Mandiant связывает LLMJacking с украденными облачными учётными данными, которые злоумышленники используют для запуска inference-нагрузок на скомпрометированных аккаунтах, согласно публикациям о кампании. Сообщаемое следствие — счета, достигающие $100 000 и более в день. Отдельные материалы описывают ту же схему со стороны преступников: перехваченный доступ к LLM используется для накопления расходов на чужом аккаунте.
Для команд, разрабатывающих агентов, важна формулировка. Здесь риск затрат — в первую очередь не проблема бюджетирования или rate limiting, а проблема кражи учётных данных и egress. Стек агента хранит долгоживущие облачные ключи, API-ключи провайдеров моделей и токены сервисных аккаунтов, и утечки любого из них достаточно, чтобы переложить расходы на нагрузку злоумышленника. Guardrail, ограничивающие только расход на запрос или на пользователя, не решают проблему украденного ключа, используемого за пределами границы приложения.
Практический ответ лежит в области идентификации и мониторинга: краткоживущие учётные данные вместо статических ключей, ограниченные по области разрешения для каждого сервиса, обнаружение аномалий по объёму inference и egress, а также алерты, привязанные к данным на стороне провайдера, а не только к внутренним дашбордам. Чего предоставленные материалы не устанавливают — так это конкретных путей использования учётных данных, затронутых жертв и того, как проводилось обнаружение; эти детали остаются неясными, и их не следует предполагать при проектировании мер контроля.
Behzat AI рассматривает это как архитектурное ограничение для агентных систем: область действия учётных данных и наблюдаемость — часть архитектуры, а не запоздалая мысль.