Đánh cắp khóa API, bán lại sức mạnh AI: Chiêu kiếm tiền mới của tội phạm mạng

[Cao Tùng]

Một mô hình tội phạm mạng tài chính đang phát triển nhanh có tên AI token jacking, trong đó kẻ tấn công đánh cắp khóa API của các nền tảng AI phổ biến, sử dụng hết dung lượng mô hình được cấp cho nạn nhân rồi bán lại sức mạnh tính toán này thông qua các dịch vụ proxy trên chợ đen. Trong trường hợp này, 'token' không phải token phiên trình duyệt mà là đơn vị đo lượng dữ liệu đầu vào và đầu ra được xử lý bởi API của các mô hình ngôn ngữ lớn (LLM). Doanh nghiệp sử dụng khóa API để ứng dụng, tập lệnh và tác nhân AI có thể tự động xác thực với nhà cung cấp mô hình mà không cần đăng nhập thủ công. Chính sự tiện lợi này khiến khóa API trở thành thông tin có giá trị. Khi sở hữu một khóa, kẻ tấn công có thể sử dụng phần tài nguyên AI tính phí thuộc về nạn nhân. Khác với nhiều khối lượng công việc đám mây truyền thống, mức sử dụng LLM rất khó dự đoán. Lời nhắc, cửa sổ ngữ cảnh, lệnh gọi công cụ và các vòng lặp...

Đọc bài gốc tại đây