요금 폭탄 뒤에 숨은 LLM 접근 권한 탈취 공격

AI 요약

구글 위협 인텔리전스 그룹(GTIG)은 사이버 범죄자가 기업의 클라우드와 모델 접근 권한을 탈취해 LLM 믹서로 묶어 지하 구독 서비스로 되팔아 하루 10만 달러를 넘는 허위 클라우드 요금을 발생시키고 일부 사건에서는 누적 요금이 100만 달러에 달했다고 경고했습니다. LLM 믹서는 탈취한 API 자격 증명을 한데 모아 요청을 중계·분산하고 출처를 숨기는 범죄용 라우팅 게이트웨이이며, 해킹 조직 UNC6993의 new-api·gcli2api 사용 사례와 젯 나이트가 8시간 미만에 50만 건이 넘는 LLM API 호출을 실행해 피해 기업에 거의 100만 달러의 토큰 비용을 떠넘긴 사례가 보고되었습니다. 공격자는 IAM 자격 증명·서비스 계정 키·깃허브 개인 액세스 토큰·활성 세션 토큰 등을 탈취해 max-tokens=1 같은 초소형 요청으로 키를 검증하며 탐지를 회피하고, GTIG는 자격 증명 관리 강화, 최소 권한 원칙·세분화된 API 키 범위 설정, 의심스러운 소량 요청 모니터링, 모델 사용량 지출 한도 설정 및 게이트웨이 취약점 모니터링을 권고했습니다.