گزارش جدید گروه اطلاعات تهدید گوگل (GTIG) نشان می‌دهد که گروه‌های هکری به طور فزاینده‌ای در حال استفاده از روشی موسوم به ال‌ال‌ام‌جکینگ (LLMjacking) برای ربودن ظرفیت هوش مصنوعی شرکت‌ها و تحمیل صورت‌حساب‌های سنگین ابری به آن‌ها هستند. در این شیوه که طی دو سال گذشته محبوبیت زیادی میان مجرمان سایبری یافته است، مهاجمان به جای پرداخت هزینه‌های بالای مدل‌های زبانی بزرگ پیشرو، توکن‌ها و اشتراک‌های سازمان‌های دیگر را برای پیشبرد مراحل مختلف حملات سایبری، توسعه بدافزار و کسب درآمد سرقت می‌کنند.
به گزارش رسانه اخبار تکنولوژی و فناوری تکنا، بر اساس یافته‌های گوگل، هدف نهایی این حملات، ربودن منابع و کسب درآمد از مدل‌های بنیادین هوش مصنوعی از طریق پروکسی کردن توکن‌ها، استریم خودکار مدل‌ها و تخصیص سخت‌افزارهای پردازنده گرافیکی یا GPU است. برخلاف حملات استخراج رمزارز یا کریپتوجکینگ (Cryptojacking) که روندی کند دارند و انباشت هزینه‌ها در آن‌ها زمان‌بر است، در روش ال‌ال‌ام‌جکینگ هزینه‌های تحمیلی به قربانی می‌تواند تنها در شش دقیقه به ارقام شش‌رقمی برسد. به عنوان نمونه، گروه هکری UNC6993 پس از دستیابی به کلیدهای رابط برنامه‌نویسی کاربردی یا API یک مدل زبانی، با تولید کلیدهای بیشتر و فعال‌سازی سرویس‌های مرتبط در پروژه‌های ابری قربانی، به سرعت بیش از ۱۰۰ هزار دلار هزینه روی دست سازمان هدف گذاشت.
بیشتر گروه‌های مهاجم کار خود را با تمرکز بر نقاط پایانی بی‌پشتوانه مدل‌های زبانی یا سرقت کلیدهای معتبر API آغاز می‌کنند. آن‌ها در بسیاری از موارد با استفاده از توکن‌های هویتی ابری سرقت‌شده شامل اطلاعات کاربری مدیریت هویت و دسترسی یا IAM، کلیدهای حساب سرویس، توکن‌های دسترسی شخصی گیت‌هاب و توکن‌های نشست‌های فعال، جای پای اولیه‌ای در زیرساخت سازمان هدف ایجاد می‌کنند و سپس به صورت سیستماتیک به ارتقای سطح دسترسی و تثبیت نفوذ خود می‌پردازند.
در یکی دیگر از موارد بررسی‌شده توسط گوگل، مهاجمان حساب‌های کاربری قربانی را در قراردادهای پرداخت به ازای مصرف مشترک کردند و با انتخاب مدل‌های بنیادین گران‌قیمت، جریان‌های سنگین پردازش و استنتاج به راه انداختند. این هکرها برای دور زدن محدودیت‌های نرخ درخواست، از راهبرد ایجاد و حذف مداوم حساب‌های سرویس با عمر کوتاه استفاده می‌کردند و هم‌زمان بخش مالی سرویس‌دهنده ابری را برای رصد هزینه‌ها زیر نظر داشتند. همچنین در پرونده‌ای دیگر، یک عامل تهدید با فعال‌سازی عامل‌های هوش مصنوعی، استقرار پروکسی‌های معکوس عمومی و استفاده از بسته‌های پروکسی سفارشی نود جی‌اس (Node.js)، نقاط پایانی سازگار با چندین مدل پیشرو را تحت نام مستعار D1337-KAIROS عرضه کرد. این مهاجم یک در پشتی کانتینرشده نیز مستقر کرده بود که برای تحلیل دستورالعمل‌ها و اجرای محلی فرمان‌ها، از یک مدل زبانی بالادستی کمک می‌گرفت.
گزارش گوگل حاکی از آن است که اکوسیستم ال‌ال‌ام‌جکینگ با سرعت زیادی به بلوغ رسیده و تقسیم کار مشخصی در آن شکل گرفته است؛ به طوری که در یک پرونده، دو خوشه عملیاتی مجزا برای نفوذ به زیرساخت‌های سازمانی و کسب درآمد از آن‌ها با یکدیگر همکاری می‌کردند. در این ساختار، گروه اول دسترسی اولیه به محیط‌های آلوده را فراهم می‌کند و گروه دوم که میکسرهای ال‌ال‌ام (LLM Mixers) نامیده می‌شوند، زیرساخت‌های مالی پایین‌دستی را مدیریت می‌کنند. این میکسرها با بهره‌گیری از درگاه‌های API متن‌باز و زیرساخت‌های رله سفارشی، اطلاعات کاربری سرقتی را تجمیع می‌کنند، میزان مصرف را می‌سنجند، مبدأ اصلی درخواست‌ها را پنهان می‌سازند و دسترسی‌های غیرمجاز را به مشترکین زیرزمینی می‌فروشند.
گوگل با اعلام اینکه مهاجمان سایبری به زودی این روش را به بهای کنار گذاشتن سایر شیوه‌های سرقت منابع در اولویت قرار می‌دهند، به سازمان‌ها هشدار داده است که نظارت بر پلتفرم‌های هوش مصنوعی خود را افزایش دهند. این شرکت از سازمان‌ها خواسته است شناسایی تغییرات در حساب‌ها و سرویس‌های مدل‌های زبانی را در اولویت بگذارند، با هرگونه فعال‌سازی غیرمجاز به عنوان یک رخداد امنیتی بحرانی برخورد کنند و با اجرای اصل حداقل دسترسی، تنها مجوزهای کاملاً ضروری را در اختیار کاربران و حساب‌های کاربری قرار دهند.
| پیشنهاد ویژه : تعمیر کامپیوتر |