A sua chave de IA está a pagar a conta de outros? Há faturas de 1 milhão de dólares

Uma investigação do Google Threat Intelligence Group (GTIG) e da Mandiant mostra que o roubo de credenciais de acesso a modelos de linguagem já é um negócio criminoso organizado. Os atacantes usam chaves de API e contas cloud de empresas para consumir modelos de inteligência artificial. Depois revendem esse acesso em serviços clandestinos. A fatura fica para a vítima. Em incidentes individuais, os investigadores observaram cobranças fraudulentas superiores a 100 mil dólares num único dia, e algumas organizações acumularam 1 milhão de dólares antes de o acesso ser revogado.

O que é o LLMjacking e porque está a crescer

O relatório “The Rise of LLMJacking”, publicado a 2 de novembro, descreve incidentes ocorridos em 2026 em que atacantes sequestraram o acesso empresarial a modelos de linguagem de grande dimensão (LLM). Segundo a SiliconANGLE, entre as vítimas, na América do Norte, na América do Sul e na região Ásia-Pacífico, estão empresas de serviços financeiros, retalho, tecnologia e transportes.

A lógica é parecida com a do cryptojacking, em que os criminosos usam a infraestrutura de terceiros para minerar criptomoedas. O ritmo, porém, é muito diferente. Os investigadores sublinham que, ao contrário do consumo gradual de recursos típico do cryptojacking, o LLMjacking pode gerar picos enormes de custos cloud fraudulentos em poucas horas. O fornecedor de cloud não distingue os pedidos ilegítimos: regista-os como consumo legítimo e cobra os tokens à organização vítima.

A Google prevê que o fenómeno vai intensificar-se. O GTIG espera que os atacantes passem a privilegiar o LLMjacking em relação a formas tradicionais de roubo de recursos, como o cryptojacking, porque os novos LLM Mixers clandestinos permitem lucros imediatos e com margens elevadas.

Como os atacantes entram: credenciais expostas e contas de serviço mal configuradas

Segundo a análise, o vetor de entrada mais comum são tokens de identidade cloud expostos ou roubados, incluindo credenciais IAM, chaves de contas de serviço, tokens de acesso pessoal do GitHub e tokens de sessão ativos.

O caso mais detalhado envolve o grupo que a Google designa por UNC6993. A meio de 2026, este ator comprometeu uma instância cloud através de uma chave de conta de serviço mal configurada e usou esse acesso para chegar a uma API de LLM. Alojou também uma página de sequestro de sessão que se fazia passar por um portal de adesão a um grupo de utilizadores de LLM.

Depois de obter as chaves, o grupo aumentou a escala. Tentou gerar novas chaves de API e ativar serviços associados nos projetos cloud das vítimas, acumulando rapidamente mais de 100 mil dólares em custos. Para contornar os limites de pedidos, usou uma estratégia de “queimar e rodar”: criava e apagava continuamente contas de serviço de curta duração enquanto acompanhava o impacto financeiro na interface de faturação. Há um pormenor importante para quem defende estes ambientes: em vários incidentes investigados pela Mandiant, os serviços de LLM nem sequer estavam ativos no momento do comprometimento.

LiteLLM: uma vulnerabilidade citada com identificador por esclarecer

Os atacantes também visaram o middleware que encaminha pedidos para os modelos. No relatório, a Google descreve que um ator explorou uma vulnerabilidade de reassociação de ID de utilizador no endpoint /key/regenerate (CVE-2026-40217) para transformar chaves virtuais comuns em credenciais administrativas PROXY_ADMIN no gateway LiteLLM.

Este identificador não corresponde à descrição oficial. No aviso GHSA-wxxx-gvqv-xp7p, o CVE-2026-40217 é uma fuga da sandbox do guardrail de código personalizado. O aviso indica as versões afetadas >= 1.81.8, < 1.83.10 e acrescenta que chegar ao endpoint exige uma credencial proxy-admin nas configurações por omissão. A fuga da sandbox permite executar código arbitrário no processo do proxy, que corre como root na imagem Docker por omissão. A pontuação é CVSS 8.8 (elevada). Até à data, não foi esclarecido publicamente qual é o identificador correto da falha no /key/regenerate descrita pela Google. A recomendação prática mantém-se: em junho, a Obsidian Security divulgou uma cadeia de três falhas que inclui o CVE-2026-40217, e segundo a Obsidian, todas as correções estão incluídas no LiteLLM v1.83.14-stable e posteriores.

LLM Mixers: a revenda do acesso roubado

O relatório traz uma novidade: há uma divisão de tarefas no ecossistema criminoso. A Google documenta uma separação entre quem obtém o acesso inicial a serviços cloud e de IA comprometidos e quem gere a infraestrutura de monetização, os chamados “LLM Mixers”. Estas operações fazem passar as credenciais roubadas por gateways de API open source e relays próprios, para medir o consumo e esconder a origem de cada pedido. O UNC6993 usou ferramentas como new-api e gcli2api, provavelmente para agregar chaves roubadas, e o GTIG acredita que o grupo vende o acesso em lojas clandestinas.

O exemplo mais expressivo é o Jet Night. Um ator que fez mais de 500 mil chamadas a APIs de LLM em menos de oito horas usou chaves de terceiros roubadas para alimentar o serviço de encaminhamento de tokens jet-night.com. O Jet Night passou para a organização vítima quase um milhão de dólares em custos de tokens. O modelo de negócio confirma a suspeita: o serviço oferece um plano de tokens ilimitados por cerca de 60 dólares por mês, com alegado acesso a modelos de topo, quando um nível de serviço equivalente custaria entre 100 e 250 dólares mensais. Segundo a BleepingComputer, depois de o acesso ser revendido, o volume de pedidos pode disparar e ultrapassar por vezes os 1000 pedidos por segundo.

Há também quem use o acesso para montar infraestrutura própria. A Google refere um ator que ativou agentes, criou reverse proxies acessíveis publicamente e usou pacotes de proxy em Node.js para expor endpoints compatíveis com vários LLM de topo, sob uma persona chamada D1337-KAIROS.

Cronologia e indicadores

A Google listou os dois domínios como LLM Mixers: jet-night.com e newapi.pro. Os restantes indicadores estão disponíveis numa coleção do Google Threat Intelligence.

Como reduzir o risco

A Google recomenda negar todas as permissões que não sejam explicitamente necessárias, incluindo o acesso a serviços de LLM na cloud. O relatório inclui ainda as seguintes medidas:

• Detetar ativações: dar prioridade à deteção de alterações em contas e serviços de LLM e tratar qualquer ativação não autorizada como um evento de segurança crítico.
• Restringir as chaves: limitar e segmentar as chaves de API por endpoint de modelo, ambiente e limites de utilização, para que uma chave roubada de um modelo básico não sirva para invocar modelos caros.
• Limitar os gastos: usar tetos de despesa. A Cloud Security Alliance lembra que a documentação da Google indica que um orçamento apenas com alertas não limita automaticamente a utilização nem os gastos.
• Vigiar os registos: procurar os pedidos de um único token que os atacantes usam para validar chaves roubadas, a criação de chaves e a desativação de registos de invocação.
• Proteger as identidades: aplicar autenticação multifator resistente a phishing e garantir visibilidade sobre serviços de IA não autorizados (shadow AI).
• Atualizar o LiteLLM: instalar a v1.83.14-stable ou posterior, retirar o painel de controlo da internet pública e rodar todas as chaves a que o proxy tinha acesso.

Porque é que isto importa em Portugal

Muitas PME e organizações portuguesas já usam APIs de modelos de IA em chatbots, automações e ferramentas internas. Nestes casos, uma chave esquecida num repositório de código pode ser lida por qualquer pessoa. Com o LLMjacking, essa fuga deixa de ser um problema técnico abstrato e passa a ter um custo direto e imediato, que pode comprometer a tesouraria de uma pequena empresa em poucas horas.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de identidades, de credenciais cloud e de fornecedores faz parte das medidas de gestão de risco exigidas. Um comprometimento deste tipo pode ter de ser notificado ao CNCS/CERT.PT. As mesmas credenciais dão muitas vezes acesso a repositórios e bases de dados. Se houver dados pessoais envolvidos, o RGPD obriga a avaliar a violação e, quando aplicável, a notificá-la à CNPD no prazo de 72 horas.

Perguntas frequentes

O que é o LLMjacking?

É o sequestro do acesso de uma organização a modelos de IA na cloud, feito com chaves de API ou credenciais roubadas. Os atacantes consomem ou revendem esse acesso e os custos são cobrados à vítima.

Quanto pode custar um ataque destes?

Segundo a Google e a Mandiant, houve incidentes com mais de 100 mil dólares de custos num único dia. Em algumas organizações, o total chegou a 1 milhão de dólares antes de o acesso ser cortado.

O que são os LLM Mixers?

São serviços clandestinos que juntam chaves roubadas e revendem acesso a modelos de IA a preços muito baixos. O Jet Night, por exemplo, anunciava um plano ilimitado por cerca de 60 dólares por mês.

Qual é a medida mais urgente para uma empresa?

Definir limites de gastos que bloqueiem efetivamente o consumo, restringir cada chave de API a modelos e ambientes concretos e criar alertas para qualquer ativação de serviços de IA ou criação de novas chaves. Quem usa o LiteLLM deve atualizá-lo para a v1.83.14-stable ou posterior.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Google Threat Intelligence Group e Mandiant, pelo GitHub Advisory Database (LiteLLM), pela Obsidian Security e pela Cloud Security Alliance.