LLMjacking: lo sconto ha già chi lo paga

Sessanta dollari al mese. Accesso illimitato ai modelli di intelligenza artificiale più potenti, o almeno così promette il listino.

Un servizio di quel livello, scrive Google, di solito costa fra i 100 e i 250 dollari al mese. Questo esiste davvero, si chiama Jet Night, e secondo gli analisti di Google può fare quei prezzi per un motivo semplice: lavora con chiavi rubate.

In uno dei casi raccontati, chi alimentava Jet Night ha fatto più di 500.000 chiamate ai modelli in meno di otto ore, usando le chiavi di un’altra organizzazione. A quell’organizzazione Jet Night ha passato costi per quasi un milione di dollari.

Lo sconto c’è ancora. Ha solo cambiato intestatario.

È uno dei casi del rapporto che Google ha pubblicato lunedì 2 novembre. Parla di un furto con un nome preciso, LLMjacking, e di una cosa che riguarda chiunque abbia collegato un’intelligenza artificiale al proprio lavoro con una chiave: la bolletta può partire anche senza di te.

Cosa ha trovato Google

Il rapporto si intitola «The Rise of LLMJacking», l’ascesa del LLMjacking. Lo firma Google Threat Intelligence Group, il gruppo di Google che studia gli attacchi informatici, e racconta incidenti seguiti nel 2026 da Mandiant. Il nome mette insieme LLM, la sigla dei grandi modelli linguistici come quelli dietro ChatGPT, Claude e Gemini, e «hijacking», dirottamento. Dirottare un modello vuol dire usarlo a nome di un altro, che poi riceve il conto.

Le vittime, scrive Google, sono organizzazioni in Nord America, Sud America e Asia-Pacifico, nei servizi finanziari, nel commercio, nella tecnologia e nei trasporti. Gli attacchi hanno toccato fornitori diversi, sia di cloud sia di modelli. E dietro gli attacchi Google ha individuato più gruppi criminali, in più regioni del mondo, tutti mossi dai soldi.

Poi i numeri. In singoli incidenti gli addebiti fraudolenti hanno superato i 100.000 dollari in un solo giorno. In alcune organizzazioni il totale ha raggiunto il milione di dollari prima che l’accesso venisse revocato.

Google lo mette accanto a un furto più vecchio, il cryptojacking: usare di nascosto i computer di altri per produrre criptovalute. Quello consuma le risorse piano, un poco alla volta. Il LLMjacking, scrive Google, può far schizzare le spese in poche ore.

Il danno si fa in ore. E la fattura del cloud, chi la guarda ogni ora?

Come entrano: una chiave lasciata in giro

Nei casi seguiti da Mandiant la porta d’ingresso più comune è una: credenziali del cloud esposte o rubate. Il rapporto ne elenca i tipi. Le credenziali degli utenti dell’account cloud. Le chiavi degli account di servizio, cioè gli account che usano i programmi, non le persone. I token personali di GitHub, cioè i codici che permettono ai programmi di entrare a tuo nome nel servizio dove si tiene il codice. E i token di sessione ancora attivi.

Un token di sessione è il braccialetto che un sito ti dà dopo che hai fatto l’accesso: finché lo porti, il sito non ti chiede di nuovo la password. Chi lo copia entra come te. È lo stesso bottino che cercano i programmi spia di cui ho scritto a proposito degli infostealer, quelli che rubano password e sessioni dal computer.

Poi ci sono le chiavi API dei modelli: le stringhe che un programma usa per parlare con i modelli di OpenAI, Anthropic o Google e farsi addebitare il consumo. Se non ti è chiaro cosa siano, le ho spiegate nel pezzo su OpenCode e le chiavi esposte. Uno dei gruppi descritti da Google le raccoglieva dai repository pubblici di GitHub: chiavi aziendali finite dentro codice che chiunque poteva leggere.

Infine ci sono i servizi lasciati aperti su internet. Il rapporto mostra un attaccante che prova i server Ollama esposti in rete (Ollama è un programma per far girare un modello AI sul proprio computer o su un proprio server) e cerca di registrarci sopra i suoi modelli. Lasciare questi servizi senza protezione, avverte Google, allarga i punti da cui si può essere attaccati e può far crescere di molto i costi dell’hosting, cioè dei server affittati su cui quei servizi girano.

Il dettaglio che mi ha colpito di più, però, è il modo in cui le chiavi vengono provate. Il gruppo che le pescava su GitHub le verificava con richieste minuscole, con risposte lunghe un solo token, cioè un pezzetto di parola. Una richiesta così piccola passa sotto gli allarmi che scattano quando il traffico cresce in modo strano: secondo Google, in questo modo il gruppo confermava che le chiavi funzionavano restando invisibile ai sistemi di sicurezza delle vittime.

Il primo morso è da un token. Piccolo apposta.

La trappola del portale: copia e incolla

Fra i casi del rapporto ce n’è uno che parla di persuasione più che di tecnica. Lo firma un gruppo che Google chiama UNC6993.

Oltre a entrare in un’istanza cloud attraverso una chiave di un account di servizio configurata male, il gruppo aveva messo online una pagina che si spacciava per il portale d’accesso a un gruppo di utenti di modelli AI. La pagina mandava le persone sul sito vero del servizio di AI. Poi faceva incollare un blocco di testo tecnico, in gergo il «payload JSON», con dentro il token di accesso attivo. Quel token, scrive Google, veniva poi usato per aggirare la password e l’autenticazione a più fattori.

L’autenticazione a più fattori combina prove diverse della tua identità: per esempio la password e una conferma nell’app sul telefono. È la difesa che consigliano tutti, io compreso. Qui nessuno l’ha forzata. È stata saltata: in questo caso il token permetteva di usare un accesso già aperto, senza ripassare dalla password e dagli altri fattori.

Ora guarda come è costruita la trappola, perché qui entro nel mio mestiere e quella che segue è la mia lettura, non quella di Google. Nel momento in cui copia il token, la vittima è sul sito vero, all’indirizzo vero: lì controllare l’indirizzo, come si insegna nei corsi di sicurezza, non basta a riconoscere la trappola. Il passaggio decisivo arriva dopo, ed è quello che sembra il più innocuo: incollare il blocco con il token dove lo chiede la pagina finta. E l’esca è un invito a entrare in un gruppo. Chi chiede di entrare in un gruppo sta già pensando a farsi accettare, e chi pensa a farsi accettare controlla meno chi gli fa le domande.

È la stessa famiglia di truffe che ti fanno fare il lavoro sporco con le tue mani, di cui ho scritto quando Chrome ha cominciato a guardare cosa copi. Il ladro smette di forzare la serratura. Ti chiede di passargli la chiave, con gentilezza, nel posto dove ti fidi.

La password regge. Il braccialetto, se lo consegni tu, apre lo stesso.

Il mercato: chi entra e chi rivende

La parte più nuova del rapporto è l’organizzazione. Google descrive una divisione del lavoro: da una parte chi entra negli account, dall’altra chi trasforma l’accesso in soldi. I secondi gestiscono quelli che Google chiama «LLM Mixer»: centralini abusivi che fanno passare le richieste, mettono insieme gli accessi rubati e li rivendono ad abbonati del sottobosco criminale. In un’indagine, Google ha visto due gruppi distinti lavorare in coppia, uno per entrare e l’altro per incassare.

UNC6993, per esempio, usava programmi open source, con il codice pubblico che chiunque può scaricare, probabilmente per raccogliere le chiavi rubate e distribuire le richieste su più account. Google ritiene che il gruppo venda l’accesso a questi strumenti attraverso negozi del mercato nero.

E poi c’è Jet Night, il servizio da 60 dollari. Google ritiene che stia in piedi grazie alle chiavi rubate, perché il prezzo per chi lo usa è troppo sotto quelli di mercato per guadagnarci in altro modo. Un dettaglio lo tradisce. Sul suo canale Telegram pubblico il servizio ha annunciato più volte dei disservizi, e secondo Google è probabile che dipendano dalle chiavi revocate man mano che le vittime scoprono l’intrusione.

Se il collegamento indicato da Google è giusto, chi compra lì sta comprando una scommessa: che qualcun altro continui a non guardare la propria fattura.

E il mercato, secondo Google, crescerà. Gli analisti si aspettano che i criminali preferiscano sempre di più il LLMjacking al vecchio cryptojacking, perché questi centralini pagano subito e con margini alti.

Nel caso di Jet Night lo sconto aveva un pagatore. Stava dall’altra parte della fattura.

Il servizio che non avevi acceso

C’è una frase del rapporto che vale la pena leggere due volte. In più incidenti seguiti da Mandiant, i servizi di AI dell’organizzazione colpita non erano nemmeno attivi al momento dell’intrusione. Li hanno accesi gli attaccanti, con le chiavi rubate. Google cita come esempi Bedrock, il servizio di modelli AI di Amazon, e l’API di Gemini. Una volta accesi, scrive Google, quei servizi possono generare bollette enormi in pochi minuti o in poche ore.

Il che vuol dire una cosa scomoda. Per subire un attacco del genere non serve usare l’intelligenza artificiale. Basta un account cloud con le chiavi giuste finite nelle mani sbagliate.

Gli altri casi raccontano la stessa fretta. UNC6993, una volta prese le chiavi, provava a crearne di nuove e ad accendere altri servizi nei progetti delle vittime, e ha superato in fretta i 100.000 dollari di addebiti. Un altro gruppo iscriveva gli account delle vittime a contratti a consumo, sceglieva i modelli più cari e lanciava richieste in massa. Per aggirare i limiti di velocità creava e cancellava di continuo account di servizio usa e getta, e intanto teneva d’occhio la pagina della fatturazione del fornitore per vedere quanto stava spendendo. Con i soldi di un altro.

Ce n’è uno che sa di beffa. Per restare dentro senza farsi notare, un gruppo ha creato account nascosti travestiti da strumenti interni per ottimizzare la fatturazione.

Se pensi che sia roba da multinazionali, c’è un caso di qualche mese fa che racconta il contrario. Lo ha riportato The Register il 3 marzo 2026: una startup messicana di tre sviluppatori, che di solito spendeva 180 dollari al mese, si è vista addebitare 82.314 dollari in 48 ore, fra l’11 e il 12 febbraio, dopo il furto di una chiave di Google con accesso a Gemini. Secondo il racconto dello sviluppatore, l’assistenza di Google gli ha ricordato il modello di responsabilità condivisa, per cui Google protegge la piattaforma e il cliente i propri strumenti, e gli ha detto che l’addebito restava. A The Register Google non ha voluto dire se gli avrebbe fatto pagare il conto.

Nello stesso articolo i ricercatori di Truffle Security raccontavano una trappola più sottile. Per le mappe, la documentazione di Google indica di incollare la chiave direttamente nel codice della pagina: serve a riconoscere il progetto, non è pensata come un segreto. Ma se qualcuno, nello stesso progetto, attiva l’API di Gemini, quella chiave pubblica diventa anche una chiave per Gemini. Passando al setaccio milioni di siti, Truffle ne aveva trovate 2.863 ancora attive e valide anche per Gemini. Google ha risposto di aver già messo in campo misure per riconoscere e bloccare le chiavi finite in rete che provano ad accedere a Gemini; al 2 febbraio, scriveva The Register, Google diceva a Truffle di stare ancora lavorando alla correzione alla radice.

La chiave che apriva una mappa può aprire anche il portafoglio.

E se sei una piccola impresa?

Il rapporto di Google descrive attacchi a organizzazioni di diversi settori, senza precisarne le dimensioni, e i suoi consigli, a leggerli, sono scritti per chi ha una squadra di sicurezza. Fra le regioni colpite che elenca, l’Europa non compare. La mia lettura è che questo dica dove Mandiant ha lavorato, più che dove i criminali si fermano. E che il punto debole sia lo stesso anche in un’azienda di cinque persone, magari più scoperto.

Pensa a dove stanno le chiavi API in una piccola impresa che usa l’AI. Nell’automazione che smista le email. Nel chatbot del sito. Nello script che ha preparato il consulente esterno. Nel foglio condiviso dove qualcuno le ha salvate «per comodità». Capita che nessuno abbia messo un tetto di spesa, perché il consumo normale è di pochi euro al mese. E un consumo piccolo e regolare è proprio quello che nessuno sta a guardare.

C’è poi chi usa un programma che fa da centralino fra più modelli, come LiteLLM. Google racconta un gruppo che ha sfruttato una falla di LiteLLM, la CVE-2026-40217, per trasformare chiavi normali in credenziali da amministratore. Di LiteLLM ho già scritto due volte nelle ultime settimane: quando la chiave era finita nei log, i registri delle attività di un programma, e quando è venuta fuori una chiave rimasta accesa da maggio. Google chiede di mettere anche questi centralini nell’elenco delle cose da aggiornare in fretta: da lì passano le richieste verso più modelli.

Prima del conto enorme, spesso, c’è una prova minuscola. È lì che conviene guardare.

Come portarlo nel tuo lavoro

Le difese che Google consiglia sono pensate per squadre di sicurezza. Le ho tradotte per chi ha un account cloud o qualche chiave API e nessuno che li guardi a tempo pieno. I primi sei punti vengono dal rapporto; gli ultimi due sono regole mie.

1. Metti un tetto di spesa e un avviso. Google consiglia quote per ogni modello e limiti di spesa. Imposta un avviso appena il consumo esce dal solito e, dove il fornitore lo permette, un limite oltre il quale le richieste si fermano. Un tetto basso non ferma il ladro, ma gli accorcia la corsa.
2. Dai a ogni chiave un compito solo. Google consiglia di limitare ogni chiave a certi modelli, a un ambiente e a un volume di uso, così una chiave rubata per un modello piccolo non può chiamare quelli più cari. Una chiave per l’automazione delle email, una per il chatbot: se ne perdi una, sai quale spegnere.
3. Tieni le chiavi fuori dal codice e dai fogli condivisi. Google consiglia un posto unico dove custodirle e cambiarle con regolarità, e un controllo automatico che le trovi se finiscono nel codice su GitHub. Se un fornitore ti ha costruito un’automazione, chiedigli dove ha messo le chiavi e chi può vederle.
4. Fatti avvisare se qualcuno accende un servizio AI. Per Google ogni attivazione non autorizzata va trattata come un evento critico. Se nel tuo account cloud l’AI non la usi, togli il permesso di accenderla: Google consiglia di negare ogni permesso che non serve, compreso l’accesso ai servizi di AI.
5. Guarda anche le richieste piccole. Google suggerisce di cercare nei registri le richieste minuscole e strane, come quelle da un solo token: sono le prove che i ladri fanno prima di partire.
6. Chiudi i modelli che fai girare da te. Se usi Ollama o un servizio simile su un server, controlla che non sia raggiungibile da chiunque su internet. Un servizio lasciato aperto si usa anche senza chiave.
7. Il token resta sul sito dove nasce. Questa è una regola mia. Se una pagina ti chiede di copiare un blocco di testo dal sito di un servizio e di incollarlo da un’altra parte, fermati e chiedi a chi segue la tua sicurezza. Nel caso raccontato da Google, quel blocco valeva quanto la password e il secondo fattore messi insieme.
8. Diffida dell’AI troppo scontata. Anche questa è mia. Un abbonamento «illimitato» a un modello di punta, a una frazione del prezzo ufficiale, venduto da un rivenditore che non conosci: nel caso di Jet Night, secondo Google, dietro c’erano chiavi rubate. E anche a voler chiudere un occhio, un servizio alimentato da chiavi rubate può fermarsi quando quelle chiavi vengono revocate.

Per il secondo fattore, Google raccomanda un’autenticazione a più fattori resistente al phishing, cioè che un sito finto non riesca a farsi consegnare: per esempio una chiavetta di sicurezza fisica o una passkey, la chiave digitale che resta sul tuo telefono o sul computer e che sblocchi con il PIN, l’impronta o il volto. Se gestisci da solo l’account cloud dell’azienda, è il primo regalo da farti.

L’AI che usi ha un prezzo. Controlla che sul tuo conto finisca solo il consumo che hai deciso tu.

Domande frequenti

Cos’è il LLMjacking?

È il furto dell’accesso ai modelli di intelligenza artificiale di un’organizzazione: chi attacca entra con credenziali del cloud o chiavi API rubate, oppure sfrutta servizi lasciati aperti su internet, e usa i modelli mentre la vittima paga il consumo. Il nome unisce LLM, i grandi modelli linguistici, e «hijacking», dirottamento. Google lo descrive nel rapporto pubblicato il 2 novembre 2026.

Quanto può costare un attacco?

Negli incidenti seguiti da Mandiant nel 2026 gli addebiti fraudolenti hanno superato i 100.000 dollari in un giorno e, in alcune organizzazioni, hanno raggiunto il milione di dollari prima che l’accesso venisse revocato. Nel caso della startup messicana raccontato da The Register a marzo, 82.314 dollari in 48 ore contro una spesa abituale di 180 dollari al mese.

Chi paga la bolletta?

Il rapporto di Google descrive costi che finiscono alle vittime prima che si accorgano dell’intrusione. Nel caso della startup messicana, secondo lo sviluppatore, l’assistenza di Google ha invocato la responsabilità condivisa; a The Register Google non ha detto se avrebbe fatto pagare il conto. Conviene quindi organizzarsi come se toccasse a te.

Ci sono vittime in Italia?

Il rapporto elenca organizzazioni in Nord America, Sud America e Asia-Pacifico; l’Europa non compare fra le regioni citate. Questo racconta dove sono avvenuti gli incidenti seguiti da Mandiant. Nel rapporto non trovo nessuna frase che dica che l’Europa sia al riparo.

Uso ChatGPT o Claude solo dal browser: mi riguarda?

Il rapporto parla soprattutto di chiavi API e di account cloud, cioè degli accessi che usano i programmi e le aziende. Il trucco del portale finto, però, lavorava sui token di accesso delle persone: se una pagina ti chiede di copiare qualcosa dal sito di un servizio AI e incollarlo altrove, vale la stessa regola. E il secondo fattore sull’account resta una buona idea.

Come capisco se una mia chiave è stata usata da altri?

Guarda i consumi nel pannello del fornitore: picchi improvvisi, modelli che non usi, chiavi o servizi che non hai creato tu. Google suggerisce di cercare anche le richieste minuscole, come quelle da un solo token, che servono ai ladri per provare le chiavi. Se trovi qualcosa, revoca la chiave, creane una nuova e apri subito una segnalazione al fornitore.

Fonti

• Google Threat Intelligence Group, «The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources», 2 novembre 2026
• SiliconANGLE, «Google finds ‘LLMjacking’ attackers running up $100K a day in fraudulent cloud charges», 2 novembre 2026
• Help Net Security, «Stolen AI access leaves companies with cloud bills of up to $1 million», 3 novembre 2026
• The Hacker News, «Google Warns LLMjacking Attacks Are Costing Some Enterprises Up to $1 Million in Cloud Charges», 3 novembre 2026
• The Register, «Dev stunned by $82K Gemini bill after unknown API key thief goes to town», 3 marzo 2026