[이슈밸리=한유진 기자] 기업의 인공지능 모델 접근 권한을 탈취해 악의적인 활동에 악용하거나 암시장에 재판매하는 사이버 범죄인 LLM재킹이 기승을 부리고 있다.
4일 맨디언트와 구글 위협 인텔리전스 그룹이 발표한 보고서에 따르면 최근 북미, 남미, 아시아 태평양 지역의 금융 서비스, 리테일, 기술, 운송 등 다양한 산업군을 표적으로 삼은 LLM재킹 공격이 다수 포착됐다.
컴퓨팅 자원을 점진적으로 소모하는 크립토재킹과 달리 LLM재킹은 단기간에 막대한 사용 비용을 유발하는 특징을 보인다.
실제로 하루 만에 10만달러 이상의 부정 사용 요금이 발생하거나 누적 피해액이 100만달러에 도달해서야 무단 접근을 차단한 피해 사례가 관찰됐다.
공격자들은 자격 증명 탈취나 세션 하이재킹을 비롯해 공개된 깃허브 저장소에 노출된 유효 자격 증명을 수집해 표적 시스템에 침투했다.
이후 탈취한 API 키를 불법 중계 서버로 묶어 무단 접근 권한을 사이버 범죄 암시장에 대폭 할인된 가격으로 되파는 방식으로 수익을 창출했다.
한 불법 토큰 라우팅 서비스는 월 60달러 수준에 프런티어 모델 무제한 이용을 제공해 피해 기업에 약 100만달러의 요금이 청구되게 만들었다.
또 다른 공격자는 8시간이 채 되지 않는 동안 50만건 이상의 LLM API 호출을 실행하면서 한도 우회를 위해 수명이 짧은 서비스 계정을 연속 생성·삭제하는 소각 및 교체 전략을 사용하고 클라우드 청구 내역을 지속 모니터링했다.
존 헐트퀴스트 GTIG 수석 애널리스트는 "공격자들은 LLM재킹을 적극 활용해 방어자보다 규모 측면에서 우위를 점하려 한다"고 설명했다.
이어 "기업이 빠르게 도입 중인 AI 모델과 컴퓨팅 자원을 면밀히 모니터링하고 보호하지 않으면 제3자가 자원을 무단으로 악용할 수 있다"며 "자원 사용 내역을 철저히 점검하고 다중 인증을 활성화하며 계정 정보를 신중하게 관리해야 한다"고 밝혔다.
