Stjålet KI-nøkkel: fire ledd og en annens måler

Kort fortalt: LLMjacking bruker stjålet tilgangsinformasjon til å belaste en annen konto for KI-forbruk. Artikkelen drøfter tilgang, forbruk, videresalg og bevisst kjøp i Norge og Spania: Vilkårene for hver handling må bevises, og de foreslåtte rettslige grunnlagene for forbruket er forfatterens tolkninger.

Se for deg et firma med fem personer i Valladolid som hjelper kunder med administrative oppgaver. Clara driver firmaet og har laget et verktøy som bruker en KI-modell til å skrive førsteutkast til brev. Det koster henne rundt 60 euro i måneden. Hun sparer tid og går selv gjennom resultatet.

Programmet hennes snakker med modellen gjennom et API: en dør der det sender inn det det trenger, og får et svar tilbake. API-nøkkelen er det programmet viser frem ved døren for å si: «Det er meg. Belast kontoen min.» Hver forespørsel måles i tokener, små tekstenheter, og faktureres ved månedsslutt.

En fredag laster Clara ved et uhell opp koden til verktøyet i et offentlig kodelager, med nøkkelen i. Noen finner den, sjekker at den virker, og begynner å bruke den. Så selger de tilgangen videre: Andre betaler for å sende forespørsler gjennom dem. Noen vet at forbruket belastes en annens konto.

Utover natten, mens kontoret er stengt, blir forespørslene stadig flere. Om morgenen åpner Clara et varsel: Kostnadene har nådd 1 480 euro. Ingen på kontoret har jobbet den natten. Hun ringer leverandøren. De sier at forespørslene er sendt med hennes nøkkel, og at kontoen er hennes. Clara tilbakekaller nøkkelen og bestrider kravet.

30. oktober 2026 publiserte Wiz en analyse av hendelser på ni plattformer for KI-utvikling.[1] Da de undersøkte to bedriftsnøkler, registrerte de rundt 800 000 kall på 30 timer med den ene og 1,7 millioner på 13 timer med den andre, inkludert mislykkede forsøk.[1] De anslo et samlet forbruk til over 100 000 dollar etter offentlige priser, uten dokumentert faktura.[1]

Hos Clara har måleren fortsatt å gå i hennes navn. LLMjacking går ut på å utnytte stjålet tilgangsinformasjon til å belaste en annen konto for KI-forbruk.[2] Jeg vil følge kjeden derfra: ta seg inn, koble seg ulovlig til måleren, selge forsyningen og kjøpe den med kjennskap til hvor den kommer fra. Hvert ledd reiser sitt eget spørsmål om ansvar.

Jeg arbeider innenfor både spansk og norsk jurisdiksjon, så jeg konsentrerer analysen om disse to landene.

Fire ledd, fire strafferettslige spørsmål

1. Ta seg inn på eiendommen: skaffe seg nøkkelen og få tilgang til en annens system.
2. Koble kabelen til måleren: bruke beregningsressurser for kontohaverens regning.
3. Selge tjenesten: gjøre stjålet tilgang til en forretning.
4. Kjøpe med viten: bruke forsyningen med kjennskap til dens ulovlige opprinnelse.

For hvert ledd må vilkårene for straff bevises, og forholdet til de andre leddene avklares.

1. Ta seg inn på eiendommen

Spania. Artikkel 197 bis.1 rammer tilgang uten tillatelse ved å bryte sikkerhetstiltak, eller det å bli værende mot viljen til den som har rett til å bestemme over tilgangen. Artikkel 197 ter omfatter det å skaffe seg passord eller koder uten tillatelse og med hensikt om å legge til rette for lovbruddene bestemmelsen nevner.[3]

STS 849/2025 bygger på rettsoppfatningen i STS 15/2023 og behandler tilgangsnøkkelen som en identifikator for innehaveren. Den førstnevnte gjaldt privatliv og tilgang til personopplysninger etter artikkel 197.2.[4] Jeg bruker den til å forklare hva man overtar når man bruker en annens tilgangsinformasjon: den virtuelle identiteten som åpner døren.

Norge. § 201 omfatter det å anskaffe eller besitte tilgangsdata «med forsett om å begå en straffbar handling»; § 204 rammer tilgang «ved å bryte en beskyttelse eller ved annen uberettiget fremgangsmåte».[5]

HR-2026-1908-A anvendte begge bestemmelsene på Snapchat-passord hentet fra en database med lekket tilgangsinformasjon. HR-2024-999-A gjorde det samme med lekket tilgangsinformasjon og innlogginger på Facebook.[6][7] Dette var personlige kontoer: Å overføre resonnementet til en API-nøkkel er min lesning. Døren er en annen, men nøkkelen gir fortsatt tilgang til en annens system.

2. Koble kabelen til måleren

Tilgangen gjør forbruket mulig. Her begynner tapet som kan fortsette å vokse mens ingen sjekker kontoen.

Spania. Artikkel 255 rammer bedrageri ved bruk av blant annet «telekommunikasjon eller andre elementer, energi eller fluider som tilhører andre», gjennom innretninger for bedrageri, manipulering av målere eller «andre skjulte midler» (mine oversettelser).[3]

Jeg vil hevde at denne formuleringen åpner for å drøfte skjult forbruk av en annens beregningsressurser. En ulovlig tilkobling beskriver godt det å bruke forsyningen og overlate kostnaden til innehaveren. Vi har ikke funnet noen dom som anvender artikkel 255 på KI eller skytjenester.

Alternativet er databedrageri etter artikkel 249.1.a, den spanske straffebestemmelsen om dette. STS 509/2018 anså det å identifisere seg overfor en minibank med en annens PIN-kode som datamanipulasjon, selv om koden var skaffet uten lovbrudd; dommen anvendte daværende artikkel 248.2.a.[3][8]

Ved skjult forbruk av en forsyning ville mitt utgangspunkt være artikkel 255. Når det er bevist en operasjon med vinningsformål som fører til formuesoverføringer uten samtykke, ville jeg argumentere for artikkel 249.1.a. Forskjellen er viktig: Den første bestemmelsen gir bot; den spanske bestemmelsen om databedrageri gir fengsel. En høy faktura krever at disse vilkårene undersøkes, men erstatter ikke bevisene for dem.[3]

Norge. § 12 likestiller elektrisk eller annen energi med en gjenstand: «Med gjenstand menes også elektrisk energi eller annen energi.» Derfor kan det å stjele strøm være tyveri. Denne likestillingen omfatter ikke beregningstjenester.[9]

Jeg ville søkt grunnlaget i § 371 b: «uberettiget vinning», uberettiget påvirkning av «resultatet av en automatisert databehandling» og «tap eller fare for tap». § 372 åpner for å vurdere grovt bedrageri, blant annet ut fra den økonomiske skaden og handlingens systematiske eller organiserte preg.[10] Mitt argument er at nøkkelen får systemet til å behandle og tilskrive en annen et forbruk vedkommende ikke har godkjent.

3. Selge tjenesten

I mai 2024 beskrev Sysdig en omvendt proxy for å selge tilgang til modeller ved hjelp av stjålet tilgangsinformasjon. Kjøperen sender forespørsler til mellommannen, som bruker den kompromitterte kontoen uten å vise nøkkelen.[2]

Wiz så også tegn til videresalg da de undersøkte to bedriftsnøkler knyttet til en ikke navngitt, kompromittert leverandør, uten noen endelig påvist sammenheng mellom videreselgere, kompromitteringen og trafikken.[1]

Spania. Artikkel 197 ter omfatter det å gi tredjeparter passord eller koder med det lovstridige formålet bestemmelsen krever.[3] Salg av en nøkkel reiser dette spørsmålet direkte. Når en proxy skjuler nøkkelen for kjøperen, må vi undersøke hva som stilles til rådighet, og hvordan selgeren deltar i forbruksbedrageriet beskrevet i det andre leddet.

Norge. § 201 omfatter det å gjøre tilgangsdata tilgjengelig for en annen person. For den bedragerske utnyttelsen av tjenesten ville jeg gått tilbake til § 371 b og, dersom vilkårene for grovt bedrageri er oppfylt, § 372.[5][10]

For meg er dette det alvorligste leddet: Her ligger forretningen. Videreselgeren tar betalt for noe, men skyver kostnaden over på en annens konto og gjør kompromittert tilgang til et tilbud for flere forbrukere. Offerets måler finansierer varen som selges.

4. Kjøperen som vet at det er stjålet

Å betale mellommannen gir ingen rett til å belaste kontohaveren for forbruket. Jeg vil også se på den som kjøper og vet hvordan den ulovlige tilkoblingen fungerer.

Spania. Provinsdomstolene i Guadalajara og Cuenca minner om at det etter artikkel 255 «er tilstrekkelig at gjerningspersonen vet at forsyningen skaffes ulovlig og fortsetter å forbruke» (min oversettelse). Det er ikke nødvendig å ha installert den ulovlige tilkoblingen.[11][12]

Dersom mitt syn om at beregningsressurser omfattes av bestemmelsen blir akseptert, vil jeg hevde at den rammer kjøperen som kjenner den ulovlige opprinnelsen. Kjøperens rolle er å utnytte forsyningen, selv om en annen har koblet til kabelen.

Norge. § 332, heleri, krever at man «mottar eller skaffer seg eller andre del i utbytte av en straffbar handling». Bestemmelsen omfatter også en tjeneste som trer i stedet for utbyttet.[13] HR-2024-999-A opphevet en domfellelse etter denne bestemmelsen fordi ren oppbevaring ikke er nok: Man må motta eller skaffe seg utbyttet.[7]

Mitt resonnement er at kjøperen mottar en tjeneste hver gang vedkommende bestiller og får utført behandling gjennom mellommannen. Det åpner for å vurdere § 332 for den som kjenner den straffbare opprinnelsen; at tjenesten kan regnes som utbytte eller som noe som trer i stedet for utbyttet, er slutningen jeg foreslår.

Hva med EU?

Det finnes ikke noe felles europeisk straffebud eller noen felles europeisk straffedomstol for dette. Strafferetten er nasjonal; EU fastsetter minstekrav.

Direktiv 2013/40/EU dekker ledd 1 og 3: tilgang ved å bryte et sikkerhetstiltak (art. 3), og salg eller tilgjengeliggjøring av passord eller koder med hensikt om å legge til rette for lovbruddene i art. 3–6 (art. 7.b).[14] Art. 12 krever jurisdiksjon dersom lovbruddet skjer helt eller delvis på territoriet eller retter seg mot et system som befinner seg der, selv om gjerningspersonen er i utlandet: At Claras nøkkel blir stjålet fra utlandet, hindrer ikke en anmeldelse i Spania, men garanterer heller ikke utfallet.[14]

Art. 6 i direktiv (EU) 2019/713 gjelder ledd 2: bedrageri gjennom informasjonssystemer som fører til en overføring av penger, pengeverdi eller virtuell valuta; det krever en øvre strafferamme på minst tre år (art. 9.4).[15] Å regne forbruk av beregningsressurser som «pengeverdi» er min tolkning.

Jeg har ikke funnet avgjørelser fra EU-domstolen som tolker direktiv 2013/40 om tilgangsinformasjon.

Disse direktivene er ikke bindende for Norge: De er ikke en del av EØS-avtalen. Det Norge har felles med Spania, er Budapestkonvensjonen, ratifisert av Norge i 2006: ulovlig tilgang (art. 2), innretninger og passord (art. 6) og databedrageri (art. 8).[16]

Storm-2139: en virkelig kjede av påståtte handlinger

Microsoft anklaget Storm-2139 for å ha skaffet seg eksponert tilgangsinformasjon, tatt seg ulovlig inn og solgt verktøy eller tilgang. Fremstillingen viser kjeden som en organisert virksomhet som er blitt gjenstand for et sivilt søksmål.[17]

26. mai 2026 anbefalte dommer Fitzpatrick fraværsdom og varige forbudstiltak mot tre saksøkte. Dokumentet er en anbefaling, ikke den endelige dommen, og Microsoft ba da om å få stanset virksomheten, uten økonomisk erstatning.[18] Saksdokumentene gir eksempelet substans; de beviser ikke at hver kjøper kjente tilgangens opprinnelse.

Å være offer fjerner ikke fakturaen

AWS gjør kunden ansvarlig for aktiviteten på kontoen, også uautorisert aktivitet, unntatt i den utstrekning den skyldes et avtalebrudd fra AWS. OpenAI gjør kunden ansvarlig for kontoaktiviteten; Anthropic gjør kunden ansvarlig for gebyrene kontoen genererer.[19][20][21]

Microsoft åpner i CSP-kanalen for en skjønnsmessig engangskreditering ved svindel, på bestemte vilkår; dette er ingen generell refusjonsordning for Azure.[22]

Clara kan anmelde at noen brukte nøkkelen hennes og samtidig måtte bestride de 1 480 euroene overfor leverandøren. Kontohaveren kan være offer for et lovbrudd og fortsatt skylde for forbruket. Jeg ville forberedt både anmeldelsen og innsigelsen mot kravet fra starten av: gjeldende avtale, logger og bevis for kompromitteringen. Måleren kan fortsatt være din mens du undersøker hvem som koblet til kabelen.

For å bestride fakturaen ville jeg bedt om å skille vanlig forbruk fra andres forespørsler og rekonstruere når den ulovlige tilkoblingen begynte. Det er det samme spørsmålet jeg ville stilt ved en strømmåler som går for fort: Hvem bruker forsyningen jeg blir fakturert for?

Følg med på måleren din

Før jeg kobler til en applikasjon, ville jeg spurt: «Når vi når grensen, hva blir stanset, og når?»

• Sjekk at forbruket blir stanset. Azure Budgets varsler, men stanser ikke forbruket; AWS Budgets oppdateres opptil tre ganger daglig. OpenAI dokumenterer en absolutt grense som ikke håndheves øyeblikkelig; Anthropic setter API-et på pause når beløpsgrensen for nivået er nådd.[23][24][25][26]
• Begrens hva hver nøkkel kan gjøre. Minst mulige tilganger, separate nøkler for hver applikasjon og hvert miljø, og hemmeligheter utenfor koden.[27][28]
• Handle ved mistanke. Tilbakekall nøkkelen og gå gjennom tilganger og logger.[29]

Jeg vil at Clara skal kunne rekonstruere hele kjeden: Hvem åpnet døren, hvem koblet til kabelen, hvem solgte forsyningen, og hvem kjøpte den med kjennskap til hvor den kom fra? At nøkkelen hennes dukker opp i loggene, er starten på etterforskningen.

Fire ledd. En annens måler. Forretningen får betalt; kontohaveren får fakturaen.