Google documente l’industrialisation du LLMjacking
Mandiant, filiale de Google spécialisée dans la cybersécurité, et le Google Threat Intelligence Group ont publié, le 2 novembre 2026, un rapport sur l’industrialisation du LLMjacking. Cette pratique consiste à détourner les accès à des services payants de grands modèles de langage souscrits par des entreprises. Le rapport documente plusieurs incidents survenus en 2026 dans les secteurs de la finance, des technologies, du commerce et des transports.
Le plus souvent, les cybercriminels exploitent des identifiants cloud exposés ou volés pour utiliser des services aux frais de leurs victimes. L’autre mode opératoire consiste à exploiter des clés d’API publiées par erreur dans des dépôts de code sur GitHub pour accéder au compte de l’entreprise chez un fournisseur de LLM. Dans les deux cas, les conséquences sont similaires : la victime doit payer pour l’utilisation frauduleuse de ses ressources.
Les chercheurs font état de dépenses frauduleuses dépassant parfois 100 000 dollars (89 000 euros) en une seule journée. Chez certaines victimes, le préjudice cumulé a atteint un million de dollars (890 000 euros) avant la révocation des accès. Les cybercriminels peuvent exploiter eux-mêmes les ressources détournées ou les revendre par l’intermédiaire de « LLM Mixers ». Ces passerelles centralisent des identifiants volés et acheminent les requêtes de leurs clients vers les services de LLM en utilisant les comptes compromis.