« LLM-jacking » : les comptes d'IA détournés alimentent un nouveau boom de la cybercriminalité

Le 26 septembre 2026, le Financial Times a publié une enquête rapportant que des chercheurs en sécurité alertent sur un essor du « LLM-jacking », une catégorie d'attaques dans laquelle des criminels volent des identifiants de cloud et d'IA pour exploiter ou revendre, aux frais d'autrui, l'accès à des grands modèles de langage coûteux. L'article, signé Tom Wilson, décrit l'accès illicite aux modèles d'IA et à la puissance de calcul comme étant en passe de devenir « la marchandise la plus recherchée des bas-fonds de la cybercriminalité ».

À lire aussi: La police néerlandaise arrête un présumé chef de ShinyHunters alors que les retombées de la fuite du FBI s'étendent · Le groupe Leakers$ détourne des panneaux LED publics en Égypte, en Malaisie et au Brésil.

John Hultquist, analyste en chef du Google Threat Intelligence Group, a déclaré au FT que son unité avait constaté une forte hausse du LLM-jacking cette année, notamment la vente d'identifiants de connexion volés pour des outils d'IA grand public et le vol de ressources de calcul par des groupes qui veulent faire tourner leurs propres modèles gratuitement.

« Ce que nous observons dans les milieux clandestins, c'est une économie croissante liée à l'accès à l'IA », a déclaré au FT Hultquist, vétéran de la cybersécurité depuis vingt ans. L'accès bon marché à des modèles coûteux, selon lui, donne aux attaquants un avantage financier sur les entreprises qui doivent utiliser les mêmes outils pour se défendre. « En définitive, tout ce comportement leur procure une sorte d'avantage économique ou d'efficacité contre nous, parce qu'ils vont essentiellement pouvoir mettre la main sur ces jetons à un tarif bien plus bas », a-t-il dit.

Ce qu'est le LLM-jacking

Le mécanisme est simple, et c'est ce qui rend l'attaque séduisante. Les agents et applications d'IA en entreprise s'authentifient auprès d'un modèle au moyen d'une clé d'API ou d'un jeton de session, une chaîne de caractères qui porte souvent toute la capacité de dépense d'un compte d'entreprise. Si un attaquant obtient cette chaîne, il peut appeler les mêmes modèles que ceux payés par l'entreprise et laisser la facture à la victime.

L'attaque doit son nom, en mai 2024, à l'équipe de recherche sur les menaces de Sysdig, qui dit avoir forgé le terme « LLMjacking » après avoir observé des identifiants cloud volés servant à viser dix services de modèles hébergés dans le cloud. Dans ce cas, les identifiants provenaient d'un système exécutant une version vulnérable de Laravel, suivie sous la référence CVE-2021-3129. Sysdig a trouvé la trace d'un reverse proxy pour LLM, un logiciel qui permet à un opérateur de revendre l'accès à un ensemble de comptes compromis tout en dissimulant les clés sous-jacentes.

Sysdig a estimé qu'un seul compte Anthropic Claude 2.x détourné pouvait générer plus de 46 000 dollars de coûts d'inférence par jour. Une note de recherche ultérieure de la Cloud Security Alliance a chiffré les attaques visant Claude 3 Opus à plus de 100 000 dollars par jour.

Pourquoi les comptes d'IA valent la peine d'être volés

Les abonnements les plus avancés à ChatGPT et à Claude peuvent coûter jusqu'à 200 dollars par utilisateur et par mois, et le FT, citant les chercheurs de Google, rapporte que des places de marché du dark web vendent l'accès aux modèles d'Anthropic, de Google et d'OpenAI à des rabais pouvant atteindre 97 %. À mesure que les entreprises hébergent ou achètent une capacité d'IA coûteuse, le compte lui-même devient le butin.

Le groupe de renseignement sur les menaces de Google a indiqué, dans un rapport du 8 septembre 2026, que la demande clandestine de comptes d'IA avait augmenté tout au long de l'année, en se concentrant sur les identifiants Claude et Gemini, les prix moyens par compte sur les places de marché ayant plus que doublé en 2026. La demande s'est aussi étendue à des outils de codage autonomes comme Cursor Pro et Devin.

Le trafic n'est pas nouveau. L'unité de réponse aux menaces d'eSentire rapportait en juillet 2024 que des criminels vendaient environ 400 comptes d'IA générative par jour, les identifiants OpenAI étant les plus courants avec environ 200 publications quotidiennes. Les journaux de voleurs se négociaient autour de 10 dollars pièce et les clés d'API GPT-4 ou Claude volées étaient annoncées à environ 15 dollars, selon le cabinet.

La concurrence entre vendeurs a modifié l'offre. Comme les laboratoires d'IA surveillent les abus et désactivent les comptes compromis, certains vendeurs proposent désormais un « accès garanti », selon Hultquist, s'engageant à fournir de nouveaux identifiants sans frais supplémentaires si le premier compte est bloqué.

Un modèle pour une cybercriminalité assistée par IA à bas coût

Le LLM-jacking consiste à voler un accès à des modèles, mais une campagne parallèle montre à quel point le coût d'une intrusion assistée par IA a chuté. Gambit Security a rapporté le 22 septembre 2026 qu'un opérateur à motivation financière, décrit par les chercheurs comme sinophone, a utilisé trois harnais d'IA open source pour attaquer des centaines de détaillants en ligne. Les outils étaient Strix pour l'analyse de vulnérabilités, Cairn pour l'exploitation autonome et Hermes pour l'orchestration.

La campagne a commencé en juillet 2026 et était encore active fin septembre. BleepingComputer a rapporté que l'opérateur a dérobé plus de 600 000 numéros de cartes bancaires valides à deux entreprises, dont 488 372 appartenant à des titulaires américains, et a placé des skimmers de paiement sur au moins 119 sites. Gambit a estimé le coût total de l'opération entre 12 000 et 18 000 dollars, soit une moyenne de 25,46 dollars sur 101 analyses menées à terme. Lorsqu'un accès était obtenu, il fallait généralement moins d'une journée.

Comment les identifiants fuient

Le rapport de renseignement sur les menaces de septembre 2026 d'Anthropic décrit une chaîne d'approvisionnement criminelle mature organisée autour de l'accès à l'IA. Il indique que l'accès, sous forme de clés d'API compromises, de jetons de session et d'appareils, « est de plus en plus devenu l'unique objectif de plusieurs groupes criminels », qui revendent ensuite cet accès via des courtiers alimentant des réseaux frauduleux de revendeurs d'IA.

Le rapport soutient que les opérateurs qui obtiennent des identifiants d'IA y gagnent trois choses à la fois. Il les classe en « butin », c'est-à-dire une valeur de revente sur des marchés établis ; « calcul », c'est-à-dire des charges d'attaque exécutées aux frais d'autrui ; et « couverture », parce que l'activité est attribuée au propriétaire légitime de l'identifiant. Anthropic décrit des affiliés de ShinyHunters qui, après avoir volé les clés d'IA d'une victime, ont transféré leurs propres charges d'attaque sur ces clés, ainsi qu'une campagne hacktiviste qui a fonctionné un mois entier sur des clés d'API volées.

L'équipe de renseignement sur les menaces de Google a rattaché une grande partie de l'offre à des malwares voleurs d'informations, citant Lumma, Stealc, Vidar et ACRStealer. En mai 2026, indique-t-elle, des contrôleurs d'ACRStealer ont poussé des règles de capture de fichiers vers les magasins de configuration d'assistants de codage IA, ciblant le fichier secrets.json de Cline et le fichier config.yaml de Continue. Ces fichiers peuvent contenir des clés d'API en clair et des points de terminaison de modèles personnalisés. Dans un autre cas, en avril 2026, Mandiant est intervenu face à une intrusion où un jeton d'accès personnel GitHub exposé avait permis à un attaquant de déployer une infrastructure d'IA non autorisée et de demander des augmentations de quota pour des GPU.

L'ampleur du problème

Les données publiques sont rares, et l'essentiel de ce qui existe provient de fournisseurs qui vendent aussi des défenses. Le chiffre officiel le plus clair vient du FBI. Son centre de plaintes pour la cybercriminalité a enregistré 22 364 plaintes portant un descripteur lié à l'IA en 2025, première année où il a suivi cette catégorie, pour des pertes déclarées de près de 893 millions de dollars.

Les estimations privées sont plus élevées. CTech, la branche technologique du média israélien Calcalist, rapportait en août 2026 que le détournement de LLM avait déjà causé environ 1 milliard de dollars de pertes cumulées pour les organisations cette année-là. Dima Tatur, vice-président chargé de la cyberdéfense chez Commit, a déclaré à CTech que « les pertes atteignent en moyenne 50 000 à 100 000 dollars par jour et par entreprise touchée ».

Selon le FT, Anthropic a indiqué que son équipe de renseignement sur les menaces avait déjoué des usages malveillants de Claude dans plus de deux douzaines de pays, dont les États-Unis, le Royaume-Uni et le Yémen, au cours des huit mois précédant août 2026.

Ce que les entreprises devraient faire

Les recommandations défensives convergent : traiter les identifiants d'IA avec le même sérieux que les secrets de production. Le rapport d'Anthropic affirme sans détour que l'accès à l'IA ne devrait s'acheter que par des canaux autorisés, car un rabais qui suppose de faire transiter des identifiants par un intermédiaire inconnu expose les données et les systèmes à ce dernier.

Plusieurs mesures pratiques découlent de ces recherches :

• Donner aux clés d'API une durée de vie courte, les limiter au strict nécessaire et les renouveler selon un calendrier. Le document initial de Sysdig recommande une gestion des secrets et des droits pour qu'un compte détourné ne détienne que l'accès minimal dont il a besoin.
• Analyser le code, les conteneurs et les dépôts publics à la recherche de clés exposées, et surveiller en particulier les fichiers de configuration des développeurs d'IA, car c'est là que les voleurs cherchent désormais, selon Google.
• Surveiller les journaux d'appels de modèles et les dépenses. Hultquist a déclaré au FT que le meilleur moment pour les attaquants de se fondre dans la masse est maintenant, alors que les entreprises apprennent encore à mesurer leur usage de l'IA. « On peut penser qu'une soudaine et forte hausse de la consommation de calcul est parfaitement normale parce qu'on vient d'adopter toute cette infrastructure d'IA », a-t-il dit. « C'est une vraie occasion pour quelqu'un de se cacher dans le bruit. »
• eSentire recommande les clés d'accès (passkeys) et les clés de sécurité FIDO2 là où les plateformes d'IA les prennent en charge, ainsi qu'une surveillance du dark web pour repérer les identifiants volés au moment où ils sont mis en vente.

Tatur, de Commit, a proposé une réponse à incident en trois étapes : bloquer immédiatement la clé compromise et plafonner la consommation ; placer la nouvelle clé dans un coffre sécurisé plutôt que de la recoller dans le code source, ce qui ouvre la voie à de nouveaux vols ; puis enquêter sur l'intrusion et demander un avoir au fournisseur de modèles. Il avertit que les entreprises peinent souvent à joindre les laboratoires, qualifiant la communication de limitée.

Réserves

Quelques limites méritent d'être posées. Les chiffres de prix et de demande sur les marchés clandestins proviennent de fournisseurs de renseignement sur les menaces qui vendent aussi des produits de sécurité : il faut donc les lire comme des estimations éclairées, non comme des comptes audités. Le chiffre de l'IC3 compte des plaintes assorties d'un descripteur lié à l'IA, ce qui n'équivaut pas à des incidents de LLM-jacking confirmés. L'estimation de 1 milliard de dollars de pertes et les pertes journalières par entreprise sont des calculs privés. Et la voix centrale du FT est Hultquist, de Google, dont l'employeur est en concurrence sur le marché de la sécurité qu'il décrit.

Ce qui n'est pas contesté, c'est la direction. L'article du FT, les révélations d'Anthropic, le tableau de suivi de Google et les signalements d'incidents indépendants décrivent tous le même basculement : l'accès à l'IA est devenu une marchandise qui vaut la peine d'être volée, et le coût d'un identifiant est bien inférieur aux dégâts qu'un identifiant dérobé peut causer.

Ce qu'il faut surveiller

L'assurance pourrait fixer le prix effectif du risque. En avril 2026, le FT rapportait que QBE et Beazley rédigeaient des clauses visant à plafonner les pertes liées à l'IA, QBE appliquant des sous-limites aux sinistres de LLM-jacking : une police couvrant jusqu'à 5 millions de dollars ne verserait ainsi qu'environ 250 000 dollars pour ces réclamations. La généralisation de tels plafonds chez les assureurs déterminera la part de la facture que les entreprises finiront par porter elles-mêmes.

Il faudra aussi observer si les laboratoires d'IA améliorent les processus de comptabilisation et de crédit que les victimes jugent aujourd'hui opaques, et à quelle vitesse les comptes d'IA volés continueront d'apparaître dans les intrusions que les équipes de sécurité examineront ensuite. L'avertissement final de Hultquist au FT était sans détour : « Quiconque décide que l'IA est une mode passagère et veut la laisser le submerger se réveillera un jour sous l'eau. Il aura plus d'incidents, plus d'alertes, plus d'attaques qu'il n'en a jamais vus. »

Image de couverture : des accélérateurs NVIDIA H100 dans un serveur. Photo de Geekerwan, via Wikimedia Commons (licence CC BY 3.0).