Fin septembre 2026, le Google Threat Intelligence Group a publié un rapport sur une pratique en expansion : le LLM-jacking. Derrière le mot, deux gestes distincts. Des pirates revendent à prix cassés des comptes d'IA volés, et ils détournent des serveurs cloud mal protégés pour faire tourner des modèles aux frais de la victime. Numerama en détaille les deux scénarios. L'accès aux grands modèles de langage est devenu une marchandise, et sa facturation à l'usage en fait une cible rentable.

Un terme forgé par Sysdig en 2024

Le mot LLMjacking vient de l'équipe de recherche de l'éditeur de sécurité Sysdig, qui l'a documenté pour la première fois en mai 2024. Le principe : obtenir illégalement l'accès à un grand modèle de langage, non pas en piratant le modèle lui-même, mais en volant les identifiants qui permettent de l'appeler.

Dans le cas initial observé par Sysdig, les attaquants ont récupéré des clés d'accès cloud sur un serveur faisant tourner une version vulnérable du framework Laravel (faille CVE-2021-3129). Avec ces identifiants, ils ont visé dix services d'IA hébergés dans le cloud, parmi lesquels AWS Bedrock, Anthropic, Azure, Mistral, OpenAI et GCP Vertex AI. La cible privilégiée était alors un modèle Claude accessible via Bedrock.

Le LLM-jacking se distingue des abus d'IA plus connus, comme le détournement de Gemini par un réseau cybercriminel chinois pour industrialiser des arnaques. Ici, c'est le service d'IA payant qui est la proie, et sa facture qui finance l'attaquant.

Premier scénario : revendre des comptes volés

Le premier des deux scénarios décrits par Google concerne le vol et la revente de comptes. Le Threat Intelligence Group constate sur les forums clandestins une demande croissante en identifiants d'IA compromis : davantage de vendeurs qui proposent des accès, davantage d'acheteurs qui en cherchent. Les prix moyens pratiqués sur ces places de marché ont plus que doublé en 2026.

La demande se concentre sur les identifiants Claude et Gemini, mais aussi sur les comptes d'environnements de codage autonome comme Cursor Pro et Devin. Des places de marché du dark web revendent des accès non autorisés à des modèles d'OpenAI, de Google et d'Anthropic avec des remises allant jusqu'à 97 % sur le tarif officiel.

Pour alimenter ce marché, les attaquants s'appuient sur des logiciels voleurs d'informations (infostealers) qui aspirent les identifiants stockés sur les machines infectées. Google cite nommément LUMMAC.V2, STEALC.V2, VIDAR et ACRSTEALER, ce dernier ayant été observé en mai 2026 en train de cibler spécifiquement des fichiers de configuration d'outils d'IA.

Une fois les clés en main, les pirates les mettent souvent à disposition via des serveurs mandataires inverses (reverse proxies). L'outil oai-reverse-proxy, repéré par Sysdig, permet de vendre l'usage d'un compte sans jamais exposer les identifiants sous-jacents : l'acheteur consomme le modèle, le propriétaire légitime paie, et le vendeur encaisse. Un vérificateur de clés associé teste automatiquement les identifiants volés contre une dizaine de fournisseurs pour écarter ceux qui ne marchent plus. Sysdig a relevé que beaucoup de ces utilisateurs cherchent d'abord à contourner des restrictions géographiques, une partie de l'activité étant liée à la Russie, où les sanctions occidentales limitent l'accès aux chatbots commerciaux.

Second scénario : détourner la puissance de calcul

Le second scénario vise non plus un compte, mais une infrastructure. L'attaquant s'introduit dans un environnement cloud d'entreprise et en détourne la capacité de calcul pour faire tourner ses propres charges d'IA.

Google en donne un exemple daté d'avril 2026 : à partir d'un jeton GitHub exposé par erreur, un attaquant a activé le service Gemini Enterprise de sa victime, provisionné des machines de calcul performantes et déployé des outils malveillants, transformant l'infrastructure visée en centre de données d'IA clandestin. Cette bascule vers des charges autonomes illustre une crainte plus large déjà formulée à propos des modèles capables d'enchaîner seuls les étapes d'une intrusion, même si certains praticiens jugent ce discours de menace exagéré.

Ce mode opératoire est plus discret que la revente de comptes : la victime ne voit rien, sinon une consommation inhabituelle sur sa facture cloud, jusqu'à ce que le montant devienne difficile à ignorer.

Ce que ça coûte aux victimes

Le coût est la particularité de ces attaques. Les services d'IA se facturant à l'usage, chaque requête lancée par le pirate est débitée du compte de la victime. Dans le premier cas étudié par Sysdig, la consommation pouvait atteindre plus de 46 000 dollars par jour si l'intrusion passait inaperçue. Avec les modèles les plus récents et les plus chers, comme Claude 3 Opus, la note grimpe à plus de 100 000 dollars par jour. Le 11 juillet 2024, Sysdig avait mesuré plus de 85 000 requêtes à l'API Bedrock sur un seul compte compromis en une journée.

À ce poste de dépense s'ajoute un risque de fuite : en accédant aux services d'IA d'une entreprise, l'attaquant peut atteindre des modèles internes ou des données propriétaires. Google a documenté des cas où des criminels dérobent carrément des modèles d'IA d'entreprise pour les monnayer sous la menace, ajoutant l'extorsion à la simple resquille.

Les parades

Google résume sa recommandation en une phrase : traiter les identifiants d'IA comme les autres secrets de grande valeur, au même niveau que les clés de développement et les accès cloud critiques. En pratique, cela suppose plusieurs réflexes déjà connus des équipes de sécurité.

Ne pas exposer de clés dans le code, les dépôts publics ou les fichiers de configuration, qui sont les premières cibles des infostealers. Faire tourner régulièrement les clés d'API et révoquer sans délai celles qui fuitent. Appliquer le moindre privilège, pour qu'un jeton volé ne donne pas accès à l'ensemble de l'environnement cloud, comme l'a montré le cas du jeton GitHub d'avril 2026. Surveiller enfin la facturation et le volume d'appels : une consommation qui décuple du jour au lendemain est souvent le premier signe visible, comme l'ont montré d'autres affaires de comptes détournés.

Le rapport du Threat Intelligence Group porte un titre qui dit la trajectoire visée par les attaquants : From Prompting to Autonomy. Google y note que le coût d'accès reste le principal frein qui empêche les cybercriminels d'exploiter l'IA à grande échelle. Il décrit aussi une campagne d'attaque qu'un acteur a montée en six heures à l'aide de l'IA.