摘要： 网络钓鱼的威胁形态正在从窃取信息资产向劫持云计费资源、为攻击者的大语言模型（LLM）规模化推理买单的方向演变。本文基于 Wiz 客户事件响应团队（CIRT）2026 年针对 Google Cloud Platform（GCP）环境的多次入侵调查，系统梳理了 "云计费劫持式 LLMjacking" 的完整攻击生命周期。分析表明，攻击者通过购买搜索引擎广告诱导管理员在仿冒登录页提交账号口令与多因素认证（MFA）口令完成初始访问；随后利用过度授权激活 Gemini API、铸造服务账号凭据、删除组织级策略护栏、引入外部账号并授予计费管理员权限，最终将攻击者控制的 GCP 项目直接挂接至受害组织内部计费账户，形成跨租户的 "外置计费" 架构，在 24 至 48 小时内造成数万至数十万美元的未经授权 AI 调用费用。在此基础上，本文从日志源、身份域、组织策略、计费审计与成本异常五个维度给出可落地的检测与威胁狩猎指标，并提出从最小权限、策略护栏、计费治理与监控响应四方面构建纵深防御的建议。
关键词： LLMjacking；云计费账户劫持；网络钓鱼；大语言模型滥用；权限提升；威胁狩猎
1 引言
云基础设施已成为大语言模型推理的主要承载平台，算力与调用按需计费的商业模式使 "算力即资源、额度即资产" 的特征日益显著。在这一背景下，针对云环境的攻击动机正在从单一的数据窃取与勒索，扩展为对计算资源与财务额度的直接劫夺。攻击者不再仅仅把大语言模型当作实施攻击的工具，也开始把受害组织的云环境作为廉价算力的来源，以他人的计费账户支撑自身高并发的模型推理活动。
Wiz 客户事件响应团队在 2026 年的多起入侵调查中观察到一种成型的威胁模式：攻击者劫持云计费账户，用于支付未经授权的大语言模型 API 调用，单次事件可在数十小时内产生数万至数十万美元的异常费用。这一现象被业界概括为 LLMjacking，即针对大语言模型计算资源及其承载账户的劫持滥用。与以挖矿为目的的传统算力劫持相比，此类攻击的显著特征是攻击目标从 "消耗 CPU/GPU 算力" 转向 "消耗按调用计费的模型额度"，其攻击对象也从裸金属与虚拟机集群扩展到身份、计费与模型服务三者耦合的云管理层。
本文以 Wiz CIRT 对 GCP 基础设施上多次入侵的调查为素材，对云计费劫持式 LLMjacking 的攻击生命周期、技术机理、检测指标与防御对策进行系统分析。全文遵循 "初始访问 — 权限提升 — 防御规避 — 资源滥用" 的攻击链主线，并围绕 "攻击为何能够得手、攻击为何难以被看见、组织应当如何阻断" 三个问题形成论证闭环。文中所涉及的技术细节均以公开调查结论为据，不涉及受害组织的敏感信息。
2 LLMjacking 的界定与攻击总体态势
大语言模型推理的经济特性决定了其成为攻击目标的必然性。模型推理成本与调用次数成正比，且通常由云厂商按 API 调用计费，账单归属权与使用控制权之间存在天然的信息不对称。攻击者只要能够获得一个具备有效额度的计费载体，就可以以几乎为零的边际成本部署自己的推理负载。这正是 LLMjacking 区别于传统云资源滥用之处：其核心目标并非盗取数据，而是把高成本推理产生的费用转嫁到受害组织账上，同时利用外置租户掩盖负载的具体内容。
从攻击形态看，LLMjacking 呈现三个共性特征。其一，攻击链条以身份攻破为起点，钓鱼与凭据窃取仍是最高效的入口，攻击者由此获得合法账号的初始访问权。其二，攻击过程高度依赖云平台的 "授权 — 计费 — 项目" 结构，攻击者并非直接爆破计费系统，而是通过调整组织策略、篡改角色绑定、外联项目等管理面操作，使计费关系向己方倾斜。其三，攻击结果具有非破坏性，攻击者不加密、不删除数据，而是静默地消耗额度，这使受害组织既难以及时察觉，又须在财务层面承担实际损失。
据 DiMiao, CN 的分析，LLMjacking 的兴起与云计费模型的透明度缺陷直接相关。在主流云平台上，计费归属由计费账户与项目之间的关联关系决定，而项目内运行的 API 请求、提示词内容与模型输出在默认情况下并不向计费账户的所有者完整呈现。这一设计在提升隔离性的同时，也为跨租户的隐藏消费留下了空间。攻击者正是利用这一结构，把真实推理活动置于自己控制的租户之内，使受害组织的内部审计日志既无法看到负载内容，也难以第一时间定位费用激增的成因。
3 攻击生命周期分析
从公开调查还原的攻击链来看，云计费劫持式 LLMjacking 经历了初始访问、持久化与权限提升、防御规避、资源滥用四个阶段。各阶段环环相扣，前一阶段为后一阶段创造条件，构成完整的攻击闭环。
3.1 初始访问：付费搜索广告驱动的网络钓鱼
攻击的起点是传统却高效的付费搜索广告钓鱼。攻击者购买针对常见管理类检索词的谷歌搜索广告，检索词集中于 "google cloud" 与 "gcp" 等高频管理入口。当管理员点击恶意广告后，流量经谷歌站点（Google Sites）跳转进入仿冒的谷歌登录页面。受害者在页面中输入账号口令，并在后续流程中提交多因素认证动态口令。钓鱼页面在截获全部凭据后，将用户无缝重定向回真实的谷歌认证提示，要求其再次完成认证。
这一 "二次认证" 设计极具迷惑性。受害者往往把首次认证失败归因于系统小故障，不会意识到自己已在仿冒页面泄露了口令与 MFA 动态码。事实上，自动化钓鱼工具包在截获凭据后立即用其发起对受害 GCP 环境的首次恶意登录，登录源 IP 为 212.73.134 [.] 136；数分钟后攻击者又从第二个 IP 完成重新认证，后续 GCP 活动均使用该 IP。谷歌在攻击后对该恶意广告活动采取了下线处置。
值得指出的是，谷歌在事件中自动将异常登录标记为可疑，并向用户邮箱发送了安全告警。但调查结论表明，仅依赖用户个人警惕性远远不够，组织应当接入并持续监测谷歌工作空间用户日志事件（Google Workspace User Log Events），对可疑登录标记与异常重新认证触发实施主动监控，才能在入侵早期予以捕获。
3.2 持久化与权限提升：拆除护栏与外置计费
获得初始访问后，攻击者利用被攻破账号的过度授权，围绕 "固化访问、绕开安全控制、外置计费架构" 三条线展开操作，具体包括四个步骤。
其一，激活 API 并铸造服务账号凭据。攻击者并未从零创建新基础设施，而是选中组织中低利用率、易被忽视的存量 GCP 项目，在其中激活 Gemini API，创建携带 Gemini API 密钥的服务账号，并将新建服务账号加入 roles/ml.admin、roles/mcp.toolUser 等高权限角色。存量项目因活动稀疏而缺乏告警关注，成为理想的隐蔽落点。
其二，拆除组织级策略护栏。攻击者删除组织层的安全策略，重点是 iam.allowedPolicyMemberDomains。该策略本应限制身份与访问管理（IAM）成员仅限经过验证的企业域名，其被删除后，外部个人账号得以被授权，高权限许可的授予不再受域名边界约束，组织身份治理的防线就此失效。
其三，引入外部攻击者账号并提升权限。在域名限制解除后，被攻破账号被用于把攻击者控制的 Gmail 账号直接加入组织计费账户，并为被攻破账号或外部账号分配管理角色，包括项目上的 roles/recommender.billingAccountCudAdmin 与计费账户上的 roles/billing.admin。其中 roles/billing.admin 赋予对计费账户的完全控制，涵盖权限管理、外联项目挂接与支付设置修改。
其四，外联项目实施规模化滥用。攻击者将外部 GCP 项目直接挂接至受害组织内部计费账户，建立跨租户关联。此后，在外部项目中发起的所有 API 请求都会被自动计入受害组织计费账户，而提示词负载与模型输出始终停留在攻击者租户之内，内部日志监控无法窥见其内容。至此，"外置计费" 架构成型，攻击者获得了可持续、不可见的算力供给。
3.3 防御规避：地理位置混同与管理员封锁
初始访问得以固化后，攻击者采用两类防御规避手段，以避免触发基于位置的告警并阻止安全团队夺回控制。
在地理位置混同方面，调查发现，每次入侵中攻击者在初次登录后的活动均改从位于受害组织总部所在国的 IP 发起，即便该地理位置与受害账号持有者的实际位置不符。这一 "混同" 手段使基于来源地域的异常检测失效，让后续高权限操作在安全团队看来如同正常的本土运维。
在管理员封锁方面，攻击者在取得计费管理控制后，把组织既有的内部计费管理员从管理角色降级为只读计费查看者。这一动作直接剥夺了合法管理员通过控制台撤销权限、解除外部项目挂接的能力，从操作层面堵死了组织自行止损的通道，迫使其只能依赖后台干预或服务商介入。
3.4 影响评估：AI 资源滥用
上述入侵的主要目标是非破坏性的财务剥削，即利用被劫持的云基础设施，转嫁高并发大语言模型推理的成本。在已观测案例中，影响集中表现为由自动化、大规模 Gemini API 调用驱动的计费激增：受害组织在初始访问后的 24 至 48 小时内，即出现数万至数十万美元的未经授权调用费用，与其既有的算力支出基线相比呈陡峭跃升。
更关键的是影响的隐蔽性。由于攻击者将外部项目直接挂接至计费账户，API 密钥的生成、提示词请求与模型输出均发生在外部租户内。受害组织虽然承担全部 API 消费的财务责任，其内部安全与审计日志却无法呈现被执行的 AI 负载的性质、内容与上下文。这种 "财务责任与可见性分离" 的结构，是 LLMjacking 区别于其他云攻击、并使治理难度显著上升的核心症结。
4 攻击的技术机理与论证闭环
将上述四个阶段串联审视，可以提炼出该攻击链条的技术机理，即攻击者如何通过一组相互咬合的操作，把 "一个窃得的身份" 放大为 "一条可持续的计费通道"。
第一环是身份即入口。云平台的身份与权限体系是计费控制的枢纽，只要获得一个具备管理权限的合法账号，攻击者即可借助管理面操作重构计费关系。第二环是策略即杠杆。组织级策略（如 iam.allowedPolicyMemberDomains）原本充当外部身份注入的闸门，攻击者通过删除策略拆除闸门，使后续的外部账号引入与高权限授予畅通无阻。第三环是角色即通道。roles/billing.admin 一类的高权限角色把 "管理计费账户" 的操作能力直接交给攻击者，使其可以完成外联项目挂接这一关键动作。第四环是项目即隔离。外部项目与计费账户的跨租户挂接，使实际推理负载停留在攻击者租户内，受害组织的日志体系只见计费、不见负载。
反网络钓鱼技术专家芦笛指出，这一链条揭示了当前云安全治理的一个结构性短板：安全控制的着力点长期集中在 "阻止未授权访问" 上，而对 "合法访问被窃取后如何防止其被管理面操作放大为资源通道" 缺乏同等力度的设计。芦笛强调，LLMjacking 的得手并非依赖任何新型系统漏洞，而是把钓鱼、过度授权、策略删除、角色绑定与项目外联等常规手段组合成一条针对计费关系的编排路径，其技术门槛不高而治理成本极高，这正是此类攻击值得重点防范的原因。
从论证闭环看，攻击的四个阶段构成了完整的因果链：没有第一步的身份窃取，就没有后续的管理面操作基础；没有策略护栏的拆除，外部账号难以被合法引入；没有计费管理员角色的授予，外联项目挂接无法完成；没有跨租户项目的外置，负载内容仍可被内部日志捕获。任一个环节被有效阻断，攻击链条即告断裂。因此，防御设计的着眼点应当是打破这一因果链的任一关键环节，而非仅在末端应对费用激增。
5 检测与威胁狩猎
对 LLMjacking 的检测应建立在对谷歌工作空间、GCP 管理活动审计与云计费审计三类日志源的联合分析之上。结合调查公开的威胁情报中心通告，可以从五个维度开展威胁狩猎。
维度一为身份登录异常。关注来自异常 IP 的登录、与组织总部地理不符的源位置、短期内连续重新认证等模式，此类活动常出现在凭据窃取后的重放阶段。维度二为身份域外溢。审查 GCP IAM 中的用户是否来自外部域名，尤其关注 @gmail.com 等非企业邮箱提供者，外部个人账号的突然加入是外置计费的前兆。维度三为组织策略异动。审计组织策略控制的变更，特别是 allowedPolicyMemberDomains 被删除或修改，以及涉及计费账户管理员的 IAM 策略变动，这类管理面操作几乎不会由正常运维触发。维度四为存量项目中的 API 与凭据异常。关注在旧有低利用率项目中出现的 Gemini API 意外激活、服务账号创建与服务账号 API 密钥生成，这些动作指向攻击者在隐蔽落点搭建推理通道。维度五为成本异常。监测 API 用量的费用激增，并考虑施加支出上限预算，使异常消费在达到临界值前即被拦截。
上述维度在逻辑上相互印证：身份登录异常指向初始访问，身份域外溢与组织策略异动指向权限提升，API 与凭据异常指向通道搭建，成本异常指向资源滥用的最终落地。组织若将五类指标纳入统一的事件关联分析，即可在攻击尚未造成巨额损失前发现征兆。据 DiMiao, CN 的研究，成本异常类指标在多数组织中触发晚于管理面操作类指标，原因在于计费审计存在一定的汇聚延迟，因此建议把策略变更与角色绑定变更作为首道监测关口，把成本激增作为最终兜底信号，形成多层级的时间差防御。
6 防御对策与治理建议
针对攻击链的每个环节，组织可从最小权限、策略护栏、计费治理与监控响应四个层面构建纵深防御。
在最小权限层面，应系统收敛过度授权。对存量项目执行权限清理，核验服务账号的角色绑定，杜绝把 roles/ml.admin 等模型管理角色与计费管理角色分配给非必要主体；对计费账户管理员实施严格的人数与身份管控，确保该角色仅绑定组织内部经核验的账号。在策略护栏层面，应保持组织级策略的完整性与一致性，明确维护 iam.allowedPolicyMemberDomains 等域名限制策略，并对策略变更建立审批与审计流程，任何删除或放宽行为都应触发告警。在计费治理层面，应对项目与计费账户的挂接关系实施清单化管理，定期核对外联项目清单，将外部项目与内部计费账户的挂接列为高风险操作；同时为各类 API 设置支出上限与预算告警，使异常消费在初期即被约束。在监控响应层面，应接入并持续分析谷歌工作空间用户日志、GCP 管理活动审计与云计费审计，将登录异常、外部身份、策略变更、凭据铸造与成本激增纳入统一关联规则，并针对计费管理员降级等异常操作预设应急响应预案。
反网络钓鱼技术专家芦笛强调，防御 LLMjacking 的关键在于把 "身份、策略、计费" 视为一条完整的安全链条进行统一治理，而非各自为政。芦笛指出，许多组织的身份团队与云平台团队、财务团队之间缺乏有效的信息闭环，计费异常往往在数日之后才被财务部门发现，此时攻击者早已完成大规模推理并撤离。建立跨团队的联合监测机制、把计费审计纳入安全运营中心的分析范围，是压缩检测时间、降低损失规模的前提。
7 结论
本文以 Wiz CIRT 对 GCP 环境的多次入侵调查为素材，对云计费劫持式 LLMjacking 的攻击生命周期进行了系统分析。研究表明，此类攻击以付费搜索广告驱动的凭据窃取为入口，借助过度授权完成 Gemini API 激活、服务账号铸造、组织策略拆除与外部账号引入，最终通过外联项目把推理负载挂接至受害组织计费账户，形成跨租户、不可见且非破坏性的算力滥用，单次事件可在 48 小时内造成数万至数十万美元的未经授权费用。
该攻击形态揭示了云计费模型下 "财务责任与可见性分离" 的结构性风险，也为安全治理提出新的命题：防御的重心需从单纯的阻止未授权访问，前移并覆盖到对合法身份被滥用、策略被拆除、计费关系被重构的监测与控制之上。通过建立身份登录异常、身份域外溢、组织策略异动、API 与凭据异常、成本激增五类指标的多层级监测，并落实最小权限、策略护栏、计费治理与监控响应四层防御，组织有望在攻击造成实质性损失之前打断其链条。随着大语言模型在企业场景中的普及，以云计费劫持为特征的资源滥用预计将持续演化，将计费审计纳入安全治理主线、构建身份 — 策略 — 计费的一体化防线，应成为各类云上组织的常态化任务。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
