Wiz 报告“黑色十月”：九个 AI 开发者平台接连披露安全事件

Wiz：Research· Benjamin Read·2026-10-31 06:51· 1 小时前精选AI 评分83

“Black October” for AI Developer Platforms

AI 导读

Wiz 研究团队梳理 10 月内至少九个 AI 开发者平台披露的安全事件，包括 Fireworks AI、Lightning AI、Railway、Warp、OpenCode 等，多起报告指向凭据窃取、agent swarm 攻击和以“蒸馏”为目的的窃取。

推荐理由

Wiz 将十起平台安全事件连成一条线索，并用两个被盗密钥的滥用案例展示 LLMJacking 的变现链条。

本月至少有九家 AI 开发者平台披露了安全事件：

• Fireworks AI（10 月 6 日）

• Andromeda（10 月 9 日）

• Zeabur（10 月 14 日）

• Lightning AI（10 月 15 日）

• OpenCode（10 月 16–17 日）

• Railway（10 月 20 日）

• Warp（10 月 23 日）

• CommandCode（10 月 28 日）

• Northflank（10 月 30 日）

Wiz 客户可查阅威胁情报中心的相关公告，了解 Railway 平台入侵事件、Lightning AI 安全事件以及整轮攻击活动的更多信息。 

Fireworks、OpenCode 和 Warp 均报告了“智能体蜂群”攻击的迹象。Andromeda 的事件报告称这是“全行业攻击”的一部分。OpenCode 和 CommandCode 则明确将各自事件归因于一次“蒸馏”尝试。

换作其他任何一个月，这都会是头号安全新闻。但眼下事件接连不断，很少有报告能把这些攻击串联起来（云安全联盟是一个值得注意的例外）。

这些攻击的共同模式

目前，这些安全事件大多仍在分析中，尚无详细的技术信息。Zeabur 公布了完整的报告，该公司将因此次事件而关停。Railway 发布了初步报告和时间线。 

不过，已有一些可供参考的细节。Fireworks、Zeabur 和 Lightning 都将事件的根因归结为凭据访问。Lightning 此前曾受到 Mini-Shai Hulud 攻击活动中一起供应链攻击的影响。Railway 目前表示，他们认为初始访问是通过“我们构建基础设施中的权限提升”实现的；Warp 则暗示根因是第三方供应商依赖，OpenCode 将其归因于“遗留系统”。

所有公开报告都指向针对性利用，明确在搜寻存储的环境变量，重点是那些授予 AI 访问权限的变量。尽管这些攻击之间没有单一的漏洞或依赖关系相连，但整体情况与近期两方面的报告高度吻合：

智能体攻击，能让威胁行为者更快、更高效地攻陷受害者。

LLMJacking 的兴起，以及与之相关的 LLM 经纪商基础设施。它们形成了一个让窃取行为易于变现的市场，很可能促使更多行为者开展窃取凭据的行动。蒸馏（尤其是针对中国 AI 实验室的指控）同样在推动需求。

影响与后续活动

迄今为止，关于这些攻击影响的报告仅限于社交媒体上的零星说法，包括：

• 据称利用存储在 Railway 中的加密密钥，窃取了约 37.1 万美元的加密货币

• 滥用窃取的 AI 访问权限，例如来自 OpenCode 的权限，导致用户账单高达数百至数千美元

不过，Wiz 已观察到企业凭据的下游滥用，其泄露可归因于上述某家供应商的入侵。我们将讨论一对典型的此类案例。

这两起事件中，我们都看到密钥被滥用，而这些密钥此前大量来自某家遭入侵供应商的基础设施。 

两者首次未授权活动的特征完全一致，都发生在供应商泄露事件所报告的凭据被访问后30 分钟以内。当时只有一次来自住宅 IP 的 InvokeModel 调用，在一分钟的扫描中，用窃取的密钥测试了多家组织。该调用请求的是 Claude Fable 5.1，失败后回退到 Opus 5.5，后者成功。

在初次验证之后的几天里，两把密钥都只有零星流量：来自同一个小型 Go 客户端，每天 14 到 120 次调用。两把密钥上的调用步调一致，相隔约一分钟。这说明有一个持续运行的验证任务，在确认密钥是否仍然有效。

案例 A

初次验证四天后，一个轮换代理池通过数十个地址进行了目录探测，对各家厂商的每个模型各发一次调用：Amazon Nova、DeepSeek、gpt-oss、GLM、Kimi、Grok、GPT-6 Astra 以及较旧的 Claude 模型。除 Fable 外，所有调用都成功了。几小时后，一个住宅地址上的 boto3 脚本枚举了 Bedrock 和 EC2 配额。22 秒后，同一地址开始出现批量流量。在接下来的半小时内，第二台主机摸清了各区域的配额和模型可用性，不到一分钟就发出了超过一千次调用。

洪流

在密钥被处置前的三十多个小时里，攻击者发起了约 80 万次 Bedrock 调用，其中约 90% 成功。批量流量先来自住宅地址，随后在夜间转为来自一个 Level 3 托管地址。该密钥的策略允许 global.* 跨区域推理配置文件，攻击者把每次调用都走了这些配置文件。由于全局路由把负载分散到各区域，只有约 6% 的调用被限流。流量严重偏向 Opus：Opus 模型占成功调用的四分之三，其中 Opus 5 占 36%、Opus 5.5 占 22%、Opus 4.8 占 10%。

案例 B

与案例 A 不同，这把密钥受到限制。初次验证七天后，它出现在一个疑似转售池中。在四个小时里，来自轮换托管地址的数千次调用失败，每个地址活跃约 15 分钟。调用失败是因为该密钥的策略只允许通过 us.* 跨区域推理配置文件使用 Bedrock，而该池请求的是 global.*。

次日清晨，一个共享 VPN 出口上的检查程序识别出了可用的 us.* 模型 ID。两小时后，一个 Level 3 地址上的 boto3 脚本重新测试了 global.* 和 us.*，并枚举了 Bedrock 和 EC2 配额。这正是探测案例 A 时所用的同一个脚本，连版本字符串都相同。几分钟内，闸门大开。

洪流 

在密钥被处置前的十三个小时里，那一个 Level 3 地址发起了约 170 万次 Bedrock 调用，其中超过一百万次成功。其余几乎全部被限流：没有全局路由，流量撞上了账户的区域配额。流量分散在十几个 Claude 模型上，Opus 占比低于案例 A。Opus 5.5、Sonnet 4.5 和 Opus 5 合计占成功调用的四分之三。

被盗令牌

这两种情况下的 token 用量特征都与转售的编程智能体流量相似。典型调用只发送少量未缓存输入 token，这是提示词缓存的典型特征，返回的输出也只有几百个 token。而长尾调用则携带数万个未缓存输入 token，这与转售商背后有大量不同终端用户的情况相符。按标价计算，仅这两个案例很可能就产生了超过 10 万美元的用量费用。

我们从这些攻击者身上看到的情况

我们的研究已经能够将上述案例中密钥的使用与公开的转售组织联系起来。虽然我们无法明确建立这些转售组织与最初的入侵或上文记录的“洪水”式 token 滥用之间的关系，但这些行为者确实能够访问被泄露的密钥，并从自己的基础设施对这些密钥进行了测试。多个行为者使用这些密钥，说明此类凭证存在一个活跃的市场。

“momo”——转售（以及入侵？）

Wiz Research 识别出一个以 23.106.46.239 为中心的行为者，此人似乎自称“momo”，能够访问案例 A 和案例 B 中使用的密钥，并与一个公开的 LLM 转售网站有关联。与该 IP 地址关联的基础设施可追溯至 2025 年，曾托管多个标题与 LLM 转售相关的网站，其中包括目前仍在运营的 llm-routing.com，该网站宣传以折扣价访问前沿模型，并接受 USDT 付款。该 IP 还曾在 10 月中旬托管过一个 Artex 落地页，并被 Zeabur 公开指认为其入侵事件的一部分。虽然我们无法明确将此操作与上文记录的“洪水”式滥用联系起来，但该运营者确实能够访问被盗密钥。

• 网站 momo.skin 在 2026 年初解析到 23.106.46.239，另一个通过被动 DNS 关联的网站（direct.465415.xyz）使用了标题“Moの自建网盘”。 

• 2026 年 3 月，该行为者开始宣传 LLM 相关服务，托管了标题为“ChatGPT Team 席位兑换”和“ChatGPT 号池管理”的网站。 

• 2026 年 10 月 8 日，一个解析到 23.106.46.239 的子域名（artex.nhhh.de）托管了一个标题为“ARTEX — 自主渗透测试控制台”的页面。这比 Zeabur 时间线中确认该 IP 地址针对其基础设施的时间（10 月 12 日至 14 日）早四天。 

• 10 月下旬，23.106.46.239 地址对案例 A 和案例 B 中使用的密钥进行了 API 密钥检查，并尝试使用案例 B 的密钥发起 PutAccountDataRetention 调用。 

“xingjiabiapi”——第二个转售中心

Wiz 还识别出另一个利用被盗密钥的转售操作。这个操作公开存在于 xingjiabiapi.org，以折扣价提供对多种前沿模型的访问。与该网站关联的基础设施（38.246.114.118）被发现对案例 A 和案例 B 中使用的密钥进行了权限检查。两起检查都发生在来自无关 IP 地址的密钥高频滥用已经开始之后，这表明这些密钥存在一个活跃的转售市场。

• 主网站的一个子域名 s3.xingjiabiapi.org 从 2026 年 9 月 10 日起解析到 38.246.114.118。这个 38.246.114.118 IP 地址枚举了案例 A 中使用的密钥，列出了各区域的推理配置文件和模型，并逐页查看了每一项 Bedrock 配额。它还对案例 B 中使用的密钥进行了手动测试。

• 关于这个攻击者，有一点值得注意：他们似乎在试图防范蒸馏。其域名快照中托管了一个名为“蒸馏检测监控”的页面，该页面按三个类别给用户打分，并试图将他们划分为“高风险”“观察”和“正常”。这可能说明攻击者在设法避免与蒸馏扯上关系，或许是因为这类活动会导致账号被封禁。

失陷指标（IOC）

这些 IP 被用于测试窃取的密钥，疑似与 LLM token 滥用和转售有关。我们目前没有证据表明它们与本文提到的“黑色十月”攻击有直接关联。

以下共享 IP 池也被用于滥用 Bedrock。不过，每个失陷凭据使用的 IP 地址各不相同，或者这些具体 IP 频繁轮换：

来源：Wiz：Research · wiz.io