Wiz 分析 AI 開發平台「黑色十月」事件及被盜憑證濫用

至少有九個 AI 開發者平台在本月期間披露事故：

• Fireworks AI（Oct 6）

• Andromeda（Oct 9）

• Zeabur（Oct 14）

• Lightning AI（Oct 15）

• OpenCode（Oct 16–17）

• Railway（Oct 20）

• Warp（Oct 23）

• CommandCode（Oct 28）

• Northflank（Oct 30）

Wiz 客戶可參閲我們 Threat Intel Center 的相關公告，瞭解更多關於Railway 平台外洩事件、Lightning AI 安全事故以及整體行動的資訊。 

Fireworks、OpenCode 和 Warp 均表示發現「Agent 蜂羣」攻擊的跡象。Andromeda 的事故報告稱，這是「全行業攻擊」的一部分。OpenCode 和 CommandCode 明確指出，其事故源於有人試圖進行「蒸餾」。

若在其他月份，這肯定會是頭條安全新聞。然而，面對接連發生的事故，鮮有報告把這些攻擊串連起來分析（Cloud Security Alliance 是值得留意的例外）。

這些攻擊的模式

目前，這些安全事故大多仍在分析中，尚未有詳細的技術資訊。Zeabur 已分享完整的事件分析，而該公司將因這宗事故結束營運。Railway 已發布初步報告及時間線。 

不過，仍有一些可作參考的細節。Fireworks、Zeabur 和 Lightning 均將其事故的根本原因歸因於憑證存取。Lightning 此前曾受供應鏈攻擊影響，該攻擊是Mini-Shai Hulud 行動的一部分。Railway 目前表示，他們認為最初的入侵途徑是「我們的建置基礎設施中出現權限提升」；Warp 則暗示，根本原因是第三方供應商依賴項，而 OpenCode 將其歸因於「舊有系統」。

所有公開報告均指出攻擊者有目標地利用系統，明確搜尋儲存的環境變數，尤其是可授予 AI 存取權的變數。雖然這些攻擊並非由同一個漏洞或依賴項所連繫，但整體情況與近期兩方面的報告高度吻合：

代理式攻擊可讓威脅行為者更快、更有效率地入侵受害者。

LLMJacking 的興起，以及相關的 LLM 中介商基礎設施。這些因素形成一個市場，令盜竊行為容易變現，可能促使更多攻擊者採取行動竊取憑證。蒸餾亦推動需求，尤其是有關中國 AI 實驗室涉及蒸餾的指控。

影響及後續活動

目前，有關這些攻擊影響的報告有限，僅見於社交媒體上的個別説法，包括：

• Alleged theft of cryptocurrency, to the tune of ~$371,000, using crypto keys stored in Railway

• 濫用被盜取的 AI 存取權，例如來自 OpenCode 的存取權，導致消費者收到數百至數千美元的帳單

不過，Wiz 已觀察到企業憑證遭下游濫用，而我們可將這些憑證遭入侵歸因於其中一起供應商事故。以下會探討兩宗具代表性的個案。

兩宗個案中，我們都看到有人濫用曾在遭入侵供應商的基礎設施上被大量使用的金鑰。 

兩宗個案首次出現未經授權活動的時間完全相同，均在供應商遭入侵事件中報告憑證遭存取後30 分鐘內。當時有人從住宅 IP 地址發出一次 InvokeModel 呼叫，在一分鐘內掃描多個組織的遭竊金鑰。該呼叫要求使用 Claude Fable 5.1，但未能成功，之後改用 Opus 5.5，並成功。

首次驗證後的數天內，兩把金鑰的流量都很少：每天只有 14–120 次呼叫，均來自同一個小型 Go 用戶端。兩把金鑰的呼叫步調一致，彼此相隔約一分鐘。這顯示有一個持續運作的驗證工作，確認金鑰仍然有效。

個案 A

首次驗證 4 天後，一個輪換代理伺服器池從數十個地址發起模型目錄探測，涵蓋多家供應商的模型：Amazon Nova、DeepSeek、gpt-oss、GLM、Kimi、Grok、GPT-6 Astra 及較舊的 Claude 模型。除了 Fable 外，所有呼叫均成功。數小時後，一個住宅地址上的boto3指令碼列舉了 Bedrock 和 EC2 配額。22 秒後，同一地址開始發出大量流量。在接下來的半小時內，另一部主機檢查了各個區域的配額和模型供應情況，在不到一分鐘內發出超過 1,000 次呼叫。

流量洪峯

在金鑰獲補救前的 30 多個小時內，攻擊者發出了約 800k 次 Bedrock 呼叫，當中約 90% 成功。大量呼叫最初來自住宅地址，之後在夜間轉至 Level 3 託管地址。該金鑰的政策允許使用global.*跨區域推理設定檔，攻擊者便透過這些設定檔路由所有呼叫。由於全域路由將負載分散至各個區域，只有約 6% 的呼叫遭到限流。流量主要集中在 Opus：Opus 模型佔成功呼叫的四分之三，其中 Opus 5 (36%)、Opus 5.5 (22%) 和 Opus 4.8 (10%) 最多。

個案 B

與個案 A 不同，這把金鑰受到限制。首次驗證 7 天後，它出現在一個疑似轉售商池中。4 小時內，輪換使用的託管地址發出了數千次失敗呼叫，每個地址活躍約 15 分鐘。呼叫失敗是因為金鑰政策只允許透過us.*跨區域推理設定檔使用 Bedrock，而該池請求的是global.*。

翌日清晨，共用 VPN 出口上的檢查程式識別出可用的us.*模型 ID。兩小時後，一個boto3指令碼在 Level 3 地址上重新測試了global.*和us.*，並列舉了 Bedrock 和 EC2 配額。它與探測個案 A 的指令碼完全相同，連版本字串也一樣。幾分鐘內，大量流量便湧入。

流量洪峯 

在金鑰獲補救前的 13 個多小時內，單一 Level 3 地址發出了約 1.7 million 次 Bedrock 呼叫，當中超過 1 million 次成功。其餘呼叫幾乎全數遭到限流：由於沒有全域路由，流量撞上了帳戶的區域配額。流量分散至 12 款 Claude 模型，使用 Opus 的比例亦低於個案 A。Opus 5.5、Sonnet 4.5 和 Opus 5 佔成功呼叫的四分之三。

遭竊的 Token

在這兩個個案中，Token 使用模式都類似轉售的 coding agent 流量。典型呼叫只傳送少量未快取的輸入 token，這是提示詞快取的特徵，並取得數百個輸出 token。長尾部分的呼叫則帶有數萬個未快取的輸入 token，這與轉售商背後有許多不同終端用戶的情況相符。按牌價計算，單是這兩個個案的使用費可能已超過 $100k。

我們從這些攻擊者身上觀察到的情況

我們的研究已能將上述個案中金鑰的使用情況，與公開經營轉售業務的組織連繫起來。雖然我們無法確定這些轉售組織與最初的入侵，或上述記錄的「flood」Token 濫用事件之間是否有關，但這些行動者曾存取遭入侵的金鑰，並透過其基礎設施測試金鑰。多名行動者使用這些金鑰，顯示這類憑證存在成熟的市場。

「momo」——轉售（以及入侵？）

Wiz Research 發現一名以 23.106.46.239 為活動中心的行動者，該人士似乎自稱「momo」，曾存取個案 A 和個案 B 使用的金鑰，並與一個公開經營的 LLM 轉售網站有關。與這個 IP 位址相關的基礎設施可追溯至 2025 年，曾託管多個標題與 LLM 轉售相關的網站，其中包括目前仍在運作的網站 llm-routing.com。該網站以折扣價提供前沿模型的存取權，並接受 USDT 付款。這個 IP 位址亦曾在十月中旬託管一個 Artex 登陸頁面，並被 Zeabur 公開指稱與其遭入侵事件有關。雖然我們無法確定這項行動與上述「flood」濫用事件有關，但營運者確曾存取被盜的金鑰。

• 2026 年初，網站 momo.skin 解析至 23.106.46.239；另一個透過被動 DNS（direcet.465415.xyz）關聯的網站，使用標題「Moの自建網盤」（「Mo 自行搭建的雲端硬碟」）。 

• 2026 年 3 月，這名行動者開始宣傳 LLM 相關服務，並託管標題為「ChatGPT Team 席位兑換」（「ChatGPT Team 席位兑換」）及「ChatGPT 號池管理」（「ChatGPT 帳戶池管理」）等網站。 

• 2026 年 10 月 8 日，一個解析至 23.106.46.239 的子網域（artex.nhhh.de）託管了一個標題為「ARTEX — 自主滲透測試控制台」（「ARTEX — 自主滲透測試控制台」）的頁面。這比 Zeabur 時間線所列、該 IP 位址攻擊其基礎設施的時間（Oct 12 - 14）早四天。 

• 十月下旬，23.106.46.239 位址對個案 A 和個案 B 使用的金鑰進行 API 金鑰檢查，並嘗試使用個案 B 的金鑰呼叫 PutAccountDataRetention。 

「Xingjiabi」——另一個轉售樞紐

Wiz 亦發現第二個利用被盜金鑰的轉售行動。該網站可透過 xingjiabiapi.org 公開瀏覽，並以折扣價提供多種前沿模型的存取權。與該網站相關的基礎設施（38.246.114.118）被發現曾對個案 A 和個案 B 使用的金鑰進行權限檢查。兩個個案中的檢查，都是在無關 IP 位址開始大量濫用金鑰後才進行，顯示這些金鑰存在活躍的轉售市場。

• 自 2026 年 9 月 10 日起，主網站的一個子網域 s3.xingjiabiapi.org 解析至 38.246.114.118。這個 38.246.114.118 IP 位址列舉了個案 A 使用的金鑰，列出各地區的推理設定檔和模型，並逐頁查看所有 Bedrock 配額。它亦曾手動測試個案 B 使用的金鑰。

• 關於這名行為者，有一點值得留意：他們似乎正試圖防範蒸餾。其網域的快照顯示，當時託管了一個標題為「蒸餾檢測監控」（蒸餾行為檢測）的頁面，該頁面旨在按三個類別為用戶評分，並嘗試將他們分類為「高風險」、「觀察中」及「正常」。這可能表示攻擊者正試圖避免與蒸餾活動扯上關係，或許是因為該活動可能導致帳戶被停用。

IOCs

這些 IP 曾用於測試被盜金鑰，並被懷疑與 LLM token 濫用及轉售有關。我們沒有證據能將這些 IP 直接連繫至本文提及的「Black October」攻擊。

以下共用池亦曾用於濫用 Bedrock。不過，每組被入侵的憑證可能各自使用不同的 IP 地址，亦可能是特定 IP 頻繁輪換：