LLMjacking: Google alerta para roubo de chaves de IA que gera cobranças de até US$ 1 milhão; veja como se proteger
Relatório do Google mostra criminosos que roubam chaves de acesso a modelos de inteligência artificial, revendem esse acesso e deixam a conta para a vítima, que em alguns casos passou de US$ 100 mil em um único dia.
O Grupo de Inteligência de Ameaças do Google (GTIG), em conjunto com a Mandiant, publicou em 2 de novembro de 2026 um relatório sobre o chamado LLMjacking, o sequestro do acesso que empresas e desenvolvedores pagam para usar grandes modelos de linguagem na nuvem. A tática é simples de entender: o invasor consegue uma chave de API ou uma credencial de nuvem de outra pessoa, usa esse acesso para rodar pedidos a modelos de IA e quem recebe a fatura é o dono da conta. Segundo o Google, em incidentes atendidos ao longo de 2026, houve cobranças fraudulentas acima de US$ 100 mil em um só dia e, em algumas organizações, o total chegou a US$ 1 milhão antes que o acesso fosse cortado.
Como funciona o golpe
O relatório descreve uma espécie de divisão de trabalho no crime. De um lado, há grupos especializados em conseguir a entrada: eles encontram chaves esquecidas em repositórios públicos do GitHub, aproveitam chaves de contas de serviço mal configuradas, roubam tokens de sessão e procuram servidores de IA deixados abertos na internet, como instalações do Ollama sem proteção. Do outro lado, ficam os operadores do que o Google chama de "misturadores de LLM", serviços clandestinos que juntam muitas chaves roubadas, distribuem os pedidos entre elas e vendem o acesso a assinantes.
Um dos exemplos citados é o Jet Night, que oferece um plano de tokens ilimitados por cerca de US$ 60 por mês, com suposto acesso a modelos de ponta. De acordo com o GTIG, um criminoso fez mais de 500 mil chamadas de API em menos de oito horas para abastecer esse serviço, e a empresa vítima ficou com quase um milhão de dólares em custos de tokens. Para o Google, o preço baixo só se sustenta porque o serviço roda com chaves roubadas.
Outro grupo, identificado como UNC6993, invadiu uma instância de nuvem por meio de uma chave de conta de serviço mal configurada e montou uma página falsa que convidava usuários a entrar num grupo de uso de IA. Quem caía na armadilha colava ali um token de acesso ativo, o que permitia ao invasor contornar senha e verificação em duas etapas. Com as chaves em mãos, o grupo tentou criar novas chaves, ativar serviços e acumulou mais de US$ 100 mil em cobranças. Em outro caso, os invasores exploraram uma falha no LiteLLM, ferramenta usada para gerenciar o acesso a vários modelos (CVE-2026-40217).
Por que a conta cresce tão rápido
A comparação feita pelo próprio Google ajuda a entender o risco. No cryptojacking, em que o invasor usa máquinas alheias para minerar criptomoedas, o consumo costuma crescer aos poucos. No LLMjacking, o volume de pedidos pode disparar em poucas horas, porque cada chamada a um modelo avançado tem custo e os criminosos revendem o acesso a muita gente ao mesmo tempo. Um detalhe chama atenção: em vários casos, os serviços de IA nem estavam ativados na conta da vítima. Os invasores usaram as credenciais roubadas para ligar serviços como o Amazon Bedrock e a API do Gemini e só então começaram a gastar.
O que fazer para proteger suas chaves
Quem usa a API do Gemini, da OpenAI ou de outro provedor, mesmo em projetos pessoais e testes, está sujeito ao mesmo risco. A primeira regra, repetida tanto no relatório quanto na documentação oficial do Google AI Studio, é nunca colocar a chave dentro do código que vai para o GitHub nem dentro de sites e aplicativos que rodam no aparelho do usuário. O caminho recomendado é guardar a chave em variáveis de ambiente, como GEMINI_API_KEY, ou num cofre de segredos, e fazer as chamadas a partir de um servidor próprio, que acrescenta a credencial antes de falar com a API.
Também vale restringir cada chave ao mínimo necessário. No Google AI Studio, na página de chaves de API, é possível limitar uma chave apenas à API do Gemini, e no console do Google Cloud dá para restringir o uso por endereço IP, site ou aplicativo. O Google orienta ainda a apagar chaves que não estão em uso, trocar as chaves periodicamente e, se houver suspeita de vazamento, gerar uma nova, atualizar o aplicativo e desativar a antiga assim que a nova estiver funcionando.
Por fim, configure alertas de faturamento no console da nuvem para ser avisado quando o gasto subir de repente. A documentação do AI Studio lembra que esses alertas avisam, mas não bloqueiam o consumo; por isso, o relatório do GTIG recomenda também cotas por modelo e limites de gasto onde o provedor permitir, além de verificação em duas etapas resistente a phishing nas contas de administração e monitoramento dos registros de uso.
O que observar a seguir
O Google publicou indicadores dos serviços clandestinos e regras de detecção para seus clientes; resta ver se os provedores de IA vão adotar limites de gasto mais rígidos por padrão. Para quem desenvolve ou apenas experimenta modelos pagos, o recado é que uma chave de IA vale dinheiro e deve ser tratada como senha de banco: guardada fora do código, com permissões mínimas e com um alerta de gasto ligado desde o primeiro dia.
Fontes consultadas:
