2026-11-06 03:14:22 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

那些60美金包月无限用的Claude/GPT中转站，算力到底哪来的？

原创

Hankzheng
Hankzheng

技术修道场

2026年11月5日 07:59
广东

去阅读

前两天我和一个做云原生架构的朋友撸串，他跟我倒苦水：以前服务器被黑，顶多是CPU飙到100%被人拿去挖矿，月底一看账单多出一些费用，虽然肉疼但还不至于伤筋动骨。

但现在时代变了。如果你们公司的云账号或者API Key不小心漏了，黑客根本懒得挖矿——他们会直接把你们的大模型额度当成提款机。一天之内就能刷爆10万美元，等你发现异常把权限掐掉，账单可能已经滚到了上万元。

这不是危言耸听。就在本周，Google威胁情报小组（GTIG）联合Mandiant发布了一份重磅报告，专门拆解了这种针对大模型的资源劫持攻击——LLMjacking（大模型劫持）。更刺激的是，赛门铁克几乎在同一时间曝光了一条专门针对中国大陆及周边地区开发者的“Claude Code / Codex 灰产中转链”。

今天我就结合这两份报告，带大家从攻击链路复现、内网横向移动原理、黑产变现架构以及终端沙箱绕过这几个维度，彻底扒一扒这帮黑客是怎么薅秃企业云账单的，以及我们在架构上该如何堵死这些窟窿。

一、为什么黑客不挖矿了，改薅大模型？

搞技术的同学都很清楚“投入产出比”。传统的挖矿木马受限于虚拟机的算力，还得时刻小心别把CPU跑满触发告警，属于“慢工出细活”的细水长流。

但大模型的计费逻辑完全不同。Enterprise级别的Frontier模型（比如Claude顶级模型、GPT旗舰版或Gemini高级版）是按Token吞吐量或独占GPU实例计费的。黑客一旦拿到高权限API Key或云端IAM凭证，直接挂上高并发代理池，把整条带宽通道拉满，几小时就能打出天价账单。

在行业里，低段位的白嫖叫“提示词注入”，比如找个企业官网的客服机器人，通过越狱Prompt让它免费帮你写代码；而高段位的LLMjacking，则是直接撕开企业后端防线，接管底层模型路由和算力池。

二、攻击路径深度复现：黑客是怎么摸进来的？

很多兄弟觉得：“我的API Key都放在环境变量里了，能有什么事？” 实际上，在Google追踪的真实案例（比如黑客组织 UNC6993）中，攻击者的突破口往往不在大模型本身，而在云原生身份凭证。

我帮大家梳理了一下他们最常用的两条“破门”路径，看看你们团队有没有中招：

1. 极其狡猾的“无密码”Session劫持（绕过MFA）

以前钓鱼是骗账号密码，现在都有MFA了，怎么破？UNC6993搞了个骚操作：

他们搭建了一个高仿的内部门户网站，名义上是“申请加入公司内部大模型内测组”。
页面会引导员工先去登录正版的LLM服务网站，然后诱骗员工把浏览器里生成的包含活跃Access Token的原始JSON Payload复制粘贴到钓鱼页面上。
钓鱼网站后台拿到这段JSON后，直接调用后端API完成身份接管。整个过程不需要密码，完美绕过MFA。

2. 凭证泄露与权限编程放大

黑客通过扫描公开的GitHub仓库、配置错误的云存储桶，收集以下四类核心资产：

云平台 IAM 凭证
Service Account（服务账号）密钥
GitHub PAT（个人访问令牌）
活跃的 Session Token

一旦拿到某个普通企业用户的IAM凭证，攻击者不会傻乎乎地去登录控制台，而是直接通过API以编程方式生成全新的Access Key，直接绕过控制台的MFA校验；或者利用手头拿到的PAT克隆私有代码库，配合容器化云环境里的Web应用漏洞打组合拳，直接拿下宿主机。

三、进内网后怎么玩？全套提权与持久化战术拆解

拿到初始立足点只是第一步。为了能在几小时内榨干百万美金的额度，黑客必须在极短时间内完成内网测绘、权限提升和持久化潜伏。

我把报告中披露的攻击手法按攻击生命周期还原了一下，技术细节非常值得安全团队和运维兄弟警惕：

🔍 第一阶段：跨区测绘与凭证搜刮

跨Region扫描：

自动化枚举目标云账号在各个Region开启的AI服务（如AWS Bedrock、GCP Vertex AI等）和IAM策略。
* 扒代码与查日志：

批量Clone内部敏感代码库，正则匹配硬编码的Secret；同时扫描云端访问日志，从中提取跨云环境的二级凭证，甚至直接对内部数据库跑定向SQL查询来拖库拿Key。

⚡ 第二阶段：利用云特性与中间件漏洞提权（Privilege Escalation）

Token生成权限滥用：

这是云安全里最容易忽视的坑。如果一个低权限Service Account拥有 Token-Creation 权限，黑客就能利用它为高权限Service Account生成临时凭证，顺藤摸瓜把云端密钥管理服务里的基础设施凭证、数据库密码和第三方API Key一锅端。
* 打穿LLM路由中间件（CVE-2026-40217）：

现在很多企业为了统一管理多模型，会在内部部署 LiteLLM 这类大模型路由网关。黑客会直接利用 LiteLLM 的 CVE-2026-40217 漏洞进行原地提权，一把拿下所有接入该网关的底层模型Key。

🛡️ 第三阶段：隐蔽持久化与突破限流

伪装成计费工具：

黑客会创建未授权的IAM账号，并把后门Service Account伪装成“内部账单优化工具”——你别说，运维看到这个名字可能真不敢乱删。同时往计算实例里注入SSH公钥。
* “即焚轮转”策略：

云厂商对单一账号是有QPS/RPM速率限制的。为了把并发拉满，黑客写脚本不断批量创建短生命周期的Service Account，刷爆额度后立刻销毁重建，像游击战一样绕过风控限流。

四、算力到底哪来的？起底“LLM Mixers”与60刀包月黑市

回到我们标题的问题：黑客瞬间刷出几个亿的Token，他自己用得完吗？

当然用不完！这就催生了大模型黑产链条里最核心的分工组件——LLM Mixers（大模型混币器/混流网关）。

💡 什么是 LLM Mixers？

它借用了加密货币“混币器”的概念。上游黑客只负责攻破企业云账号偷API Key，然后把成百上千个偷来的企业级Key接入到下游的 LLM Mixer 路由网关中。Mixer负责对这些Key进行反向代理、负载均衡、存活检测和接口统一封装，最后在地下黑市或灰产商城里按月租卖给普通用户。

报告里直接点名了一个叫 Jet Night（jet-night[.]com） 的地下平台。它对外宣称：只要60美元/月，就能提供不限Token额度的顶级前沿大模型访问权限。

你想想，正常跑Agent工作流或者高频写代码，一天烧掉几十刀都很正常，他敢卖60刀包月无限用，底气在哪？因为底层接的全是受害企业被黑客劫持的云账单！你在前面爽快地调API，远在北美、南美或亚太的某家金融、零售大厂正在替你买单。

五、特别警惕：针对国内开发者的 Claude Code / Codex “无文件”劫持

如果说前面的云端攻防离普通开发者有点远，那赛门铁克和Carbon Black上周披露的这起案件，可能就发生在你我身边。

很多国内兄弟为了用上 OpenAI Codex 或 Anthropic Claude Code 等官方CLI编程助手，因为众所周知的区域限制和支付门槛，会去网上买一些第三方的“中转服务”或“国内镜像加速包”。

从2026年初开始，安全研究人员发现有一个灰产中转服务，已经悄无声息地渗透了中国大陆、韩国、中国台湾和马来西亚的十多家大型企业，涵盖半导体、工业自动化、电子制造、医药、航运、轮胎制造、石化和数据中心等核心行业！

它的技术实现极其刁钻，完全不走寻常路：

绝不篡改客户端二进制文件（避开杀软）：

它让你通过官方 npm 渠道正常安装正版的 Codex 或 Claude Code CLI工具，文件哈希完全合法，EDR和杀毒软件根本不会报警。
2. 一行命令无文件注入：

安装完后，教程会引导你执行一行命令，从高仿域名（vibe.aiok[.]me）拉取一段无文件落地的 PowerShell 或 Bash 配置脚本。
3. 精准识别环境：

脚本运行时会先检查 Windows 系统的 Locale（区域设置），确认你是它目标服务区域的机器后，才开始执行覆写操作。
4. 暴力拆解安全沙箱与劫持流量：

脚本会直接暴力修改本地配置文件——针对 Codex 修改 ~/.codex/config.toml，针对 Claude Code 修改 ~/.claude/settings.json，干了以下四件要命的事：

强行关闭执行沙箱：

在 Codex 的配置里，直接把沙箱策略改成了触目惊心的 danger-full-access（危险完全访问模式）！
* 放开写入沙箱的网络权限：

允许本地写操作直接联网。
* 替换凭证与流量劫持：

把你原本的API凭证替换成中转站下发的Token，并将所有的请求路由指向黑客控制的第三方服务器，而不是OpenAI或Anthropic官方。
* 致盲监控：

直接关掉CLI工具的遥测（Telemetry）和错误报告功能，让你和官方都成了睁眼瞎。

虽然目前还没有直接证据表明这个灰产中转站在偷偷截留企业员工上传的核心代码Prompt或者投毒篡改返回结果，但“把本地CLI沙箱设成 danger-full-access，并且所有代码上下文全部流经不明第三方服务器”——这在任何一个半导体或核心制造企业里，都是妥妥的P0级安全事故！

六、架构师与安全团队的防御 CheckList

面对越来越成熟的 LLMjacking 产业链和即将到来的 Agentic 爆发期，传统的边界防御已经不够用了。结合我的实战经验，给大家整理了一份可以直接落地的排查与加固清单：

终端自查（立刻执行）：

严禁研发人员私自运行来路不明的“一键配置中转脚本”。立刻让安全团队排查研发办公网内是否存在向 vibe.aiok[.]me 的DNS请求，并批量巡检开发机上的 ~/.codex/config.toml 和 ~/.claude/settings.json，重点看沙箱配置是否被篡改为 danger-full-access。
* 收敛云端身份权限（IAM最小权限原则）：

严查拥有 Token-Creation（令牌生成）权限的 Service Account，清理僵尸密钥；对所有调用大模型API的服务账号绑定严格的VPC Endpoint或IP白名单。
* 紧盯中间件漏洞与资产暴露：

内部如果部署了 LiteLLM 等模型路由中间件，立刻排查并修复 CVE-2026-40217 漏洞，切勿将路由网关直接暴露在公网。
* 给云账单装上“熔断器”：

不要只配月度预算告警！针对LLM和GPU相关服务，必须配置小时级/分钟级的账单突增硬熔断机制，以及针对 CreateServiceAccount 等高频API调用的异常行为告警（防黑客玩 Burn and Rotate）。

大模型时代的云安全，拼的就是谁能更快锁死身份凭证和计费通道。你的开发环境里用过第三方API中转吗？欢迎在评论区聊聊你的看法，觉得文章硬核的话，别忘了点赞、在看、转发给你们团队的运维和安全兄弟提个醒！