Открытые LLM‑эндпоинты: воруют ваш GPU и крадут облачные ключи
Исследователи обнаружили, что публичные сервисы Ollama и llama.cpp стали целями атак: злоумышленники используют их как бесплатный GPU и как SSRF‑платформу для кражи облачных учётных данных.
Что произошло?
В начале 2026 года команда исследователей запустила сеть honeypot‑серверов (ханипотов) в трёх регионах — ДЭ, США и России. Целью было мониторинг открытых LLM‑эндпоинтов, таких как Ollama и llama.cpp, которые предоставляют бесплатный доступ к GPU‑инференсу через локальные модели.
Ключевые факты
- За май 2026 года более 3 500 запросов к нашим имитациям LLM‑сервисов были отмечены как потенциально вредоносные.
- 68 % этих запросов пытались выполнить тяжёлые вычисления (текст‑генерация, эмбеддинги) — типичный сценарий «GPU‑воровства».
- 22 % запросов включали попытки SSRF (Server‑Side Request Forgery): злоумышленники отправляли запросы к внутренним метаданным облачных провайдеров (AWS metadata, GCP metadata, Azure IMDS).
- В результате было получено 45 уникальных облачных токенов (AWS IAM Access Key, GCP Service Account, Azure Managed Identity), которые позже использовались для запуска дорогостоящих вычислительных задач.
Как работает атака?
- Выбор открытого эндпоинта – злоумышленник находит публичный LLM‑сервер без аутентификации.
- Запуск инференса – отправляет тяжёлый запрос, получая бесплатный GPU‑время.
- SSRF‑платформа – в том же запросе (или в последующих) внедряется URL, указывающий на метаданные облака, к которым сервер имеет доступ.
- Эксплуатация – полученные токены используют для создания новых инстансов, часто в том же облаке, где находится LLM‑сервер.
Что уже делают провайдеры?
- Ollama объявила о планах внедрения обязательной API‑ключа и ограничений по количеству запросов.
- llama.cpp советует пользователям закрывать публичный доступ через firewall и использовать TLS‑терминацию.
- Облачные провайдеры усиливают проверку запросов к метаданным, требуя IMDSv2‑токены.
Как защититься?
- Блокировать публичный доступ к LLM‑эндпоинтам (IP‑фильтры, VPN).
- Включить аутентификацию (API‑ключи, OAuth).
- Ограничить запросы к метаданным на уровне сети (запрет outbound‑трафика к 169.254.0.0/16).
- Мониторить аномальные нагрузки и использовать лимиты на GPU‑время.
Для разработчиков и студентов это сигнал, что открытый доступ к моделям – не только удобство, но и потенциальный вектор атаки.
Для AI‑разработчиков открытый доступ к LLM‑моделям теперь считается риском: бесплатный GPU может стать «проклятым» ресурсом. Прежде чем публиковать эндпоинт, включайте аутентификацию, ограничивайте трафик и следите за аномалиями. Студенты, экспериментирующие с Ollama, должны запускать его за firewall’ом или в изолированной сети.
