35 000 атак за месяц, скидки до 60%. Хакеры придумали, как заставить корпорации оплачивать работу чужих нейросетей
Тревожнее всего то, что доступы уходят тихо и без взлома в привычном смысле.
Специалисты из команды Pillar Security зафиксировали масштабную и системную кампанию атак на инфраструктуру искусственного интеллекта, которая показывает, как киберпреступность быстро адаптируется к развитию ИИ-технологий и превращает их в источник дохода.
В период с декабря 2025 года по январь 2026 года исследовательская инфраструктура компании зафиксировала около 35 000 атакующих сессий, направленных на открытые LLM-сервисы и узлы Model Context Protocol. Кампания получила название Operation Bizarre Bazaar и стала первым публично описанным случаем организованного «LLMjacking» с полноценной коммерческой монетизацией. Речь идёт о несанкционированном доступе к инфраструктуре больших языковых моделей с последующей перепродажей вычислительных ресурсов и API-доступа.
Схема атаки выстроена как цепочка из разведки, проверки и перепродажи. Сначала распределённая бот-сеть сканирует интернет в поиске открытых сервисов вроде Ollama, vLLM и MCP-узлов. Затем инфраструктура, связанная с проектом silver.inc, проверяет найденные точки доступа, тестирует ключи и возможности моделей. После этого доступ перепродаётся через подпольный маркетплейс под видом «единого API-шлюза» к десяткам LLM-провайдеров со скидками 40–60%, при этом реальные владельцы инфраструктуры оплачивают все расходы.
Авторы отчёта связывают операцию с актором под псевдонимом Hecker, также известным как Sakuya и LiveGamer101. На его причастность указывают данные админ-панели silver.inc, пересечения инфраструктуры с другими сервисами, общие сетевые элементы и характерная синхронизация сканирования и попыток эксплуатации с разницей в несколько часов.
Опасность подобных атак выходит далеко за рамки хищения вычислительных ресурсов. Компрометация LLM-узлов может приводить к утечке данных из контекстных окон и истории диалогов, а открытые MCP-серверы создают условия для бокового перемещения внутри корпоративных сетей, доступа к файловым системам, базам данных и облачным API. Отдельно зафиксирована и параллельная кампания разведки, нацеленная именно на MCP-инфраструктуру, доля которой к концу января достигла около 60% всего вредоносного трафика.
В Pillar Security подчёркивают, что активность злоумышленников продолжается, а инфраструктура перепродажи и сканирования остаётся в рабочем состоянии. По мнению команды, ситуация требует пересмотра подходов к защите ИИ-сервисов, так как открытые или слабо защищённые точки доступа становятся новым массовым вектором атак.