Ki fizeti az AI-számlát, ha támadóügynök használja a cég kulcsát?

A támadó nem a saját pénzéből futtatja az AI-t. A cég fizeti, amelynek nyitva hagyott modelljét vagy ellopott kulcsát megtalálta.

Ezt írja le a Symantec 2026. október 21-i elemzése. A cég kutatói egy önjáró támadóügynök működési utasítását rögzítették. Az ügynök az interneten keres védtelen AI-végpontokat, és azokkal dolgoztatná a saját támadásait. A leírás egyetlen forrásból, a Symantec blogjából származik. Független forrás 2026. október 23-ig nem erősítette meg a részleteket.

Mit rögzített a Symantec csapdája

A Symantec saját közlése szerint 2026 nyarán egy AI-csapdarendszer (angolul honeypot) fogta el a kérést. Ez a rendszer védtelen, internetről elérhető AI-szolgáltatásnak adja ki magát. A támadók azt hitték, valódi modellnek küldik a teljes munkautasításukat. A csapda így szokatlanul teljes képet kapott az eszközről.

Az utasítás a cég leírása szerint legfeljebb 100 000 lépést engedélyezett emberi jóváhagyás nélkül. Az üzemeltetők ezt „Skynet” módnak hívták. Ugyanez az utasítás egy ciklust is leírt: célpontot keres, betör, kriptovaluta-bányászt telepít, majd újra megfertőzi a gépeket. A Symantec 74 támadóeszköz leírását számolta meg a kérésben. Ezek között gyakori fejlesztői és webes rendszerek elleni modulok voltak: VS Code, Django, Jupyter, Laravel, Supabase, Next.js és Flask.

A kereskedelmi modellt egy korlátfeloldó szöveggel (angolul jailbreak) akarták együttműködésre bírni. Ez a szöveg arra utasította a modellt, hogy hagyja figyelmen kívül a biztonsági korlátait. A jelszavak és kulcsok kiolvasását rutinszerű fejlesztői munkának állította be. A modellnek egy márkanévvel ellátott kódolóasszisztensnek kellett kiadnia magát. Azt sem árulhatta el, hogy közvetítőn keresztül érik el. A Symantec szerint ez a megfogalmazás összefér azzal, hogy egy szolgáltatás ellopott hozzáférést árul tovább másoknak.

Egy nappal később másik címről újabb kérés jött. A Symantec szerint ebben egy tömörített, kódolt parancsfájl érkezett. A szkript feladata az volt, hogy letöltse az XMRig nevű Monero-bányászprogramot, és négy bányászkészletet állítson be egymás tartalékának. Egy helyi szolgáltatás naplóit folyamatosan törölte volna. A Symantec szerint a szkriptet láthatóan kameraszerverekre írták. A bányászt elsőként a go2rtc nevű videóstreamelő szerver mappáiba rejtette volna, amely okoskamera-átjárókban gyakori.

⚠ Figyelem: a csapda egyik kérést sem hajtotta végre, csak rögzítette. Az első kéréshez csatolt feladat a Symantec szerint egy legális gyakorlóplatform ártalmatlan programozási feladata volt. A cég szerint ez arra utalhat, hogy az üzemeltetők biztonságos célponton tesztelték az eszközt. Éles kárról a leírás nem közöl adatot.

Mi az LLMjacking, és hol jön képbe az MCP

Az LLMjacking azt jelenti, hogy a támadó más AI-modelljéhez szerez hozzáférést. A számítási költséget így az áldozat fizeti. A Symantec négyféle célpontot sorol fel:

• alapbeállítással nyitva hagyott saját modellszerverek;
• a cég fizetős AI-fiókjai elé tett átjárók;
• sietve felállított belső tesztrendszerek;
• MCP-szerverek.

Az MCP (Model Context Protocol) nyílt szabvány, amely AI-alkalmazásokat köt külső rendszerekhez. Ezen keresztül éri el a modell a fájlokat, adatbázisokat és eszközöket. A szabvány saját leírása az USB-C csatlakozóhoz hasonlítja. Egy MCP-szerveren keresztül a modell ezért cselekedni is tud a cég rendszereiben.

Elolvastam az MCP-specifikáció 2026. július 28-i változatát. A hozzáférés-ellenőrzésről (angolul authorization) szóló fejezet szerint ez az MCP-megvalósításokban opcionális. Egy sietve felállított MCP-szerver tehát a szabvány szerint hozzáférés-ellenőrzés nélkül is működhet. Ezt a beállításnál kell kizárni, a szabvány nem teszi meg helyette.

A Symantec szerint a legtöbb AI-eszköz ugyanazt az OpenAI-kompatibilis felületet használja. Egyetlen szkenner így sokféle célpontot talál. A csapda a megfigyelés alatt több mint 127 000 külső kérést rögzített több tízezer címről. A többség AI-végpontok felderítése, ellopott kulcsok próbálgatása és beállítófájlok keresése volt.

Ki fizeti a számlát

A Symantec szerint két károsult van. Az egyik az eltérített modell gazdája vagy a kulcs tulajdonosa, ő fizeti a számítást. Egy 100 000 lépésre felhatalmazott eszköznél ez a Symantec szerint jelentős összeg lehet. A másik az a szerver, amelybe az ügynök betör: adatot és belépési adatokat veszít, és bányászni kezd. Az ügynök beépített eszközökkel újabb kiszivárgott kulcsokat és nyitott végpontokat is keres. A Symantec szerint így minden betörés finanszírozhatja a következőt.

Magyar háttér a Nemzetbiztonsági Szakszolgálat Nemzeti Kiberbiztonsági Intézetének (NKI) 2026. október 20-i hírében olvasható. Ez egy másik ügy. Az OpenCode nevű, AI-t használó programozóeszköz 2026. október 17-én kiberbiztonsági incidenst jelentett. Az NKI által ismertetett céges tájékoztatás szerint a felhőalapú OpenCode Console felhasználóinak mintegy 1,4%-a lehetett érintett.

Az NKI felhasználói beszámolókat is idéz, megerősítés nélkül. Ezek szerint az Anthropicnál mintegy 400 dollár, a Google-nél hozzávetőleg 200 euró értékű jogosulatlan használat történt. Mások akár 1700 dolláros veszteségről írtak. Az NKI szerint az OpenCode nem erősítette meg, hogy a kulcsokat ténylegesen eltulajdonították vagy felhasználták.

Az OpenCode-ügy és a Skynet-ügynök között a forrásokban nem találtunk kapcsolatot. A tanulság közös: aki a kulcsot birtokolja, a tulajdonos számlájára költ.

A három vizsgált szolgáltató üzleti feltételei a fiókon keletkezett használatot az ügyfélre telepítik. Az OpenAI és az Anthropic szerint az ügyfél felel a fiókja alatti minden tevékenységért. A Google a kulcsok titokban tartását írja elő neki. Lopott kulcsra vonatkozó kivételt egyik feltételben sem találtunk, jóváírási kötelezettséget sem. A Google Cloud saját közlése szerint a feltört fiókok ügyeit egyedileg bírálja el. Ha a kulcs az IT-partner hibájából szivárgott ki, a költség áthárítása a vele kötött szerződésen múlik.

A költség mellett adatvédelmi kötelezettség is keletkezhet. Ez csak akkor áll fenn, ha a kulccsal vagy a feltört szerveren személyes adat is elérhető volt. Ilyenkor a GDPR szerint az incidenst nyilván kell tartani. A NAIH-nak indokolatlan késedelem nélkül, lehetőleg 72 órán belül be kell jelenteni. Ez alól csak az kivétel, ha az incidens valószínűsíthetően nem jár kockázattal az érintettekre. Magas kockázatnál az érintetteket is tájékoztatni kell. Ha a cég az adatot ügyfele megbízásából kezeli, az ügyfelet kell indokolatlan késedelem nélkül értesítenie.

Megnéztem: hol húzható plafon a költésre

2026. október 23-án elolvastam három szolgáltató nyilvános dokumentációját. Fiókot nem állítottam át, támadást nem próbáltam ki. A táblázat a szolgáltatók saját közlését foglalja össze.

Tipp: a Google saját közlése szerint a hosszan futó feladatok, például az ügynökmunkamenetek, a projektplafon fölé is futhatnak. A plafon tehát fék, nem azonnali vészkapcsoló. A riasztást ezért alacsonyabb összegre érdemes tenni, mint a plafont.

Az OpenAI kulcsokról szóló része lejárati dátumot és rendszeres kulcscserét javasol. A rendszergazda szervezeti vagy projektszinten maximális kulcsélettartamot is előírhat. A Symantec ajánlása ugyanebbe az irányba mutat: az AI-kulcs nagy értékű hozzáférés. Rendszeresen cserélni kell, szűk jogosultsággal kell kiadni, és nem kerülhet kódba vagy beállítófájlba.

Mit javasol a Symantec

A cég saját közlése szerint a kitettség jelentős része beállítási kérdés, nem kártevő. Az ajánlások röviden:

• AI-felület, modellszerver és MCP-végpont ne legyen hitelesítés nélkül az interneten.
• Hitelesítés kell minden útvonalon, a modellistán és az állapotjelzőn is.
• Az AI-eszközt futtató gépnek korlátozott legyen a kifelé irányuló forgalma.
• Az eszközhasználatra képes ügynök a legkisebb szükséges jogosultsággal fusson, érzékeny lépésnél emberi jóváhagyással.
• A szokatlan AI-forgalmat és költést figyelni kell. A Symantec szerint gyakran ez az első jele a lopott hozzáférésnek.

Három kérdés az IT-partnernek

1. Van-e hitelesítés az AI-szolgáltatásokon és az MCP-szervereken? Kérjen listát minden internet felől elérhető modellszerverről, AI-átjáróról és MCP-szerverről. A fejlesztői tesztrendszerek is kerüljenek rá.
2. Van-e költségkorlát és riasztás az AI-fiókokon? Kérdezze meg, melyik szolgáltatónál milyen összegnél jön riasztás, és ki kapja meg. Kérdezze meg azt is, hol van kemény plafon.
3. Van-e kulcscsere és szűk jogosultság? Kérdezze meg, mikor cserélték utoljára az AI-kulcsokat. Kérdezze meg, van-e kulcs kódban vagy .env fájlban.

Tipp: kérje a választ írásban, a fiókok és kulcsok listájával együtt. Így legközelebb van mihez viszonyítani.

Ördög ügyvédje

A Symantec maga ad el biztonsági termékeket, az elemzés végén a saját termékét ajánlja. A leírás egyetlen csapdarendszer adataira épül. A Symantec nem közli, hány valódi cég fizetett már ennek az ügynöknek a futásáért.

A saját ellenőrzésem korlátja is egyértelmű. Csak dokumentációt olvastam, élő fiókban nem állítottam be limitet. A szolgáltatók feltételei és összegei változhatnak. Ha a cégnek nincs saját AI-kulcsa, csak böngészős előfizetése, a cikk nagy része nem érinti.

Akinek van, annál a támadónak elég egy nyitva hagyott végpont és egy elfelejtett kulcs. A három kérdés megmutatja, van-e ilyen a cégnél.

Gyakori kérdések

Mi az LLMjacking?

Más AI-modelljének vagy AI-fiókjának jogosulatlan használata. A számítási költséget az áldozat fizeti.

Érinti a céget, ha csak böngészőben használ AI-csevegőt?

A Symantec leírása internetről elérhető AI-végpontokról és ellopott API-kulcsokról szól. A böngészős előfizetést a leírás nem említi.

Mit érdemes tenni szokatlan AI-költés esetén?

Az NKI hírében ismertetett OpenCode-ajánlás szerint a kulcsokat azonnal vissza kell vonni, és újakat kell létrehozni közvetlenül a szolgáltatónál. Az NKI szerint a régi kulcsot használó alkalmazásokat is frissíteni kell, és a számlázási előzményeket is át kell nézni. Az OpenAI és az Anthropic feltételei szerint a feltört fiókot haladéktalanul jelezni kell a szolgáltatónak. A Google Cloud a fiók biztosítása után azonnali bejelentést kér az ügyfélszolgálatnál, ahol a számlakorrekcióról is lehet egyeztetni.

Ki fizeti a jogosulatlan használat díját?

A vizsgált szolgáltatók (OpenAI, Anthropic, Google) üzleti feltételei szerint a fiókon keletkezett használatért az ügyfél felel. Lopott kulcsra vonatkozó kivételt a feltételekben nem találtunk. Automatikus jóváírásról a feltételek nem szólnak. A Google saját közlése szerint az ilyen kérelmekről esetenként dönt. Az OpenAI és az Anthropic feltételeiben erre vonatkozó szabályt nem találtunk. Ha a kulccsal személyes adat is elérhető volt, például tárolt beszélgetések, feltöltött fájlok vagy naplók, az adatvédelmi incidens lehet. Ezt a cégnek nyilván kell tartania. A NAIH-nak is be kell jelenteni, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal az érintettekre. A GDPR 33. cikke szerint ez indokolatlan késedelem nélkül, lehetőleg 72 órán belül esedékes. Magas kockázatnál a 34. cikk szerint az érintetteket is tájékoztatni kell. A konkrét esethez jogi tanácsot érdemes kérni.

Mi az MCP-szerver?

Az MCP-szerver köti össze az AI-modellt a cég fájljaival, adatbázisaival vagy eszközeivel. A specifikáció szerint a hozzáférés-ellenőrzés opcionális, ezért külön be kell kapcsolni.

Nyitott kérdések

• Hány valódi cég fizette már a Skynet-ügynök futását? A Symantec ilyen számot nem közöl.
• Volt-e magyar érintett? A nyilvános forrásokban ilyet nem találtunk.
• Megtérítették-e a jogosulatlan költést az OpenCode-ügyben? Az NKI hírében erről nincs adat.

Ez a cikk általános tájékoztatás, nem minősül jogi tanácsadásnak.

AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)