Как токен искусственного интеллекта может разбить миллионы долларов?

Один API-переключатель, который подключается к прокси-сервису, работающему на сером рынке за считанные минуты. Когда его заметили и закрыли, счет приблизился к миллиону долларов. Этот случай, описанный в отчете Palo Alto Networks Unit 42 от 6 августа 2026 года, показывает масштаб модели преступления, называемой кражей токенов. В этой статье о том, как работает атака, а значит, ключи просачиваются, и о мерах, которые могут предпринять разработчики.

Что такое кража токенов искусственного интеллекта?

Воры токенов — это использование API-ключей, которые разработчики производят для программного доступа к платформам искусственного интеллекта. Токен здесь не означает cookie сеанса браузера. Токен, ввод и вывод текста в языковых моделях является наименьшим блоком, который выставлен на счет. Кража переключателя означает ручную замену покупательной способности с прямой оплатой.

Важность разделения исходит от механизма. Когда имя пользователя и пароль украдены, он вступает в агрессию. При краже переключателя API злоумышленник заходит внутрь двери, предназначенной для автоматических процессов, не сталкиваясь с каким-либо экраном ввода. Основываясь на анализе, опубликованном Unit 42 Доступ к лимитным моделям стоит дорого, а пространство ограничено, украденный ключ стал быстро черным товаром.

Почему затраты растут так быстро?

Потребление услуг искусственного интеллекта не зависит от заранее определенной цели. Длинные чаты, большие окна контекста, вызовы транспортных средств и циклы агентов производят разные объемы друг от друга в одном аккаунте. Большинство поставщиков не устанавливают жесткий потолок потребления для обеспечения непрерывного рабочего процесса; они накапливают использование и счет-фактуру в конце периода.

Именно здесь и происходит атака. Разрыв между моментом, когда счет виден с момента кражи, измеряется днями. Жертва не получает предупреждения, которое показывает ее, когда речь идет о потере. Использование AI Home плата за токены Сидя в логике, эта полость распространяется на всю отрасль.

Разница в стоимости также увеличивает счет. Сборы за миллион токенов в лимитных моделях Модель Claude Как видно, он может достигать десятков долларов в длительных контекстных операциях. Когда автоматическая рабочая нагрузка выполняется в те же ключевые дни, общий корпоративный бюджет увеличивается до размера.

Как работают трансферные станции?

Место, куда идут украденные коммутаторы, — промежуточный слой, называемый передающей станцией. Эти услуги, входящие между официальным поставщиком и конечным пользователем, продают доступ к лимитным моделям по розничной цене. Большая часть объявлений публикуется на китайских рынках, таких как Taobao, и оплата производится с помощью анонимного кредита, который производит продавец.

Техническая сторона не так сложна, как кажется. Большая часть станций new-api и one-api Работает на программном обеспечении с открытым исходным кодом. Этот уровень идентификации скрыт, осуществляется возврат реальных ключей, выставление счетов, маршрутизация моделей и нормализация подсказок. Согласно выводам, переданным в Cybersecurity News Эти инфраструктуры могут генерировать десять миллионов вызовов API в день.

Вторую жертву цепи часто не видно. Для дешевого доступа подсказки разработчика на станцию направлены на более слабые модели, чем заявлено. Сеансы могут отслеживаться и сканироваться для получения конфиденциальных данных и стать целью сегодняшнего клиента завтра.

Какие дороги являются API коммутаторами?

Непрерывный свежий переключатель необходим, чтобы оставаться дешевым с пересадочных станций. Поскольку розничная цена не берет и не продает скидку, операторы обращаются к украденным учетным данным. Способ, которым блок 42 компилирует:

Информационное программное обеспечение Burglar: Информация и зарегистрированные сессии собираются с машин разработчиков.

Кампании Oltalama: Учетные записи авторизованных разработчиков являются целевыми; новый ключ создается с адресом учетной записи, модель производится, лимиты расходов снимаются, а регистрация с оповещениями об использовании отключена.

Магазины, оставшиеся на: Готовые ключи собираются путем сканирования неправильно структурированных файлов и общих хранилищ кода.

Продавцы доступа: Учетные записи привилегированных разработчиков на рынках темных сетей удаляются непосредственно в продаже.

Ядовитые пакеты npm: Самопроизводящие пакеты объединяют идентификационную информацию из установленной среды в следующие версии, которые публикует разработчик.

Вес последнего вещества раздельный. Unit 42 in npm Threat View Report (недоступная ссылка) Идентификационная информация, собранная в кампаниях Шай-Хулуда и Миасмы, указывает на то, что станции передачи находятся в объеме, который может питаться годами. Эффект мультипликатора, созданный утечкой в цепочку поставок, ранее рассмотренный в Masqot Кибер-атака AI Агент Он действовал по той же логике.

Разница между токеном Кража и кража паролей

Переключатель искусственного интеллекта, украденный с украденным паролем, не может быть оценен в той же категории с точки зрения защиты. Разница возникает, когда вред накапливается и не был взят обратно.

Заключительная строчка на столе — мотор криминальной модели. Получатель украденной учетной записи электронной почты является узким; получатель украденной модели ограниченного доступа - это любой, кто ищет дешевую вычислительную мощность. Альянс облачной безопасности Результаты исследования опубликованы в LLMjacking Этот доступ теперь передается не только для свободного использования, но и для питания инструментов атаки. Расчетная мощность, Вредные модели искусственного интеллекта Home Она превращается в инфраструктуру сценариев, обсуждаемых под заголовком.

Как разработчики защищают себя?

Большая часть защиты не берет новый продукт, она требует ужесточения существующих настроек. Названия, рекомендованные Единицей 42, могут быть собраны следующим образом:

Опишите предел отмены: Вы можете определить верхний предел в учетной записи и создать предупреждение при пометке базовой линии потребления.

Переключитесь на токены короткой жизни: Используя маркер долана вместо длительного переключателя доступа, сужает окно при открытии утечки.

Обзор привилегированных аккаунтов: Каждый счет, который может предоставить ресурсы или изменить лимит расходов, должен контролироваться индивидуально.

Ограничение сети: Ключ может использоваться только из определенной сети, предотвращает работу украденной информации на станции передачи.

Проверьте среду разработки: Сканирование упаковок перед входом в трубопровод предотвращает ключевой сбор токсичной зависимости.

Особенно выделяется деталь: внезапное увеличение использования не является проблемой бухгалтерского учета, а является условием, которое требует вмешательства инцидента. Оценка передана в Cybernews Оповещения и записи указываются в учетных записях, где злоумышленники захвачены. Само молчание следует считать сигналом.

Какие меры контроля применяются к институтам?

Проблема с корпоративной стороны решается индивидуально. С ними сотни складов и постоянно меняющихся агентов становятся недоступными даже там, где стоят коммутаторы. Рекомендуемый подход к переносу переключателей из среды разработчика в плоскость центрального аудита.

Искусственный интеллект видит эту функцию. Когда весь модельный трафик проходит из одной точки, на командной основе появляются действия агента и расходы на токены. Соответствие шлюза с аутентификацией машины позволяет каждому вызову подключаться к проверенному человеку. Неопознанный звонок — неизвестный звонок источника.

Определение предела сети для расчетных ресурсов также служит той же цели. Даже если коммутатор не используется вне корпоративной сети, сценарий передачи станции закрывается раньше. Общим моментом в тех случаях, когда терялся ни один из этих слоев.

Часто задаваемые вопросы

Что такое воры токенов? Использование API-коммутаторов, обеспечивающих программный доступ к платформам искусственного интеллекта, крадется и записывается на аккаунт жертвы. Токен здесь представляет собой текстовый блок, основанный на выставлении счетов в языковых моделях, а не на информации о сеансе браузера. Украденный ключ означает готовую покупательную способность злоумышленника. Полученный доступ в основном продается на сером рынке.

Как понять, что ключ украден? Наиболее надежным сигналом является резкое и жесткое отклонение от используемой базовой линии потребления. Кроме того, появляются сильные симптомы того, что новые ключи, не созданные на счете, изменения лимитов расходов и настроек оповещения или записи молча закрыты. Также следует пересмотреть подписи клиентов, которые повторяются в звонках из неизвестных источников.

Можно ли снять счет с украденного ключа? На практике это очень сложно. Не существует встроенного способа восстановления, чтобы подать заявку на жертв, поскольку использование осуществляется и измеряется поставщиком. Подразделение 42 сообщает, что сумма может достигать размера, который можно втянуть в небольшие компании. По этой причине защита устанавливается на профилактику, которая не компенсируется.

Рискованно ли пользоваться трансферной станцией? Да, как юридически, так и технически рискованно. Источником доступа к этим услугам в основном являются украденные учетные данные. Он может быть направлен на другие и более слабые модели, чем заявленные пользователем. Поскольку содержимое сессии может быть записано и отсканировано для конфиденциальных данных, разработчик отказался от конфиденциальности своего проекта в обмен на дешевый доступ.

Что должны делать небольшие команды в первую очередь? Первым шагом является то, где переключатель останавливается. Затем должен быть определен предел расходования каждого счета и предупреждение об отклонениях, токены с длинным сроком службы должны быть заменены токенами с коротким сроком службы. Удаление хранилищ кода и файлов из сканирования утечки является недорогим, но эффективным шагом.

То, что позволяет атаковать в тех случаях, когда блок 42 задокументирован не был продвинутой техникой, это был открытый набор. В период, когда расходы на искусственный интеллект продолжают расти в корпоративных бюджетах, вопрос о том, где остановится коммутатор, теперь считается вопросом безопасности. Единственный документ, показывающий стоимость утечки, часто приходится на конец месяца.