Mandiant在2026年响应了多起企业LLM访问被劫持的事件，这种攻击被命名为LLMJacking。受害者分布在北美、南美和亚太，覆盖金融、零售、科技和运输行业。与加密劫持的渐进式资源消耗不同，LLMJacking可以在几小时内产生巨额云账单：有企业单日被欺诈性消耗超过10万美元，累计账单在访问被切断前达到100万美元。

攻击者最常用的入口是暴露或被盗的云身份令牌——包括IAM凭证、Service Account Key、GitHub Personal Access Token（PAT）和活跃会话令牌。例如UNC6993利用配置错误的Service Account Key进入云实例，再进一步获取LLM API权限；它还搭建了伪装成应用门户的会话劫持页面，诱导用户粘贴包含活跃访问令牌的JSON，从而绕过密码和MFA。另一些攻击者从公开GitHub仓库收集企业LLM API密钥，用单token请求（max_tokens=1）做自动化校验，避免触发EDR和SIEM的告警。

进入内网后，攻击者会枚举云服务、代码仓库和数据存储，搜索硬编码密钥和开发者凭证。有的攻击者滥用云身份权限为高权限服务账号生成临时凭证，有的创建带管理员权限的IAM账号、向虚拟机注入SSH密钥。更值得警惕的是对LLM路由软件的定向利用：一个攻击者拿到预验证的Virtual Key后，利用LiteLLM网关/key/regenerate端点中的用户ID重绑定漏洞（CVE-2026-40217），把普通密钥提升为PROXY_ADMIN主管理凭证。

变现环节正在走向分工化。GTIG观察到攻击者通过token代理、自动模型流和GPU资源供给来劫持算力。UNC6993在获取LLM API密钥后生成更多密钥并启用相关服务，迅速累积超过10万美元账单。另一个攻击者为受害账号订阅Pay-As-You-Go计划，用“烧了就跑”的方式不断创建和删除短期服务账号绕过速率限制。还有人部署基于Manus智能体框架的容器化后门，配合SearXNG搜索和沙箱执行环境，并租用GPU实例扩展算力。

地下市场已出现专门的“LLM Mixer”——一种非法路由网关，代理、聚合并转卖未授权的LLM访问。攻击者使用new-api、gcli2api等开源工具聚合密钥和负载均衡，也搭建了jet-night.com和newapi.pro等中转服务。Jet Night把近100万美元的token成本转嫁给了受害企业，其无限token套餐约60美元/月，而正常访问前沿模型的消费级服务通常在100到250美元/月；它的Telegram频道还多次公告宕机，推测是受害者发现入侵后吊销了被盗密钥。

GTIG预测，随着LLM Mixer生态成熟，攻击者会越来越多地选择LLMJacking而非加密劫持。防御方面，Mandiant给出了具体的检测和缓解清单：监控云审计日志中LLM相关API调用，注意max_tokens=1这类验证扫描；对LiteLLM等网关及时打补丁；对LLM API启用配额和预算告警；使用防钓鱼MFA；隔离动态工作负载的执行环境。文末还公布了jet-night.com和newapi.pro两个网络IOC，供注册用户查询。