LLMJacking dispara facturas cloud a seis cifras
Mandiant describe varios incidentes de LLMJacking en los que se usaron credenciales cloud y claves API comprometidas para habilitar servicios de modelos y revender acceso. En algunos casos las facturas superaron los 100.000 dólares diarios y alcanzaron un millón antes de revocar el acceso; las cifras corresponden a investigaciones concretas.
Mandiant ha documentado varios incidentes de LLMJacking durante 2026: intrusos aprovecharon acceso a servicios de modelos de lenguaje en la nube para consumir capacidad y revenderla. En algunos casos investigados, los cargos superaron los 100.000 dólares en un día; en organizaciones concretas el coste acumulado llegó a un millón antes de que se revocara el acceso. Son resultados de incidentes analizados por la firma, no una tarifa habitual ni una estimación para cualquier empresa que use IA.
-SecureCrew dice: Una factura anómala es un indicador tardío; para entonces el token ya lleva horas trabajando para otro.-
La puerta de entrada sigue siendo la identidad
Aunque el servicio abusado sea un modelo, el acceso inicial descrito por Mandiant fue principalmente una credencial cloud expuesta o robada: claves de cuentas de servicio, tokens de federación, credenciales IAM, tokens de sesión activos y claves API publicadas en repositorios. Los casos afectaron a proveedores y modelos distintos. El patrón es menos “atacar la IA” en abstracto que reutilizar permisos válidos para activar recursos que la organización quizá todavía no tenía habilitados.
En un incidente, una clave mal configurada de cuenta de servicio dio acceso a un proyecto cloud; desde allí, el actor habilitó un API de modelos y creó claves adicionales. El cambio de configuración convirtió una identidad comprometida en consumo facturable. Mandiant también describió una página de secuestro de sesión que imitaba un portal: la víctima pegaba un token activo y ese token permitía saltarse la autenticación normal, incluida la MFA, en el flujo observado. Eso no significa que MFA sea inútil; sí significa que una sesión ya robada necesita controles propios.
-SecureCrew dice: MFA protege el inicio de sesión; no puede desautorizar por sí sola un token que ya salió de la sesión.-
Del acceso al negocio criminal
Tras entrar, algunos operadores activaron modelos de pago por uso, generaron nuevas claves y lanzaron inferencia a gran volumen. Otro grupo usó claves de terceros para alimentar un servicio de encaminamiento de tokens: según GTIG, realizó más de 500.000 llamadas API en menos de ocho horas y trasladó cerca de un millón de dólares en costes al cliente afectado. La cifra describe un caso investigado, no el ritmo que deba esperarse en todos los ataques.
GTIG llama “LLM Mixers” a la infraestructura que agrega claves robadas, reparte peticiones entre cuentas y revende acceso a clientes clandestinos. La división del trabajo importa porque quien roba credenciales no tiene que ser quien gestione el servicio de reventa. El usuario compra una interfaz aparentemente barata; la víctima paga el cómputo y puede tardar en advertirlo si sus alertas solo miran el volumen habitual de actividad.
The Register contrastó el informe y detalló casos con cargos de seis cifras, cuentas Pay-As-You-Go y rotación de cuentas de servicio para esquivar límites. El valor del acceso no es solo la capacidad de generar texto: también se puede monetizar GPU, cuotas de API y endpoints proxy, a la vez que se oculta qué organización está financiando las peticiones. Los costes pasan de la línea de seguridad a la de infraestructura, donde pueden parecer un pico legítimo de demanda hasta que alguien correlaciona claves, cambios de servicio y consumo.
Cómo reducir el margen de abuso
Mandiant recomienda limitar cada identidad y clave a las tareas necesarias, guardar secretos en un gestor central y rotarlos cuando se sospeche exposición. Conviene automatizar la búsqueda de claves en repositorios y separar las claves por entorno, modelo y endpoint. Un token de desarrollo no debería poder habilitar modelos caros en producción; las cuotas por modelo y los topes presupuestarios pueden acotar cuánto llega a consumir una clave antes de que alguien intervenga.
La detección debe mirar cambios de estado además de volumen: creación de claves, habilitación de servicios de IA, nuevos acuerdos de pago, alta de cuentas de servicio y picos por modelo. Revisar solo el total de gasto llega tarde si la plataforma permite activar un servicio y consumir cuota en minutos. La alerta de presupuesto debe complementarse con registros de auditoría y una ruta clara para revocar claves y sesiones; no basta con borrar el token API si el actor mantiene otros tokens de nube.
-SecureCrew dice: Si solo alertas cuando el presupuesto explota, tu observabilidad financiera ha llegado a la fiesta después del incidente.-
No todos los incidentes combinan todos esos pasos, y Mandiant no presenta sus casos como una prevalencia global. La conclusión útil es más concreta: los servicios de modelos amplían el coste potencial de una identidad cloud expuesta, pero las barreras de acceso siguen en IAM, secretos, sesiones y cuotas. Proteger la cuenta que puede activar el servicio suele dar más resultado que buscar un “ataque a la IA” separado de la infraestructura que lo aloja.
Diccionario de la Crew
LLMJacking — Uso de acceso cloud o claves comprometidas para consumir o revender capacidad de modelos de lenguaje sin autorización.
IAM — Gestión de identidades y accesos; define qué usuarios, servicios y claves pueden usar recursos cloud.
MFA — Autenticación multifactor, que exige una prueba adicional al iniciar sesión; un token de sesión ya robado puede eludir el paso inicial.
LLM Mixer — Servicio clandestino que agrega claves o cuotas robadas y revende acceso a modelos mediante una pasarela.
