Ukradnuté AI prihlasovacie údaje poháňajú rastúcu ekonomiku LLM proxy

Škodliví aktéri zneužívajú používanie proxy serverov na skrytie svojej identity pri prístupe k modelom AI na hraniciach, čo je prax, ktorá sa v posledných mesiacoch stáva čoraz bežnejšou. Podľa správy bezpečnostnej firmy Team Cymrru bolo identifikovaných viac ako 80 000 takýchto proxy serverov, pričom mnohé používajú ukradnuté AI prihlasovacie údaje získané prostredníctvom kradnutí informácií, phishingových kampaní a útokov na dodávateľský reťazec.

Použitie proxy serverov, známych aj ako transferové stanice, umožňuje škodlivým aktérom skryť pôvod prevádzky na hraniciach modelov, čo sťažuje poskytovateľom detekciu a prevenciu útokov založených na destilácii modelov. Tento typ útoku zahŕňa cielené výzvy navrhnuté na získanie znalostí modelov, ktoré možno použiť na trénovanie a zlepšovanie iných AI modelov.

Výskumníci tímu Cymru spočiatku identifikovali 10 867 proxy serverov bežiacich na dvoch open-source relay platformách nazvaných Claude Relay Service (CRS) a jej nástupcovi sub2api. Ďalšie vyšetrovanie odhalilo celkovo viac ako 80 000 takýchto proxy, pričom mnohé využívali súbory API kľúčov alebo prihlásené spotrebiteľské predplatné na pripojenie k upstream AI službám.

Tieto transferové služby autentifikujú zákazníkov s ich vlastnými účtami, ale na prístup k AI modelom používajú ukradnuté prihlasovacie údaje. To umožňuje škodlivým aktérom obísť podmienky stanovené poskytovateľmi modelov frontier, čím umožňujú podvody a nezákonné aktivity.

Vyšetrovanie tímu Cymru spojilo niekoľko klastroch aktivít cez tieto proxy s IP adresami v Číne a Hongkongu. Výskumníci poznamenali, že viac ako polovica prenosových brán je hostovaná na VPS službách v USA, čo naznačuje zámer skryť geografickú polohu prevádzky. To by mohlo byť použité na útoky modelovej destilácie alebo iné škodlivé aktivity.

NSA, CISA a FBI zverejnili začiatkom tohto mesiaca upozornenie, v ktorom obviňujú šesť čínskych AI spoločností z priemyselnej destilácie amerických modelov prostredníctvom transferových staníc a podvodných účtov. Destilácia však nie je jediným využitím týchto služieb. Výskumníci z Palo Alto Networks varovali pred rastúcim počtom prípadov krádeže tokenov AI, kde sú ukradnuté API tokeny a prihlasovacie údaje zneužívané prostredníctvom transferových staníc.

Vyšetrovanie spoločnosti Okta Threat Intelligence odhalilo 561 Anthropic session tokenov zozbieraných z 5 871 infikovaných počítačov, vrátane 164, ktoré nevypršali v čase zverejnenia datasetu. Okrem toho výskumníci identifikovali 24 platných API kľúčov pre Gemini, OpenAI, Groq a OpenRouter, spolu s podzemnými nástrojmi navrhnutými na vyhľadávanie AI-servisných relácií v ukradnutých dátach prehliadača.

Výskumníci z Gambit Security pozorovali čínsky hovoriaceho aktéra hrozieb, ktorý overil 2 975 prihlasovacích údajov zozbieraných z 1 742 hostiteľov a nahrával funkčné kľúče do AI API brány na predaj. Kolekcia zahŕňala 448 Gemini kľúčov, 254 OpenAI, 176 Anthropic kľúčov, ako aj prihlasovacie údaje pre Groq, OpenRouter, xAI a Amazon Web Services.

Projekt sub2api bol forknutý viac ako 8 000-krát a jeho Telegram kanál má takmer 7 000 odberateľov. Jeho stránka na GitHube uvádza 26 komerčných sponzorov, vrátane predajcov API relé, predajcov proxy pre domácnosti, poskytovateľov AI účtov, siete na doručovanie obsahu optimalizovanej pre prenosovú prevádzku a služby API na generovanie médií.

Team Cymru analyzoval klaster serverov hostovaných viacerými poskytovateľmi virtuálnych súkromných serverov v USA a zistil, že viac ako 4 000 IP adries v Číne a Hongkongu sa pripájajú k 304 transferovým staniciam. Počas ôsmich dní koncom augusta tieto adresy poslali približne 14TB do relé a prijali viac ako 7TB.

Výskumníci poznamenali, že prevádzka na čínskych AI službách bola nižšia a s veľkým množstvom sťahovania, zatiaľ čo prevádzka smerom k západným poskytovateľom ako Anthropic, OpenAI, Google a xAI bola náročná na upload. Sedemnásť relé proxy prenosov do Anthropic API nahralo približne 81 GB a prijímalo približne 1,4 GB.

Team Cymru odhadol, že nahrané dáta by mohli predstavovať medzi 16 a 23 miliardami vstupných tokenov, ak by išlo o textový kontext. Bez prístupu k promptom alebo odpovediam však nemohli potvrdiť, o čom relácie boli.

Inferenčné koncové body sú živé produkčné útočné plochy,