«Чёрный октябрь» для ИИ-платформ: девять взломов и 2,5 млн вызовов моделей за чужой счёт

30 октября Wiz Research опубликовала обзор под названием «Black October for AI Developer Platforms»: за месяц не менее девяти платформ для ИИ-разработки раскрыли инциденты безопасности. В двух разобранных случаях украденные корпоративные ключи использовали для массовых вызовов моделей Amazon Bedrock — суммарно около 2,5 млн запросов и более 100 тыс. долларов расхода по прайс-листу.

Хронология

• Fireworks AI — 6 октября
• Andromeda — 9 октября
• Zeabur — 14 октября
• Lightning AI — 15 октября
• OpenCode — 16–17 октября
• Railway — 20 октября
• Warp — 23 октября
• CommandCode — 28 октября
• Northflank — 30 октября

Между первым и последним инцидентом — 24 дня. Единой уязвимости, связывающей все случаи, нет.

Общий почерк

Причины называют разные: доступ к учётным данным (Fireworks, Zeabur, Lightning AI), повышение привилегий в сборочной инфраструктуре (Railway), зависимость от стороннего поставщика (Warp), устаревшая система (OpenCode). Fireworks, OpenCode и Warp сообщили о признаках атаки «роя агентов», Andromeda назвала свой случай «атакой в масштабе отрасли», OpenCode и CommandCode связали его с попыткой дистилляции моделей.

Объединяет их одно: во всех публичных отчётах злоумышленники целенаправленно искали в переменных окружения ключи, дающие доступ к ИИ-сервисам. Zeabur опубликовала полный разбор и объявила о закрытии, назвав инцидент одной из причин.

Как это выглядит в логах

Первая несанкционированная активность в обоих разобранных случаях началась в течение 30 минут после утечки: одиночный вызов модели с домашнего IP и быстрая проверка украденных ключей по нескольким организациям. Дальше — перебор доступных моделей и квот, затем «поток».

• Случай A: около 800 тыс. вызовов Bedrock за 30 часов, примерно 90% успешных.
• Случай B: около 1,7 млн вызовов за 13 часов, более 1 млн успешных.
• В случае A три четверти успешных вызовов пришлись на модели Opus; профиль трафика похож на перепроданный доступ к кодинг-агентам.

Wiz связала ключи с двумя сервисами перепродажи доступа к моделям, торгующими со скидкой и принимающими оплату в USDT. Отдельно в соцсетях сообщалось о краже около $371 тыс. в криптовалюте ключами из Railway; компания это не подтверждала.

Что делать

Картина простая: ключ в переменной окружения — это деньги, а не конфигурация. Практический минимум: инвентаризация ключей и их владельцев, короткоживущие токены вместо бессрочных, узкие политики IAM, бюджеты и алерты на аномалии, ротация после любого инцидента у вендора, через которого идёт трафик.

Почему это важно

Слой разработки оказался такой же целью, как сам инференс: в одном месте лежат ключи ко многим моделям сразу, а рынок перепродажи делает кражу легко монетизируемой. Wiz не утверждает, что все девять инцидентов — одна кампания, но экономика атаки одинакова. Защита сводится к двум вещам: чтобы ключ было нечем монетизировать и чтобы его использование было видно в первые минуты, а не по итоговому счёту.