觀點 · 資訊分享

LLMJacking：雲端金鑰外洩後 AI 額度被轉賣，Google 看到單日盜刷超過 10 萬美元

Google 威脅情報團隊與 Mandiant 公布多起「LLMJacking」事件：雲端或 AI 金鑰外洩後，AI 額度被拿去轉賣，單一事件一天內刷出超過 10 萬美元，有組織累計到 100 萬美元。

一句話看懂：雲端或 AI 金鑰一旦外洩，你的 AI 額度可能被拿去轉賣，Google 觀察到單一事件一天就刷出超過 10 萬美元的帳單。

LLMJacking：偷 AI 額度轉賣資訊圖卡：雲端或 AI 金鑰外洩，你的 AI 額度被轉賣給別人，帳單卻由你付

先用白話講：LLMJacking 是什麼？

想像你家的電話卡被人撿走，對方不是自己打電話，而是開了一間「便宜國際電話行」，把你的通話額度賣給一堆客人。月底帳單寄到你家，金額大到嚇人。

LLMJacking 就是這件事的 AI 版：攻擊者拿到你的雲端帳號或 AI API 金鑰後，直接呼叫昂貴的大型語言模型（LLM），甚至把額度轉賣給別人，費用全部算在你頭上。

Google 威脅情報團隊（GTIG）與 Mandiant 在 11 月 2 日發表調查報告：

2026 年 Mandiant 處理了多起 LLMJacking 事件，橫跨多家雲端與 AI 服務，受害者分布在北美、南美與亞太，產業包含金融、零售、科技、運輸
單一事件一天內盜刷超過 10 萬美元，有組織在撤銷存取前累計到 100 萬美元
有一個轉賣服務在 8 小時內打了超過 50 萬次 API，讓受害組織承擔近 100 萬美元的費用；它對外只賣每月約 60 美元的「吃到飽」方案

報告整理出幾種主要的入口：

要特別注意：多起事件中，受害者的 AI 服務原本是關閉的，是對方拿到權限後自己打開的。

最小權限：服務帳號只給需要的權限，用不到的 AI 服務明確拒絕
配額與預算：每個模型設請求上限與花費上限，不同環境（開發 / 正式）用不同金鑰
監看試探請求：對方會用 max_tokens=1 的極小請求確認金鑰可用，量小不容易觸發告警
開啟紀錄：AWS 在 CloudTrail 看 bedrock.amazonaws.com 的 InvokeModel 等操作；GCP 的推論呼叫記在 Data Access 稽核紀錄，預設是關閉的，要自己開
高風險事件：有人啟用 AI 服務、建立新金鑰、關閉模型呼叫紀錄，都應該立刻告警
閘道也要更新：LiteLLM 這類 AI 路由閘道要列入漏洞修補範圍

接案時最常看到的問題，就是把 AI 金鑰直接寫在前端或設定檔裡一起推上 Git。以前外洩的是資料庫密碼，現在外洩的是「可以直接燒錢的額度」，後果更快、更痛。

小團隊最划算的三件事：一、到 AI 服務後台設每月花費上限與用量告警；二、每個專案、每個客戶各用一把金鑰，出事只撤一把；三、在 Git 加上金鑰掃描。

自架服務的人也別鬆懈。在 NAS 上跑 Ollama 很方便，但這份報告就提到有人專門掃描公開的 Ollama 端點，千萬不要為了外出能用就直接開 port，請放在 VPN 或有登入保護的反向代理後面。

LLMJacking 跟以前的盜用主機挖礦有什麼不同？

挖礦是慢慢吃掉運算資源，帳單逐漸變高；LLMJacking 直接呼叫昂貴的 AI 模型，Google 觀察到幾小時內就能刷出巨額費用，而且盜來的額度還會被轉賣給其他人使用。

我的雲端帳號沒開 AI 服務，也會中招嗎？

會。Mandiant 調查的多起事件中，AI 服務在入侵當下原本是關閉的，是對方拿到權限後自己把服務打開。所以「沒開」不等於安全，帳號權限要收緊，並把「有人啟用 AI 服務」當成高風險警示。

自架 Ollama 也有風險嗎？

有。報告提到有人掃描公開在網路上的 Ollama 端點，嘗試透過 /api/create 註冊自己的模型來使用你的運算資源。Ollama 不要直接對外開放，要放在反向代理、VPN 或存取控制後面。

怎麼發現自己的金鑰正在被試探？

報告指出對方會用 max_tokens=1 這種極小的請求確認金鑰能不能用，量小不容易觸發告警。可以在 AI 閘道或 API 紀錄裡留意這類異常的小請求，並設定每個模型的配額與花費上限。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。