la surveillance des menaces et la garantie d'un accès au moindre privilège. Voici quelques bonnes pratiques pour vous protéger contre la compromission de compte :
Clé d'accès sécurisée
Les clés d’accès sont un vecteur d’attaque important et doivent donc être gérées avec soin.
- Évitez de coder en dur les informations d’identification : N'intégrez pas de clés API, de clés d'accès ou d'informations d'identification dans le code source, les fichiers de configuration ou les référentiels publics (par exemple, GitHub, Bitbucket). Utilisez plutôt des variables d’environnement ou des outils de gestion des secrets tels qu’AWS Secrets Manager, Azure Key Vault ou HashiCorp Vault.
- Utiliser des identifiants temporaires : Utilisez des informations d’identification de sécurité temporaires au lieu de clés d’accès permanentes. Par exemple, AWS STS AssumeRole, Azure Managed Identities et Google Cloud IAM Workload Identity.
- Faire pivoter les touches d'accès : Changez régulièrement les clés d’accès pour réduire la vulnérabilité. Automatisez le processus de rotation dans la mesure du possible.
- Surveiller les informations d’identification exposées : Utilisez des analyses automatisées pour identifier les informations d’identification non protégées. Parmi les exemples d’outils, on peut citer AWS IAM Access Analyzer, GitHub Secret Scanning et TruffleHog.
- Surveiller le comportement du compte : Lorsqu'une clé de compte est compromise, elle s'écarte généralement de son comportement normal et commence à effectuer des actions suspectes. Surveillez en permanence vos comptes de services cloud et IA avec des outils tels que Sysdig Secure.
conclusion
Alors que la demande d’accès aux LLM avancés a augmenté, les attaques de LLMjacking sont devenues de plus en plus populaires. En raison des coûts élevés, un marché noir d’accès aux proxys inverses OAI s’est développé et des fournisseurs de services clandestins ont émergé pour répondre aux besoins des consommateurs. Les opérateurs de proxy LLMjacking ont élargi l'accès aux informations d'identification, adapté leurs offres et commencé à intégrer de nouveaux modèles tels que DeepSeek.
Les utilisateurs légitimes sont désormais devenus une cible privilégiée. L’utilisation non autorisée de comptes entraînant des centaines de milliers de dollars de pertes pour les victimes, une gestion appropriée de ces comptes et des clés API associées est devenue essentielle.
Les attaques de LLMjacking continuent d’évoluer, tout comme les motivations qui les motivent. En fin de compte, les attaquants continueront d’essayer d’accéder aux LLM et de leur trouver de nouvelles utilisations malveillantes. Il appartient aux utilisateurs et aux organisations de s’y préparer, de les détecter et de s’en défendre.
Plus sur Sysdig.com
À propos de Sydig
Dans le cloud, chaque seconde compte. Les attaques se déplacent à une vitesse fulgurante et les équipes de sécurité doivent protéger l’entreprise sans la ralentir. Sysdig arrête les attaques cloud en temps réel en détectant instantanément les changements de risque grâce aux informations d'exécution et à Falco open source.
Articles liés au sujet