LLM乗っ取りで巨額請求
Googleの脅威分析チーム（GTIG）とMandiant（マンディアント）は2026年11月3日、企業が契約しているAI（大規模言語モデル、LLM）の利用権を盗んで悪用する手口「LLMjacking（エルエルエムジャッキング）」を公表しました。1日で10万ドル超、累計で100万ドルの不正な請求に達した例があります。盗んだ利用権は、安く転売されることもあります。公式の調査をもとに、手口と企業が取れる対策を整理します。
AIの利用権を盗み数時間で請求
LLMjackingは、攻撃者が企業のAIを使う権利を乗っ取って、勝手に使う手口です。使われた分の料金は、被害を受けた企業に請求されます。
公式は、これまでのクラウド乗っ取り（暗号資産の採掘に計算資源を使う手口）と違い、数時間で大規模な不正請求が発生しうることを特徴に挙げています。ここで狙われるのは、チャットボットの画面ではなく、裏側でAIを動かす部分です。
被害は1日10万ドル超の例も
Mandiantは2026年に、複数のインシデントに対応しました。金融、小売、テクノロジー、運輸などの組織が、北米、南米、アジア太平洋で影響を受けています。公式が示した数字は、次のとおりです。
| 内容 | 数字 |
|---|---|
| 1日の不正請求 | 10万ドル超（最大の例） |
| 遮断までの累計請求 | 100万ドル（一部の組織） |
| AIの呼び出し回数 | 50万回超を8時間未満で実行（1組織） |
これらは、対応した個別のインシデントの数字です。市場全体の統計ではありません。
入口は盗まれた認証情報
公式によると、主な入口は、流出したり盗まれたりしたクラウドの認証情報です。認証情報とは、サービスにログインする許可証のようなものです。公式は、次のような手口を挙げています。
- 偽のページ：利用者に、アクセス用の文字列を貼り付けさせて、パスワードと多要素認証（追加の本人確認）を回避します
- 公開されたコードからの収集：GitHubなどに誤って載ったAIのAPIキー（利用の鍵）を集めます
- 有効かどうかの確認：最小限の短いリクエストを送り、キーが使えるかを、目立たないように確かめます
- 公開されたAIの入口の探索：守られていないAIの接続口を探します
多くの事例では、侵害された時点で、AIのサービスは有効になっていませんでした。攻撃者が盗んだキーで有効にして、数分から数時間で巨額の請求を発生させています。
侵入後は権限を広げ請求を肩代わり
入り込んだあと、攻撃者はクラウドの中を調べて、より強い権限の認証情報を探して、権限を広げます。公式が挙げる動きは、次のとおりです。
- 設定の探索：コードの置き場やデータの保管場所から、パスワードなどの秘密情報を探します
- 居座るための細工：管理者に見える名前のアカウントや、「請求の最適化」を装った偽のサービスアカウントを作ります
- AIの有効化：AIのサービスを有効にして、高性能なモデルで大量の処理を実行します
- 制限の回避：短命のアカウントを作っては消して、利用の制限を避けます
AIの中継役のソフト（ゲートウェイ）の弱点も、狙われました。公式は、LiteLLMの脆弱性（識別番号CVE-2026-40217）を悪用して、一般の鍵を管理者の権限に格上げした例を紹介しています。
乗っ取った枠は安く転売される
公式は、侵入するグループと、乗っ取った利用枠を売るグループが、役割を分けていると説明しています。売る仕組みは「LLM Mixer（エルエルエム・ミキサー）」と呼ばれ、不正なAIの利用を中継して、まとめて再販する違法な中継所です。
例として、Jet Nightというサービスが挙げられています。月約60ドルの使い放題プランを出していましたが、一般的な相場は月100〜250ドルです。公式は、相場を大きく下回る点から、盗まれたキーに頼っていると判断しています。このサービスは、被害を受けた組織に、約100万ドルの利用料を転嫁したとされます。
企業ができる対策は7つ
公式が挙げる対策のうち、基本となるものは次のとおりです。
- 秘密情報の一元管理と定期的な交換：鍵を集中して管理し、自動で入れ替えます
- 必要最小限の権限：AIのサービスも含めて、必要な権限以外は許可しません
- コードの中の鍵の検出：GitHubなどで、鍵が載っていないかを自動で調べます
- 予算と利用量の上限：モデルごとの利用量や、支出の上限を決めます
- フィッシングに強い多要素認証：すべてのログイン先に使います
- 承認していないAIの発見：社内で勝手に使われているAIやツールを洗い出します
- 中継ソフトの更新：LiteLLMなどのゲートウェイにも、修正を早く当てます
見つける側では、AIのサービスの有効化や設定の変更を、重大なセキュリティの出来事として扱うことを勧めています。操作の記録（ログ）を残す設定が、あとから切られていないかの確認も大切です。
数字は個別事例で今後も続く見通し
この発表を読むときは、次の点に気をつけてください。
- 数字は個別の事例：対応したインシデントの観測値で、全体の統計ではありません
- 被害組織は匿名：企業の名前や詳しい状況は、公表されていません
- 推測を含む部分：Jet Nightの評価は、価格の比較などからの判断です
- 検知ルールは製品が前提：Google SecOpsの利用者向けのもので、他の製品では調整が必要です
GTIGは、企業が高性能なモデルやAIエージェントを本番で使うほど、露出した鍵の自動探索や、中継ソフトの弱点を狙う動きが増えると予測しています。
まとめ
LLMjackingは、盗んだ認証情報で企業のAIを勝手に使い、料金を被害企業に押しつける手口です。1日10万ドル超、累計100万ドルの請求が出た例も、公式に示されています。AIを業務で使っている企業は、鍵の管理、権限の絞り込み、利用量の上限の設定を、早めに見直してください。本記事は2026年11月10日時点の公式情報に基づいています。
