Google y Mandiant: dos clusters de LLMjacking revenden acceso a LLMs empresariales y una víctima absorbió casi un millón de dólares en tokens
El Google Threat Intelligence Group y Mandiant describen dos clusters coordinados: uno escanea endpoints de LLM expuestos y el otro roba API keys válidas de máquinas desprotegidas. Después revenden el acceso a través de «LLM mixers» que reenvían prompts a los servicios secuestrados, con picos de más de 1.000 requests por segundo que el proveedor le factura a la víctima como uso normal. Algunas organizaciones vieron más de 100.000 dólares en un solo día; según Google, el servicio Jet Night (que vende planes «ilimitados» a 60 dólares por mes) le trasladó casi un millón de dólares en tokens a una sola víctima. Los atacantes buscan credenciales cloud, service account keys, tokens de GitHub y API keys de LLM en logs, bases de datos y secret managers, y uno explotó CVE-2026-40217 en el endpoint de testing de guardrails de LiteLLM. Ojo con esto: rotá keys, poné límites de gasto y uso por API, y monitoreá los logs de inferencia.
CVE-2026-97693: los sandboxes Docker de Yuxi no están aislados de PostgreSQL, Neo4j y MinIO (CVSS 9.9)
Yuxi, una plataforma de knowledge base y desarrollo de agentes basada en LLMs, no aísla sus sandboxes Docker de los servicios de confianza desde 0.6.0.beta1 y antes de 0.7.1. Un usuario autenticado con pocos privilegios puede llegar a las APIs y archivos de los sandboxes de otros tenants, y también a PostgreSQL, Neo4j o MinIO usando las credenciales por defecto que trae el Compose. El advisory agrega que la cuenta superuser de PostgreSQL puede dar ejecución de comandos en el contenedor de la base. CVSS v3.1 9.9 con scope changed. Ojo con esto: actualizar a 0.7.1 no alcanza, porque el upgrade de Compose no rota las credenciales ya persistidas; tenés que cambiarlas a mano.
CVE-2026-82033: el control plane RPC de DeepSeek Harness no tiene autenticación y cualquier proceso local puede ejecutar shell como la víctima
En deepseek-harness, el agente de coding de deepseek-ai, el perfil web levanta un control plane RPC por HTTP y WebSocket sin autenticación. Cualquier proceso local, incluso de otro usuario del sistema, puede llamar a session.create y session.prompt: eso ejecuta comandos de shell como el usuario víctima con sus credenciales de modelo, permite leer el tráfico de las sesiones y saltea los chequeos de aprobación de tools. CVSS v3.1 8.4 (v4.0 8.6). Corregido en 0.1.2-alpha.2 (tag dsh-v0.1.2-alpha.2). Ojo con esto en máquinas compartidas y servidores de desarrollo multiusuario.
vLLM 0.33.0 cierra un crash de EngineCore sin autenticación, agotamiento por media y un directory traversal en Speculators
El proyecto vLLM publicó tres advisories, todos corregidos en 0.33.0. GHSA-q9v9-qpjp-fc24 (CVSS 7.5) permite tumbar el EngineCore sin autenticación con un token id fuera de rango cuando corre con skip_tokenizer_init; es un fix incompleto de un advisory anterior. GHSA-5r3c-5x4v-8gjh (CVSS 7.5) agota los recursos del frontend con un solo request porque no hay presupuesto de media por request. GHSA-qrj2-j723-m6w8 (CVSS 5.4) es un directory traversal vía verifier.name_or_path en la config de Speculators que filtra información. Si exponés vLLM a clientes no confiables, actualizá ya.
CVE-2026-122160: AIlice carga adaptadores PEFT desde un base_model_name_or_path no confiable, con exploit público y sin fix
En AIlice de myshell-ai hasta la 0.4.0, la función LoadModel_PEFT de ailice/core/llm/AModelCausalLM.py usa el base_model_name_or_path del adaptador para cargar funcionalidad desde una fuente no confiable (CWE-829), lo que habilita RCE si el modelo viene de un repo del hub controlado por el atacante. Es la clase de siempre: la config de un modelo decide qué código corre. CVSS v3.1 6.3 (requiere interacción del usuario). Hay exploit público y el vendor no respondió al reporte, así que no hay versión corregida. Cargá solo adaptadores de orígenes que controlás.
Tendencias Destacadas
Las plataformas de agentes siguen cayendo por lo mismo: el control plane. Yuxi deja el sandbox hablar con la base, DeepSeek Harness deja cualquier proceso local mandar prompts, y el LLMjacking que describe Google vive de endpoints y keys expuestas. El modelo no es el problema; el problema es quién puede hablarle al runtime que lo rodea.
Google and Mandiant: two LLMjacking clusters resell access to enterprise LLMs, and one victim absorbed nearly a million dollars in tokens
The Google Threat Intelligence Group and Mandiant describe two coordinated clusters: one scans for exposed LLM endpoints and the other steals valid API keys from unprotected machines. They then resell access through «LLM mixers» that relay prompts to the hijacked services, with spikes above 1,000 requests per second that the provider bills to the victim as normal usage. Some organizations saw more than $100,000 in a single day; per Google, the Jet Night service (which sells «unlimited» plans for $60 a month) passed nearly a million dollars in token costs to one victim. The actors hunt for cloud credentials, service account keys, GitHub tokens and LLM API keys in logs, databases and secret managers, and one exploited CVE-2026-40217 in LiteLLM's guardrail testing endpoint. Rotate keys, set per-API spend and usage limits, and monitor inference logs.
CVE-2026-97693: Yuxi's Docker sandboxes are not isolated from PostgreSQL, Neo4j and MinIO (CVSS 9.9)
Yuxi, an LLM-based knowledge base and agent development platform, does not isolate its Docker sandboxes from trusted services from 0.6.0.beta1 up to (not including) 0.7.1. An authenticated low-privileged user can reach other tenants' sandbox APIs and files, and also PostgreSQL, Neo4j or MinIO using the default credentials shipped in the Compose file. The advisory adds that the PostgreSQL superuser account can yield command execution in the database container. CVSS v3.1 9.9 with changed scope. Upgrading to 0.7.1 is not enough: the Compose upgrade does not rotate already-persisted credentials, so change them by hand.
CVE-2026-82033: DeepSeek Harness's RPC control plane has no authentication, so any local process can run shell commands as the victim
In deepseek-harness, deepseek-ai's coding agent, the web profile starts an HTTP and WebSocket RPC control plane with no authentication. Any local process, including one running as another OS user, can call session.create and session.prompt: that runs shell commands as the victim user with their model credentials, exposes session traffic and bypasses tool-approval checks. CVSS v3.1 8.4 (v4.0 8.6). Fixed in 0.1.2-alpha.2 (tag dsh-v0.1.2-alpha.2). Watch out on shared machines and multi-user dev servers.
vLLM 0.33.0 closes an unauthenticated EngineCore crash, media resource exhaustion and a Speculators directory traversal
The vLLM project published three advisories, all fixed in 0.33.0. GHSA-q9v9-qpjp-fc24 (CVSS 7.5) lets an unauthenticated client crash the EngineCore with an out-of-range prompt token id when running with skip_tokenizer_init; it is an incomplete fix of an earlier advisory. GHSA-5r3c-5x4v-8gjh (CVSS 7.5) exhausts frontend resources with a single request because there is no request-wide media budget. GHSA-qrj2-j723-m6w8 (CVSS 5.4) is a directory traversal through verifier.name_or_path in the Speculators config that discloses information. If you expose vLLM to untrusted clients, upgrade now.
CVE-2026-122160: AIlice loads PEFT adapters from an untrusted base_model_name_or_path, with a public exploit and no fix
In myshell-ai's AIlice through 0.4.0, the LoadModel_PEFT function in ailice/core/llm/AModelCausalLM.py uses the adapter's base_model_name_or_path to load functionality from an untrusted control sphere (CWE-829), enabling RCE when the model comes from an attacker-controlled hub repo. It is the usual class: a model's config decides what code runs. CVSS v3.1 6.3 (requires user interaction). A public exploit exists and the vendor did not respond to the report, so there is no fixed version. Only load adapters from sources you control.
Notable Trends
Agent platforms keep falling for the same reason: the control plane. Yuxi lets the sandbox talk to the database, DeepSeek Harness lets any local process send prompts, and the LLMjacking Google describes lives on exposed endpoints and keys. The model is not the problem; the problem is who can talk to the runtime around it.
Google et Mandiant : deux clusters de LLMjacking revendent l'accès à des LLM d'entreprise, et une victime a encaissé près d'un million de dollars de tokens
Le Google Threat Intelligence Group et Mandiant décrivent deux clusters coordonnés : l'un scanne les endpoints LLM exposés, l'autre vole des API keys valides sur des machines non protégées. L'accès est ensuite revendu via des «LLM mixers» qui relaient les prompts vers les services détournés, avec des pics de plus de 1 000 requêtes par seconde facturés à la victime comme un usage normal. Certaines organisations ont vu plus de 100 000 dollars en une seule journée ; selon Google, le service Jet Night (qui vend des forfaits «illimités» à 60 dollars par mois) a fait payer près d'un million de dollars de tokens à une seule victime. Les attaquants cherchent identifiants cloud, clés de service accounts, tokens GitHub et API keys LLM dans les logs, bases de données et secret managers, et l'un a exploité CVE-2026-40217 dans l'endpoint de test des guardrails de LiteLLM. Faites tourner les clés, fixez des plafonds de dépense par API et surveillez les logs d'inférence.
CVE-2026-97693 : les sandboxes Docker de Yuxi ne sont pas isolées de PostgreSQL, Neo4j et MinIO (CVSS 9,9)
Yuxi, plateforme de knowledge base et de développement d'agents basée sur des LLM, n'isole pas ses sandboxes Docker des services de confiance de la 0.6.0.beta1 jusqu'à la 0.7.1 exclue. Un utilisateur authentifié peu privilégié peut atteindre les APIs et fichiers des sandboxes d'autres tenants, ainsi que PostgreSQL, Neo4j ou MinIO avec les identifiants par défaut fournis dans le Compose. L'advisory ajoute que le compte superuser PostgreSQL peut mener à l'exécution de commandes dans le conteneur de la base. CVSS v3.1 9,9, scope changed. Passer en 0.7.1 ne suffit pas : la mise à jour du Compose ne fait pas tourner les identifiants déjà persistés, il faut les changer à la main.
CVE-2026-82033 : le control plane RPC de DeepSeek Harness n'a pas d'authentification, n'importe quel processus local peut lancer des commandes shell comme la victime
Dans deepseek-harness, l'agent de code de deepseek-ai, le profil web démarre un control plane RPC HTTP et WebSocket sans authentification. N'importe quel processus local, y compris sous un autre utilisateur, peut appeler session.create et session.prompt : cela exécute des commandes shell en tant que victime avec ses identifiants de modèle, expose le trafic des sessions et contourne l'approbation des tools. CVSS v3.1 8,4 (v4.0 8,6). Corrigé en 0.1.2-alpha.2 (tag dsh-v0.1.2-alpha.2). Prudence sur les machines partagées et les serveurs de dev multi-utilisateurs.
vLLM 0.33.0 corrige un crash d'EngineCore sans authentification, un épuisement via les médias et un directory traversal dans Speculators
Le projet vLLM a publié trois advisories, tous corrigés en 0.33.0. GHSA-q9v9-qpjp-fc24 (CVSS 7,5) permet à un client non authentifié de faire planter l'EngineCore avec un token id hors limites quand skip_tokenizer_init est actif ; c'est un correctif incomplet d'un advisory précédent. GHSA-5r3c-5x4v-8gjh (CVSS 7,5) épuise les ressources du frontend en une seule requête faute de budget média par requête. GHSA-qrj2-j723-m6w8 (CVSS 5,4) est un directory traversal via verifier.name_or_path dans la config Speculators qui divulgue des informations. Si vous exposez vLLM à des clients non fiables, mettez à jour.
CVE-2026-122160 : AIlice charge des adaptateurs PEFT depuis un base_model_name_or_path non fiable, exploit public et pas de correctif
Dans AIlice de myshell-ai jusqu'à la 0.4.0, la fonction LoadModel_PEFT de ailice/core/llm/AModelCausalLM.py utilise le base_model_name_or_path de l'adaptateur pour charger des fonctionnalités depuis une source non fiable (CWE-829), ce qui permet une RCE si le modèle vient d'un dépôt du hub contrôlé par l'attaquant. Classe habituelle : la config d'un modèle décide du code exécuté. CVSS v3.1 6,3 (interaction utilisateur requise). Un exploit public existe et l'éditeur n'a pas répondu, donc aucune version corrigée. Ne chargez que des adaptateurs de sources que vous contrôlez.
Tendances Notables
Les plateformes d'agents tombent toujours pour la même raison : le control plane. Yuxi laisse la sandbox parler à la base, DeepSeek Harness laisse n'importe quel processus local envoyer des prompts, et le LLMjacking décrit par Google vit d'endpoints et de clés exposés. Le modèle n'est pas le problème ; le problème, c'est qui peut parler au runtime qui l'entoure.