Dossier bizarre-bazaar-llmjackingLLMjackingMondial
Opération Bizarre Bazaar : des accès LLM détournés revendus sur une place de marché commerciale
Pillar Security a enregistré ~35 000 sessions d'attaque scannant les points de terminaison IA exposés, validant l'accès et le revendant via une place de marché couvrant plus de 30 fournisseurs de LLM.
ÉlevéeAttaque contre l’IAStatut: En coursDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 28 janv. 2026
- Lieu
- Mondial
- Cible
- Points de terminaison Ollama, vLLM et MCP exposés
- Gravité
- Élevée
- Déclenché par
- Acteur malveillant utilisant les alias Hecker, Sakuya et LiveGamer101
- Type d’acteur
- Criminel
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
Pillar Security a enregistré ~35 000 sessions d'attaque scannant les points de terminaison IA exposés, validant l'accès et le revendant via une place de marché couvrant plus de 30 fournisseurs de LLM.
Impact: Puissance de calcul détournée, exposition des données de prompts et pivot potentiel via les serveurs MCP ; la place de marché revendait l'accès à plus de 30 fournisseurs de LLM. Aucun montant financier communiqué.
Qui l’a déclenché
Acteur: Acteur malveillant utilisant les alias Hecker, Sakuya et LiveGamer101
Attribution: Attribué par Pillar Security sur la base de la télémétrie de honeypots et de l'infrastructure de la place de marché
Mobile: Financier : revente d'accès LLM volés via une place de marché
Comment c’est arrivé
Vecteur d’attaque: Scans Shodan et Censys à la recherche de points de terminaison Ollama, vLLM et MCP exposés, validation automatisée des API via silver.inc, revente via la boutique NeXeonAI
Cause racine: Serveurs LLM auto-hébergés et points de terminaison MCP exposés sur les ports par défaut sans authentification
Chronologie
- Les honeypots de Pillar commencent à enregistrer l'activité de la campagne
- Environ 35 000 sessions d'attaque enregistrées sur la durée de la campagne
- Pillar Security publie son rapport sur l'opération Bizarre Bazaar
Réponse
Pillar a publié des indicateurs de compromission ; aucun démantèlement ni arrestation signalé.
Statut actuel: En cours
Sources (nouvel onglet)
- Pillar Security pillar.security
- BleepingComputer bleepingcomputer.com
- SecurityWeek securityweek.com
Citer ce dossier
Opération Bizarre Bazaar : des accès LLM détournés revendus sur une place de marché commerciale. AI Threat Watch, dossier bizarre-bazaar-llmjacking, 28 janv. 2026. https://aithreat.io/fr/cases/bizarre-bazaar-llmjacking/
Lien permanent: https://aithreat.io/fr/cases/bizarre-bazaar-llmjacking/