Quasi 200.000 richieste alle API di modelli di intelligenza artificiale in due minuti, usando l’accesso cloud di un’azienda compromessa. È uno dei casi descritti nel CrowdStrike Threat Hunting Report 2026: una campagna di LLMJacking, cioè l’abuso dell’accesso altrui ai modelli linguistici. Il picco si è ridotto quando sono intervenuti i limiti automatici alle richieste. Secondo l’analisi, gran parte del traffico era probabilmente costituita da richieste di clienti inoltrate dall’attaccante.
L’obiettivo economico è utilizzare servizi a pagamento scaricandone i costi sulla vittima. Come ci spiega Luca Nilo Livrieri, Director, Sales Engineering Southern Europe di CrowdStrike, l’accesso abusivo può alimentare un servizio commerciale parallelo, mentre il conto arriva all’azienda che possiede le credenziali. Il danno può quindi maturare anche senza sottrarre dati.
Il report raccoglie le osservazioni dei team di threat hunting tra luglio 2025 e giugno 2026. La piattaforma analizza oltre 7.000 miliardi di eventi giornalieri, i 7 trillion della notazione anglosassone, e produce oltre 14 milioni di piste da esaminare ogni giorno. Sono dati della telemetria CrowdStrike, riferiti agli ambienti monitorati dal fornitore.
