Google : des clés d'accès à l'IA volées ont coûté jusqu'à 100 000 dollars par jour à des entreprises victimes, selon Mandiant

Le 2 novembre, Google a publié un rapport de ses équipes Mandiant et Google Threat Intelligence Group sur le « LLMjacking », le détournement d’accès payants à des modèles d’IA : lors de plusieurs interventions menées en 2026 chez des entreprises de la finance, du commerce, de la technologie et du transport, des attaquants ont utilisé des clés API (identifiants techniques qui permettent à un logiciel d’appeler un service d’IA et de le facturer au compte de l’entreprise) ou des comptes cloud volés pour consommer des modèles haut de gamme, puis revendre cet accès à bas prix via des passerelles clandestines que Google appelle « LLM Mixers ». Dans certains cas, les frais frauduleux ont dépassé 100 000 dollars en une seule journée et le cumul a atteint un million de dollars avant que l’accès ne soit coupé ; un service de revente a passé plus de 500 000 appels en moins de huit heures sur le compte d’une seule victime, et proposait un abonnement « illimité » à environ 60 dollars par mois. Les clés sont récupérées dans des dépôts de code publics, via des comptes de service mal configurés ou des pages d’hameçonnage qui font coller un jeton de session, et les attaquants vérifient leur validité par des requêtes minuscules pour passer sous les alertes de volume. Ce rapport arrive après deux incidents chez des hébergeurs d’applications utilisés par des prestataires de développement : Northflank, dont des clients ont signalé le 30 octobre un usage non autorisé des clés d’IA stockées sur sa plateforme, qui leur a demandé de considérer tous leurs secrets comme compromis et de les remplacer, et Trigger.dev, qui a reconnu le 1er novembre qu’un attaquant avait accédé aux variables d’environnement (les réglages où sont rangées ces clés) d’une partie de ses clients. Nous signalions le 25 octobre les plafonds de dépense par équipe chez Anthropic ; la nouveauté est la démonstration, chiffrée par un intervenant de premier plan, que la facture d’une clé volée arrive en quelques heures, au nom de l’entreprise. Ce que cela change pour vous : demandez à votre prestataire ou à votre informaticien la liste des clés d’IA ouvertes au nom de l’entreprise et l’endroit où elles sont stockées, puis faites fixer chez chaque fournisseur (OpenAI, Anthropic, Google, Microsoft Azure, AWS) un plafond de dépense mensuel et une alerte de facturation, et exigez le remplacement immédiat des clés si l’un de vos outils est hébergé chez Northflank ou Trigger.dev.