O Google Threat Intelligence Group e a Mandiant publicaram em 2 de novembro de 2026 um levantamento sobre LLMjacking, o sequestro do acesso corporativo a modelos de linguagem. A Mandiant atendeu vários incidentes desse tipo em 2026, na América do Norte, na América do Sul e na Ásia-Pacífico, em serviços financeiros, varejo, tecnologia e transporte.
O que o relatório traz de novo não é o roubo de credencial, é a camada de revenda. O Google chama de LLM Mixers os intermediários que funcionam como gateways de roteamento ilícito, recebendo o acesso roubado, agregando chaves de várias vítimas e revendendo a assinantes clandestinos. Há divisão de trabalho entre quem invade e quem monetiza.
O vetor dominante de acesso inicial são credenciais de identidade de nuvem expostas ou roubadas, entre elas credenciais de IAM, chaves de conta de serviço, tokens pessoais de acesso do GitHub e tokens de sessão ativos. O grupo rastreado como UNC6993 entrou em um ambiente em meados de 2026 por uma chave de conta de serviço mal configurada.
O mesmo grupo manteve uma página que se passava por portal de uma aplicação para ingressar em um grupo de usuários de modelos. A vítima colava ali o conteúdo bruto de um token de acesso ativo, que contornava senha e segundo fator. Com esse acesso o invasor gerou novas chaves de API e habilitou serviços na nuvem da vítima.
A diferença para a mineração de criptomoeda é a velocidade. Onde o cryptojacking consome recurso aos poucos, o abuso de modelo produz picos de cobrança em horas. Em vários dos incidentes o serviço de IA nem estava habilitado na conta quando a invasão ocorreu, e foi o próprio invasor quem o ligou com a credencial roubada.
Em incidentes isolados o Google registrou cobranças fraudulentas acima de US$ 100 mil em um único dia, e acúmulo de até US$ 1 milhão em algumas organizações antes de o acesso ser revogado. Um dos grupos, o Jet Night, fez mais de 500 mil chamadas de API em menos de oito horas e vendia aos assinantes um plano sem limite por cerca de US$ 60 ao mês.
O Google orienta tratar qualquer habilitação não autorizada de serviço de IA como evento crítico de segurança, e inclui os gateways de modelo na conta da correção, já que um dos casos envolveu elevação de privilégio em uma instalação do LiteLLM pela CVE-2026-40217. As medidas apontadas são de higiene de identidade, com gestão centralizada de segredos e rotação automática, negação de permissão não necessária, varredura de segredos nos repositórios e cotas de gasto por chave.
