LLMJacking: Gestohlene KI-Zugänge kosten 100.000 Dollar am Tag
Google berichtet von Fällen, in denen Angreifer KI-Zugänge von Unternehmen kaperten und Kosten von bis zu 1 Million Dollar verursachten, oft bei Firmen, die den Dienst gar nicht aktiv hatten. So funktioniert die Masche und so schützen Sie sich.
Bei einem Einbruch in die Cloud ging es lange um Daten oder um heimliches Krypto-Schürfen. Jetzt haben Angreifer ein lukrativeres Ziel gefunden: die KI-Zugänge von Unternehmen. Google Threat Intelligence und die Incident-Responder von Mandiant beschreiben in einem Bericht vom 2. November 2026 mehrere solcher Fälle aus diesem Jahr. Der Fachbegriff lautet LLMJacking, und die Rechnung geht an das Opfer.
Sechsstellig an einem Tag
Während Krypto-Schürfer Ressourcen eher schleichend verbrauchen, kann LLMJacking laut Google innerhalb weniger Stunden hohe Kosten verursachen. Die Zahlen aus den untersuchten Fällen (Angaben von Google):
- Über 100.000 Dollar an betrügerischen Kosten an einem einzigen Tag
- Bis zu 1 Million Dollar insgesamt bei einzelnen Organisationen, bevor der Zugriff gekappt wurde
- Mehr als 500.000 API-Aufrufe in unter acht Stunden in einem weiteren Fall
Betroffen waren Finanzdienstleister, Handel, Technologie und Transport in Nordamerika, Südamerika und dem asiatisch-pazifischen Raum. Europa nennt der Bericht nicht, die beschriebenen Einfallstore gibt es hier aber genauso.
Selbst wer keine KI nutzt, kann zahlen
Das Haupteinfallstor sind laut Google nicht die KI-Dienste selbst, sondern gestohlene oder offenliegende Cloud-Identitäten: IAM-Zugangsdaten, Service-Account-Schlüssel, GitHub-Tokens und aktive Session-Tokens. Mit einem solchen Zugang schalten die Täter teure Modelle einfach selbst frei. Die wichtigste Beobachtung des Berichts:
„In multiple incidents that Mandiant investigated, LLM services were not enabled at the time of compromise.“
Die KI-Dienste waren in mehreren Fällen also gar nicht aktiv. Die Angreifer aktivierten etwa Bedrock oder die Gemini-API, schlossen in einem Fall Pay-as-you-go-Verträge auf das Konto des Opfers ab und erzeugten neue Schlüssel und Dienstkonten, um Limits zu umgehen. Auch Mehrfaktor-Anmeldung half nicht immer: Eine Gruppe lockte Nutzer auf eine gefälschte Seite, auf der sie ihr aktives Zugriffstoken selbst einfügten. Eine andere prüfte aus öffentlichen GitHub-Repositorys gesammelte Schlüssel mit winzigen Anfragen (max_tokens=1), die keinen Mengenalarm auslösten.
Ein Schwarzmarkt für gestohlene Tokens
Hinter den Einbrüchen steht inzwischen eine Arbeitsteilung. Die einen beschaffen den Zugang, die anderen verkaufen ihn über sogenannte LLM-Mixer weiter: Dienste, die gestohlene Schlüssel bündeln und als günstigen Modellzugang anbieten. Als Beispiel nennt Google den Dienst Jet Night, der einen unbegrenzten Tarif für etwa 60 Dollar im Monat anbietet, während vergleichbare Angebote üblicherweise 100 bis 250 Dollar kosten. Über Jet Night landeten fast 1 Million Dollar Tokenkosten bei einem einzelnen Opfer. Google geht davon aus, dass sich der Dienst nur dank gestohlener Schlüssel rechnet.
Auch die Zwischenschicht gerät ins Visier. In einem Fall nutzten Angreifer die Lücke CVE-2026-40217 in LiteLLM, um normale Virtual Keys zu Administratorrechten (PROXY_ADMIN) aufzuwerten. Dieselbe Software stand schon wegen vergifteter Versionen in den Schlagzeilen. Dass offen liegende Schlüssel schnell gefunden werden, zeigte zuletzt auch die herrenlose Agentenflotte. Google erwartet, dass Täter LLMJacking dem Krypto-Schürfen künftig zunehmend vorziehen.
Was das für Ihr Unternehmen heißt
- Budgets hart begrenzen: Richten Sie Ausgabenlimits, Budgetalarme und Kontingente je Modell ein. Wie sinnvoll Deckel auch im Normalbetrieb sind, zeigt Accenture.
- KI-Aktivierung überwachen: Jede unerwartete Freischaltung eines KI-Dienstes sollte ein kritischer Alarm sein, auch und gerade in Konten, die keine KI nutzen.
- Unnötige Dienste sperren: Rechte für KI-Dienste nur dort vergeben, wo sie gebraucht werden. Bei Google Cloud und Azure sind die Protokolle der Modellaufrufe zudem nicht automatisch aktiv und müssen eigens eingeschaltet werden.
- Schlüssel klein schneiden: Trennen Sie Schlüssel nach Modell und Umgebung, rotieren Sie sie automatisch und scannen Sie Ihren Code auf Geheimnisse. Ein Schlüssel für ein kleines Hilfsmodell darf keine teuren Spitzenmodelle aufrufen können.
- KI-Gateways patchen: LiteLLM und ähnliche Werkzeuge gehören ins normale Patchmanagement. Ein selbst betriebener Modellserver wie Ollama darf außerdem nicht offen im Netz stehen.
- Phishing-resistente Anmeldung einführen: Google rät zu entsprechender Mehrfaktor-Anmeldung für Cloud-Konten, Konsolen und Entwicklerplattformen.
Fazit
LLMJacking macht aus einem Sicherheitsproblem unmittelbar eine Kostenfrage: Ein einziger verlorener Zugang kann binnen Stunden eine sechsstellige Rechnung auslösen. Die wichtigsten Schutzmaßnahmen sind dabei kein Hexenwerk, sondern saubere Rechte, Limits und Alarme. Wenn Sie wissen möchten, wie gut Ihre Cloud- und KI-Zugänge abgesichert sind, sprechen Sie mich gern an.
