Google เตือนภัย! การโจมตีแบบ "LLMjacking" แฮกทรัพยากร AI และคลาวด์องค์กร ค่าเสียหายทะยานหลักล้านดอลลาร์

ช่วงนี้เรื่องความปลอดภัยบนคลาวด์เดือดขึ้นเรื่อยๆ ครับ เมื่อล่าสุดทาง Google ได้ออกมาเตือนภัยเกี่ยวกับรูปแบบการโจมตีใหม่ที่เรียกว่า "LLMjacking" ซึ่งเป็นการแฮกเพื่อขโมยสิทธิ์การเข้าถึงโมเดลภาษาขนาดใหญ่ (LLM) ขององค์กร เพื่อนำทรัพยากรการประมวลผลและบริการ AI ราคาแพงไปใช้ประโยชน์โดยทุจริต ขณะที่เจ้าของตัวจริงต้องแบกรับค่าใช้จ่ายมหาศาล

จากการเปิดเผยของ Google Threat Intelligence Group และ Mandiant ระบุว่า การโจมตีลักษณะนี้พบได้ในหลายภูมิภาคทั่วโลก ทั้งอเมริกาเหนือ อเมริกาใต้ และเอเชียแปซิฟิก ครอบคลุมตั้งแต่ภาคการเงิน ค้าปลีก เทคโนโลยี ไปจนถึงการขนส่ง

ความน่ากลัวคือ ต่างจากการขุดคริปโต (Cryptojacking) ที่ค่อยๆ สูญเสียทรัพยากรไปทีละน้อย แต่ LLMjacking สามารถสร้างบิลค่าใช้จ่ายบนคลาวด์พุ่งสูงทะลุหลักแสนดอลลาร์สหรัฐฯ ได้ภายในเวลาเพียงไม่กี่ชั่วโมง และบางองค์กรโดนบิลสะสมทะลุกว่า 1 ล้านดอลลาร์ก่อนที่จะระงับสิทธิ์ทัน

ช่องทางที่แฮกเกอร์ใช้เจาะระบบ

แฮกเกอร์มักจะเริ่มต้นจากการขโมยโทเค็นระบุตัวตนบนคลาวด์ เช่น IAM credentials, Service Account keys, GitHub Personal Access Tokens (PATs) หรือโทเค็นเซสชันที่ใช้งานอยู่ โดยมีกลุ่มแฮกเกอร์อย่าง UNC6993 ที่ใช้หน้าจอจำลองการเข้าสู่ระบบเพื่อหลอกเอา Active Access Token ของผู้ใช้งานโดยตรงเพื่อข้ามระบบตรวจสอบสิทธิ์แบบ MFA

เมื่อเจาะเข้ามาได้แล้ว แฮกเกอร์จะทำการยกระดับสิทธิ์ ค้นหาความลับที่ฮาร์ดโค้ดไว้ในซอร์สโค้ด และสร้างบัญชีบริการปลอมเพื่อฝังตัวในระบบ รวมถึงการใช้ช่องโหว่ในซอฟต์แวร์จัดเส้นทาง LLM เช่น ช่องโหว่ CVE-2026-40217 ใน LiteLLM เพื่อโจมตีต่อ

ตลาดมืด "LLM Mixers" และบริการรีเลย์

เป้าหมายสูงสุดของอาชญากรเหล่านี้คือการนำเอาโมเดลพื้นฐานมาสร้างรายได้ผ่านการพร็อกซี่โทเค็นและจัดสรรฮาร์ดแวร์ GPU นอกจากนี้ยังเกิดกลุ่มที่เรียกว่า "LLM Mixers" ทำหน้าที่เป็นเกตเวย์เราเตอร์ใต้ดิน คอยรวบรวมและขายสิทธิ์การเข้าถึง LLM ต่อในราคาถูก เช่น บริการที่ชื่อว่า Jet Night ที่เสนอแผนโทเค็นไม่จำกัดในราคาเพียง 60 ดอลลาร์ต่อเดือน

นอกจากนี้ ยังมีการตรวจพบการติดตั้ง CLI ของเครื่องมือเขียนโค้ดชื่อดัง (เช่น OpenAI Codex และ Anthropic Claude Code) ผ่านรีเลย์เซอร์วิสเถื่อน เพื่อเลี่ยงข้อจำกัดในบางภูมิภาคและรีเส้นทางคำขอผ่านเซิร์ฟเวอร์ของตนเอง โดยที่ผู้ใช้ไม่รู้ตัว

Google ทิ้งท้ายไว้ด้วยว่า อาชญากรจะหันมาให้ความสนใจกับการทำ LLMjacking มากขึ้นเรื่อยๆ ดังนั้นองค์กรต่างๆ จำเป็นต้องยกระดับความปลอดภัย ตรวจสอบช่องโหว่ของ API และป้องกันโทเค็นการเข้าถึงอย่างรัดกุมก่อนที่จะสายเกินไปครับ

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก