Expediente bizarre-bazaar-llmjackingLLMjackingGlobal
Operación Bizarre Bazaar: endpoints de LLM secuestrados y revendidos en un mercado comercial
Pillar Security registró unas 35.000 sesiones de ataque que escaneaban endpoints de IA expuestos, validaban el acceso y lo revendían a través de un mercado que cubría más de 30 proveedores de LLM.
AltaAtaque a la IAEstado: En cursoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 28 ene 2026
- Ubicación
- Global
- Objetivo
- Endpoints expuestos de Ollama, vLLM y MCP
- Gravedad
- Alta
- Provocado por
- Actor de amenazas con los alias Hecker, Sakuya y LiveGamer101
- Tipo de actor
- Criminal
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
Pillar Security registró unas 35.000 sesiones de ataque que escaneaban endpoints de IA expuestos, validaban el acceso y lo revendían a través de un mercado que cubría más de 30 proveedores de LLM.
Impacto: Cómputo secuestrado, exposición de datos de prompts y posible pivote mediante servidores MCP; el mercado revendía acceso a más de 30 proveedores de LLM. No se reportó una cifra en dólares.
Quién lo provocó
Actor: Actor de amenazas con los alias Hecker, Sakuya y LiveGamer101
Atribución: Atribuido por Pillar Security a partir de telemetría de honeypots e infraestructura del mercado
Motivo: Financiero: reventa de acceso robado a LLM a través de un mercado
Cómo ocurrió
Vector de ataque: Escaneo con Shodan y Censys en busca de endpoints expuestos de Ollama, vLLM y MCP, validación automatizada de API mediante silver.inc y reventa a través de la tienda NeXeonAI
Causa raíz: Servidores LLM autoalojados y endpoints MCP expuestos en los puertos por defecto sin autenticación
Cronología
- Los honeypots de Pillar comienzan a registrar la actividad de la campaña
- Se registran unas 35.000 sesiones de ataque durante el periodo de la campaña
- Pillar Security publica el informe sobre la Operación Bizarre Bazaar
Respuesta
Pillar publicó indicadores de compromiso; no se reportaron desmantelamientos ni arrestos.
Estado actual: En curso
Fuentes (pestaña nueva)
- Pillar Security pillar.security
- BleepingComputer bleepingcomputer.com
- SecurityWeek securityweek.com
Citar este expediente
Operación Bizarre Bazaar: endpoints de LLM secuestrados y revendidos en un mercado comercial. AI Threat Watch, expediente bizarre-bazaar-llmjacking, 28 ene 2026. https://aithreat.io/es/cases/bizarre-bazaar-llmjacking/
Enlace permanente: https://aithreat.io/es/cases/bizarre-bazaar-llmjacking/