Volées, vos clés d'accès aux IA peuvent coûter plus de 100 000 dollars en un jour, selon Google

Une requête qui n'autorise qu'un seul « jeton » de réponse à l'intelligence artificielle. Pour un outil de surveillance, rien d'anormal. Selon Google, c'est pourtant ainsi que certains pirates vérifient qu'une clé d'accès volée fonctionne encore, avant de la faire tourner à plein régime.

Dans un rapport publié le 2 novembre 2026, le groupe de renseignement sur les menaces de Google (GTIG) et sa filiale Mandiant décrivent le « LLMjacking » : le détournement des accès qu'une entreprise a ouverts à des grands modèles de langage (LLM) dans le cloud. Mandiant dit être intervenu sur plusieurs de ces incidents en 2026, en Amérique du Nord, en Amérique du Sud et en Asie-Pacifique, dans la finance, le commerce, la technologie et les transports. Chez certaines victimes, les frais frauduleux ont dépassé 100 000 dollars en une seule journée. Ils ont atteint jusqu'à un million de dollars cumulés avant que les accès soient coupés.

D'un côté les voleurs d'accès, de l'autre les revendeurs

Google décrit une division du travail. Certains pirates obtiennent l'accès : clés de comptes de service mal configurées, jetons GitHub, clés d'API d'IA oubliées dans des dépôts GitHub publics. D'autres, que Google appelle des « mixeurs de LLM », regroupent ces accès et les revendent à des abonnés clandestins.

L'un d'eux, Jet Night, propose un forfait illimité d'environ 60 dollars par mois avec un accès présumé aux modèles les plus avancés. Pour un particulier, un abonnement légitime de ce niveau coûte d'habitude entre 100 et 250 dollars. Google estime que ce service ne peut être rentable qu'avec des clés volées. Un pirate l'a alimenté avec des clés volées, en exécutant plus de 500 000 appels en moins de huit heures. Jet Night a fait supporter près d'un million de dollars de consommation à une organisation.

Le groupe baptisé UNC6993 a, lui, profité d'une clé de compte de service mal configurée. Il a aussi monté une fausse page présentée comme un portail pour rejoindre un groupe d'utilisateurs d'IA. Les victimes y étaient invitées à coller des données brutes au format JSON contenant un jeton d'accès actif, ce qui contournait le mot de passe et l'authentification à plusieurs facteurs. Les pirates ont ensuite tenté de créer de nouvelles clés et d'activer des services, accumulant plus de 100 000 dollars de facture. Pour rester en place, un autre groupe a créé des comptes de service déguisés en outils internes d'optimisation de la facturation et ajouté ses propres clés SSH aux machines virtuelles.

Une faille de LiteLLM pour devenir administrateur

Dans un autre cas, des attaquants ont exploité une faille de LiteLLM, une passerelle très utilisée pour centraliser l'accès à plusieurs IA. Selon Google, cette faille, qu'il identifie comme la CVE-2026-40217, leur a permis de transformer des clés ordinaires en identifiants d'administrateur de la passerelle. La fiche officielle de cette CVE décrit pourtant une autre faille de LiteLLM, qui permet d'exécuter du code à distance. LiteLLM avait déjà fait parler de lui en octobre, quand une version piégée volait les accès au cloud de ses utilisateurs.

Le piège tient à la facturation : les pirates épuisent les quotas de l'entreprise et lui laissent la facture, avant même que l'intrusion soit détectée. Google s'attend à ce que les pirates préfèrent de plus en plus ce détournement au minage de cryptomonnaies sur des serveurs volés.

Que faire ?

Dans plusieurs des cas décrits, tout est parti d'une clé ou d'un compte trop exposé. Google recommande de :

• traiter toute activation non prévue d'un service d'IA dans le cloud comme un incident de sécurité critique ;
• refuser par défaut tous les droits qui ne sont pas indispensables, y compris l'accès aux services d'IA du cloud ;
• fixer des quotas et des plafonds de dépenses par modèle, et cloisonner les clés par modèle et par environnement ;
• centraliser les secrets avec une rotation automatique, et imposer une authentification résistante à l'hameçonnage ;
• activer et surveiller les journaux : CloudTrail pour Bedrock chez AWS (toute tentative de couper la journalisation qui ne vient pas des outils de déploiement automatisé, dits « infrastructure as code », est à traiter comme grave), journaux d'activité et de diagnostic (à activer pour voir les appels aux modèles) de Microsoft.CognitiveServices chez Azure, journaux d'accès aux données de aiplatform.googleapis.com chez Google Cloud, désactivés par défaut ;
• repérer les toutes petites requêtes inhabituelles (max_tokens=1) qui peuvent trahir un test de clés volées ;
• mettre à jour les passerelles comme LiteLLM au même rythme que le reste du parc.

Google publie aussi deux domaines de revendeurs à bloquer : jet-night.com et newapi.pro. Le rapport ne mentionne aucune victime en Europe. Les portes d'entrée qu'il décrit, des clés oubliées et des comptes trop permissifs, ne sont pourtant propres à aucune région. Si vous stockez des clés d'IA chez des outils tiers, l'épisode OpenCode montre qu'elles peuvent aussi fuiter par là.