LLMジャッキングとは？請求書で気づくAI乗っ取りを解説

LLMジャッキングとは？ざっくりと3行で

LLMジャッキングとは、盗み出したクラウドの認証情報を使って、他人のAIサービスを無断で使い倒すサイバー攻撃のことだ。
攻撃者の狙いは顧客データではなく、高価なAIモデルを動かす計算資源そのもの。タダで使い倒したうえ、その利用権を別の犯罪者に売りさばくところまでがセットになっている。
気づくきっかけは、たいてい月末のクラウド請求書だ。鍵の管理と請求アラートを先に整えておくかどうかで、手元に残る損害額は桁ひとつ変わると思っておけばいい。

社員証を拾われて高級ドリンクを飲み放題にされる比喩で、LLMジャッキングによるAI利用料の被害と対策を描いた4コマ漫画。 — ①社員証をなくしたデプロイ太郎が桁違いのドリンク代請求に絶句する。②拾われた社員証で高級ドリンクサーバーが無断利用されていると判明する。③裏路地で拾い主が社員証をかざし飲み放題の権利を行列に売りさばく。④デプロイ太郎が鍵の作り替えと請求の日次監視を習慣にしろと助言する。

この4コマで描いた社員証の紛失は、実務ではソースコードや設定ファイルに残ったAPIキーの流出に相当します。Sysdigの脅威研究チームの報告では、脆弱なWebアプリケーションから抜き取られたクラウド認証情報が、そのままAI推論サービスへの入口になっていました。盗まれるのは顧客データではなく、モデルを動かす権利そのものです。

コマ③の転売シーンも誇張ではありません。攻撃者は奪ったアクセスをまとめて管理し、第三者へ販売する仕組みまで用意していると報告されています。被害を受けた企業に届くのは高額な請求書だけで、不正利用が自社の正規の利用履歴として記録される点が厄介でしょう。監査や取引先への説明でも、身の潔白を示すために余計な時間を取られます。

経営目線でより怖いのは、損失が青天井になりうる構造です。従量課金のクラウドは使われた分だけ費用が膨らむため、発見が一日遅れれば被害額もその分だけ積み上がります。コマ④のとおり、鍵の定期的な入れ替えと日次の請求アラートを先に仕込んでおくことが、最も費用対効果の高い備えと言えるでしょう。

なぜLLMジャッキングは請求書が届くまで気づけないのか？
LLMジャッキングのよくある誤解
会話での使われ方
LLMジャッキングの歴史
LLMジャッキングとクリプトジャッキングの違い
【まとめ】LLMジャッキングの3つのポイント
よくある質問
LLMジャッキングと一緒に知っておきたい用語
【出典】参考URL

なぜLLMジャッキングは請求書が届くまで気づけないのか？

LLMジャッキングの攻撃者は、認証情報を手に入れてもいきなりAIを使い始めません。Sysdigの報告によれば、まずモデル呼び出しのログ設定を照会し、自分の利用が記録されるかどうかを確かめてから本格的な悪用に移っていました。

LLMジャッキングの厄介さは、3つの要素に分解すると見通しがよくなります。1つ目は入口で、Sysdigが2024年5月に公表した事例では、脆弱なLaravelアプリケーション（CVE-2021-3129）を足がかりにクラウド認証情報が抜き取られていました。2つ目は本人へのなりすましです。奪われた鍵は正規の鍵ですから、推論のリクエストは正常な利用としてそのまま通ってしまいます。

3つ目が、被害額を跳ね上げる転売の仕組みです。同じ報告では、攻撃者がOAIリバースプロキシと呼ばれるツールで複数アカウントへのアクセスを一元管理し、他の犯罪者に使わせていた点が指摘されています。標的になったのはAWS BedrockやAzure、OpenAI、GCP Vertex AIなど10のクラウドLLMサービス。複数リージョンで上限まで使い倒された最悪のケースでは、被害者側に1日あたり46,000ドルを超える利用料が発生し得ると試算されました。同社の解説ページでは、Claude Opus 3のような後発の高性能モデルが対象になった場合、1日あたり100,000ドル規模に達する可能性にも触れられています。

請求アラートは月次ではなく日次のしきい値で設定しておきましょう。LLMジャッキングは検知より先に課金が進む攻撃なので、月末の締めで気づいた時点では、すでに数十日分の利用料が確定してしまっています。

手口はさらに先へ進んでいます。Cloud Security Allianceが2026年6月18日付で公開したリサーチノートによると、2025年12月から2026年1月にかけて展開されたOperation Bizarre Bazaarでは、35,000件を超える攻撃セッションが記録され、1日平均では972件に達していました。販売対象は30を超えるLLMプロバイダーへのアクセスに広がっており、盗まれたAI計算資源が単なる転売商品から攻撃そのものを自動化する実行基盤へと転用され始めた点も報告されています。自社のAI予算が、他社への攻撃の燃料に変わりかねないということです。

LLMジャッキングのよくある誤解

AIを本格導入していない会社は無関係、という思い込み

LLMジャッキングは、生成AIをバリバリ活用している企業だけの問題ではありません。攻撃者は認証情報を入手すると、どのモデルが使える状態かを最初に調べ上げます。検証で作ったまま放置されたクラウドアカウントや、権限だけ広めに付けてあるIAMロールがあれば、それは十分に狙う価値のある的です。使っていないから安全、という理屈は成り立ちません。

狙われているのは機密データだ、と決めつけていないか

盗まれるのは情報ではなく、AIを動かすための計算資源と利用枠です。データベースを覗かれた形跡がないから被害はなかった、と判断してしまうと、真犯人である推論APIの不正呼び出しを見逃します。情報漏洩の調査手順とは着眼点が違う攻撃だと理解しておくべきでしょう。

パスワードを複雑にすれば防げるという誤り

LLMジャッキングで悪用されるのは、人がログインに使うパスワードではなく、プログラムが使うAPIキーやアクセストークンです。これらはコードや設定ファイル、CI/CDの環境変数に埋め込まれたまま、うっかり公開リポジトリへ流れ出ることがあります。守るべきは人間の記憶ではなく、機械が持つ鍵の置き場所と有効期限です。

会話での使われ方

LLMジャッキングによる請求急増を報告する場面を表すITKAGYO運営者デプロイ太郎のアイコン画像

先月のクラウド請求が急に跳ね上がっています。LLMジャッキングの疑いがあるので、いったん該当プロジェクトのアクセスキーを全部止めます。

例文1の状況説明：経理から請求額の増加について問い合わせを受けた情報システム担当者が、Slackで即座に一次報告を返した場面。

商談でLLMジャッキング対策の範囲を質問する場面を表すITKAGYO運営者のアイコン画像

御社のAI基盤、LLMジャッキング対策はどこまで標準で入っていますか。

例文2の状況説明：生成AIの導入を検討している事業会社の担当者が、提案に訪れたベンダーの営業に対し、商談の場で投げかけた質問。

LLMジャッキングを蛇口の比喩で後輩に説明する場面を表すITKAGYO運営者のアイコン画像

LLMジャッキングって名前は物騒だけど、要はうちのAIの蛇口を他人にひねられる話なんだよ。しかも水道代はこっち持ち。笑えないよね。

例文3の状況説明：社内勉強会の後のランチで、セキュリティ担当の先輩が入社1年目の後輩に対し、かみ砕いた比喩で雑談まじりに説明している場面。

LLMジャッキングの歴史

LLMジャッキングは、生成AIの業務利用が広がったここ数年で急速に形を変えてきた攻撃です。侵入口となった脆弱性から攻撃基盤化までの流れを追うと、なぜ今この用語が注目されているのかが見えてきます。

年	出来事
2021年	Laravelのリモートコード実行の脆弱性がCVE-2021-3129として登録される。後にLLMジャッキングの初期侵入口として悪用されたとSysdigが報告した。
2024年	Sysdigの脅威研究チームが一連の攻撃を確認し、LLMjackingと命名して同年5月に公表。AWS BedrockやOpenAIなど10のクラウドLLMサービスが標的になっていた。
2025〜2026年	2025年12月から2026年1月にかけてOperation Bizarre Bazaarが展開され、35,000件を超える攻撃セッションが記録される。
現在	2026年6月、Cloud Security Allianceが、盗まれたAI計算資源を攻撃インフラそのものへ転用する段階に入ったとするリサーチノートを公開した。

LLMジャッキングとクリプトジャッキングの違い

LLMジャッキングとクリプトジャッキングは、他人の計算資源にタダ乗りして稼ぐという点でよく似ており、名前も紛らわしいため混同されがちです。奪われるものと気づき方が大きく異なるので、次の表で整理しておきましょう。

比較観点	LLMジャッキング	クリプトジャッキング
攻撃者の目的	高性能AIモデルの推論枠を使い倒し、そのアクセス権を転売して稼ぐ	採掘処理を勝手に走らせ、暗号資産の報酬を得る
奪われるもの	クラウドのAPIキーやアクセストークンと、それに紐づく推論の利用枠	端末やサーバーのCPU・GPU性能と電力
気づき方	クラウド利用料の急増と、身に覚えのないモデル呼び出しログ	端末の異常な発熱や動作の重さ、CPU使用率の張り付き
主な対策	シークレット管理、鍵のローテーション、日次の請求アラート	採掘スクリプトの検知、脆弱性パッチの適用、不審な通信先の遮断

【まとめ】LLMジャッキングの3つのポイント

盗まれるのは情報ではなく蛇口：LLMジャッキングは、AIを動かす権利を他人にひねられ、水道代だけ自社に残る攻撃です
鍵の棚卸しから今日始められる：APIキーの保管場所を洗い出して定期的に作り替えるだけで、攻撃が成立する確率を大きく下げられます
気づく速さが損害額を決める：日次の請求アラートと推論ログの監視を用意しておけば、被害を発見までの数日分に封じ込められます

よくある質問

Q LLMジャッキングの被害に遭った場合、利用料は誰が払うことになりますか？: A

原則として、請求はアカウントの持ち主である被害企業に届きます。正規の認証情報で呼び出された利用として記録されてしまうからです。クラウド事業者へ不正利用を申告して個別に相談する道は残りますが、返金が保証されているわけではありません。発生させない設計と早期発見のほうが、はるかに確実な守りになります。

Q 自社がLLMジャッキングされているかは、どうすれば気づけますか？: A

推論サービスの利用量が業務の実態と釣り合っているかを、日次で突き合わせるのが最短ルートです。深夜帯の呼び出し、使っていないはずのリージョンからのアクセス、普段は触らないモデルへのリクエストなどが典型的な兆候になります。モデル呼び出しのログを有効化していないと確認そのものができないため、まずログ記録の設定を点検してください。

Q LLMジャッキング対策として、まず何から手をつけるべきですか？: A

手元にあるAI関連の鍵をすべて洗い出す棚卸しが出発点でしょう。Cloud Security Allianceのリサーチノートでも、APIキーの棚卸しとローテーション、シークレット管理への移行、請求アラートと支出上限の設定、認証なしで公開されている推論サーバーの保護が即時対応として挙げられています。ネットワークの分離やSIEMでの行動監視は、その次の段階に位置づけられます。

Q LLMジャッキングとクリプトジャッキングとの違いは何ですか？: A

奪われる対象が違います。LLMジャッキングが狙うのはクラウド上のAI推論サービスを使う権利であり、盗んだアクセス権を第三者へ転売するところまで含めて金銭化されます。一方のクリプトジャッキングは、端末やサーバーのCPU・GPU性能を勝手に採掘へ回す攻撃で、発覚のきっかけも機器の発熱や動作の重さが中心です。前者は請求書に、後者は端末の挙動に異常が現れると覚えておくとよいでしょう。

LLMジャッキングと一緒に知っておきたい用語

用語	LLMジャッキングとの関連
LLM	不正利用の対象になる大規模言語モデルそのもの。何が盗まれるのかを理解する前提になります。
クレデンシャルスタッフィング攻撃	認証情報を悪用して他人になりすます点が共通し、鍵の使い回しがなぜ危険かがわかります。
ゼロトラスト	正規の鍵でも常に検証するという考え方が、なりすまし利用を止める設計思想の土台になります。
CSPM	過剰な権限や公開設定といったクラウドの設定ミスを検出し、侵入の起点をふさぐ役割を担います。
多要素認証（MFA）	認証情報が漏れた際の被害拡大を抑える基本策で、管理コンソール側の防御に効きます。

【出典】参考URL

https://www.sysdig.com/jp/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack ：LLMジャッキングの手口、CVE-2021-3129を起点とした侵入、標的となった10のクラウドLLMサービス、OAIリバースプロキシによる転売、1日あたり46,000ドル超という試算の根拠。
https://www.sysdig.com/learn-cloud-native/what-is-llmjacking ：用語の定義、Claude Opus 3のような高性能モデルが対象の場合に1日あたり100,000ドル規模に達しうるという記述、シークレット管理や最小権限などの推奨対策の根拠。
https://labs.cloudsecurityalliance.org/research/csa-research-note-llmjacking-offensive-ai-tooling-20260618-c/ ：2026年6月18日付リサーチノート。Operation Bizarre Bazaarにおける35,000件超の攻撃セッションと1日平均972件、30を超えるLLMプロバイダーへの拡大、攻撃インフラ化と推奨対策の根拠。