Der Unterschied zum klassischen Cryptojacking liegt im Tempo: „Anders als bei dem allmählichen Ressourcenverbrauch, der mit Cryptojacking einhergeht, kann LLMjacking innerhalb weniger Stunden große Ausschläge bei betrügerischen Cloud-Kosten erzeugen", erklärten die Google Threat Intelligence Group und Mandiant. Betroffen sind Organisationen in Nordamerika, Südamerika und im asiatisch-pazifischen Raum, darunter Finanzdienstleister, Einzelhandel, Technologieunternehmen und der Transportsektor.

Am Anfang steht in der Regel ein API-Schlüssel, den die Angreifer über Phishing, geleakten Quellcode, fehlkonfigurierte Umgebungen oder offenliegenden Client-seitigen Code erlangen. Damit greifen sie auf die LLM-Konten einer Organisation zu, während der rechtmäßige Inhaber die Verbrauchskosten trägt.

Die Bandbreite reicht von einfachem Ressourcendiebstahl — etwa der Manipulation von Kundenservice-Chatbots, um unerlaubte Aufgaben wie Codegenerierung ausführen zu lassen — bis hin zum eigentlichen LLMjacking, bei dem die Backend-Modellressourcen direkt angegriffen werden, indem öffentlich erreichbare LLM-Endpunkte identifiziert oder gültige LLM-API-Schlüssel beschafft werden.

Häufigster Erstzugriffsweg sind offengelegte oder gestohlene Cloud-Identitätstoken: IAM-Zugangsdaten, Service-Account-Schlüssel, GitHub Personal Access Tokens (PATs) und aktive Sitzungstoken. Ein als UNC6993 bezeichneter Akteur drang über einen fehlkonfigurierten Service-Account-Schlüssel in eine Cloud-Instanz ein und verschaffte sich darüber Zugang zu einer LLM-API. „UNC6993 betrieb zudem eine Seite zum Session-Hijacking, die sich als Anwendungsportal zum Beitritt zu einer Gruppe von LLM-Nutzern ausgab", so Google. Die Seite habe Nutzer dazu verleitet, die legitime Website des LLM-Dienstes aufzurufen und ihre rohe JSON-Nutzlast mit einem aktiven Zugangstoken einzufügen; diese sei anschließend an die Backend-API gesendet worden, um Passwort- und Multi-Faktor-Kontrollen (MFA) zu umgehen.

In einem weiteren Fall nutzte ein unbekannter Angreifer ein gestohlenes Personal Access Token für den Zugriff auf private Code-Repositories und setzte anschließend eine vermutete Schwachstelle in einer Webanwendung aus, die als Paket in einer containerisierten Cloud-Umgebung lief. Weitere Zugangswege waren die Kompromittierung von IAM-Zugangsdaten von Unternehmensnutzern, um programmgesteuert neue Zugangsschlüssel zu erzeugen und so MFA zu umgehen, der Missbrauch eines erbeuteten Cloud-Service-Account-Schlüssels mit weitreichenden Projektberechtigungen sowie LLM-API-Schlüssel aus öffentlichen GitHub-Repositories.

Nach dem Erstzugriff gehen die Akteure ohne Verzögerung zu Rechteausweitung, Ausbreitung im Netz, Persistenz und interner Aufklärung über, um weitere Ziele und Cloud-Zugangsdaten für Lateral Movement zu finden. Beobachtete Vorgehensweisen:

  • Aufzählung von Cloud-Diensten, Code-Repositories und Datenspeichern auf der Suche nach sensiblen Zugangsdaten
  • interne Aufklärung über mehrere Cloud-Regionen hinweg, um verfügbare Dienste und Identitätsrichtlinien zu kartieren
  • Klonen sensibler Codebasen, um fest einprogrammierte Geheimnisse, Konfigurationsvariablen und Entwickler-Zugangsdaten zu finden
  • Durchsuchen von Zugriffsprotokollen nach Zugangsdaten für weitere Cloud-Umgebungen
  • gezielte Datenbankabfragen zum Abgreifen zusätzlicher Zugangsdaten
  • Missbrauch von Cloud-Identitätsberechtigungen und VM-Konfigurationen zur Rechteausweitung und für dauerhaften Zugriff
  • Ausnutzung von Token-Erstellungsrechten von Service Accounts, um temporäre Anmeldedaten für hoch privilegierte Service Accounts zu erzeugen und Infrastruktur-Zugangsdaten, interne Datenbankpasswörter und API-Schlüssel Dritter aus Cloud-Secret-Managern zu exfiltrieren
  • Anlegen nicht autorisierter IAM- und Service-Konten sowie Einschleusen von SSH-Schlüsseln in Compute-Instanzen zur Persistenz
  • Anlegen von Backdoor-Service-Accounts, die als interne Werkzeuge zur Rechnungsoptimierung getarnt sind
  • Ausnutzung von Schwachstellen in LLM-Routing-Software zur Rechteausweitung, etwa CVE-2026-40217 in LiteLLM

„Das letztliche Ziel von LLMjacking ist die Monetarisierung und das Ressourcen-Hijacking von Foundation-Modellen, was die Akteure über Token-Proxying, automatisiertes Model-Streaming und die Bereitstellung von GPU-Hardware erreichen", so Google. Die Angreifer hätten ihren Zugang auch genutzt, um eigene Proxy-Endpunkte und agentische Arbeitslasten zu betreiben. UNC6993 legte innerhalb der Cloud-Projekte von Opfern zusätzliche API-Schlüssel an, um die Operationen zu skalieren, und verursachte dabei Abrechnungskosten von über 100.000 US-Dollar. Manche Akteure versuchen, Ratenbegrenzungen mit einer „Burn and Rotate"-Strategie zu umgehen, bei der laufend kurzlebige Service Accounts erzeugt und wieder gelöscht werden.

Mit der Reifung des Ökosystems ist eine neue Akteursgruppe entstanden, die Google als „LLM Mixer" bezeichnet. Sie markiert eine Arbeitsteilung zwischen jenen, die den Erstzugriff beschaffen, und jenen, die die nachgelagerte Monetarisierungsinfrastruktur betreiben. LLM Mixer arbeiten als illegale Routing-Gateways, die unbefugten LLM-Zugang über Untergrund-Shops weiterleiten, bündeln und weiterverkaufen. Ein solcher Dienst ist Jet Night („jet-night[.]com"), der einen Tarif mit unbegrenzten Token und angeblichem Zugang zu einem Spitzenmodell für rund 60 US-Dollar im Monat anbietet. Auf diese Weise lassen sich Unternehmenskontingente abschöpfen, während die Kosten bei den Opfern anfallen, bis die Kompromittierung auffällt.

Jet Night ist nicht das einzige Angebot dieser Art. Symantec und Carbon Black, beide zu Broadcom gehörend, beschrieben vergangene Woche einen Graumarkt-Relay-Dienst, der die echten CLI-Werkzeuge OpenAI Codex und Anthropic Claude Code auf Unternehmenssystemen installiert und anschließend so umkonfiguriert, dass jede Anfrage über Drittinfrastruktur statt über die Server der Anbieter läuft. „Statt eigene Client-Software zu bauen, zweckentfremdet der Dienst die echten CLI-Werkzeuge", erklärte Symantec. „Er installiert sie ganz normal und schreibt dann ihre Konfiguration um, um das Sandboxing abzuschalten — bei Codex durch Setzen auf ‚danger-full-access’ — und leitet jede Anfrage über eigene Server statt über die von OpenAI oder Anthropic."

Der Dienst ist nach Einschätzung der Forscher mindestens seit Anfang 2026 aktiv und betrifft vor allem rund ein Dutzend Organisationen in Festlandchina sowie multinationale Tochtergesellschaften in Südkorea, Taiwan und Malaysia. Betroffene Branchen sind Industrieautomatisierung, Elektronikfertigung, Halbleiter, Pharma, Schifffahrt, Reifenherstellung, Petrochemie und Rechenzentrumsdienste. Der Dienst zielt offenbar vorwiegend auf Märkte, in denen Anthropic und OpenAI nicht tätig sind; die Installation geht typischerweise von Beschäftigten aus, die einen westlichen KI-Programmierassistenten ausprobieren wollen und sich dafür an einen nicht autorisierten Wiederverkäufer wenden.

Verteilt wird dabei kein manipulierter oder trojanisierter Client. Kurz nach der legitimen Installation der Codex- oder Claude-Code-CLI über npm werden Nutzer wohl angewiesen, einen Einzeiler auszuführen, der ein dateiloses PowerShell- oder Bash-Setup-Skript von einer Look-alike-Domain („vibe.aiok[.]me") nachlädt und die Konfiguration überschreibt. Die Umkonfiguration betrifft „/.codex/config.toml" bei Codex und „/.claude/settings.json" bei Claude Code: Sie deaktiviert die Ausführungs-Sandbox, erlaubt Netzwerkzugriff für die Schreib-Sandbox, ersetzt die echten API-Zugangsdaten des Nutzers durch Relay-Token und schaltet Telemetrie und Fehlerberichte ab. Das Skript prüft außerdem die Windows-Spracheinstellung, um sicherzugehen, dass es in der bedienten Region läuft. Die Betreiber umgehen damit vermutlich nicht nur regionale Beschränkungen westlicher KI-Anbieter, sondern verkaufen Kapazität — ähnlich wie Jet Night — unter Marktpreis weiter. Hinweise darauf, dass der Dienst eingegebene Prompts abgreift oder Antworten verfälscht, gibt es nicht.

„Bedrohungsakteure werden LLMjacking zunehmend gegenüber klassischem Ressourcendiebstahl wie Cryptojacking bevorzugen, getrieben von der unmittelbaren, margenstarken Monetarisierung durch die aufkommenden Untergrund-LLM-Mixer", so Google. Mit der Integration höherwertiger Modelle und agentischer Arbeitsabläufe in Produktivumgebungen dürften Kriminelle ihre automatisierte Aufklärung auf offengelegte API-Token verfeinern und Schwachstellen in Model-Routing-Middleware ausnutzen.