Ni meldinger på femogtyve dage
Skysikkerhedsfirmaet Wiz offentliggjorde den 30. oktober en optælling af det, firmaet kalder en “sort oktober” for AI-udviklerplatforme: mindst ni platforme oplyste om sikkerhedshændelser i løbet af måneden. Benjamin Read og Rami McCarthy opregner dem med datoen for hver melding — Fireworks AI den 6. oktober, Andromeda den 9., Zeabur den 14., Lightning AI den 15., OpenCode den 16. og 17., Railway den 20., Warp den 23., CommandCode den 28. og Northflank den 30.
De opgivne årsager er forskellige. Fireworks, Zeabur og Lightning AI peger på adgang til loginoplysninger. Railway beskriver den første adgang som “rettighedseskalering i vores byggemiljø”. Warp peger på en afhængighed af en tredjepartsleverandør, og OpenCode på et “ældre system”. Wiz bemærker, at Lightning AI tidligere blev ramt af forsyningskædekampagnen Mini-Shai Hulud.
Det, meldingerne deler, er målet. Wiz skriver, at alle de offentlige rapporter fremhæver målrettet udnyttelse, der udtrykkeligt jager gemte miljøvariabler, med vægt på dem der giver AI-adgang. Fireworks, OpenCode og Warp meldte om tegn på et angreb fra en “agentsværm”; Andromeda kaldte hændelsen en del af et “brancheomfattende angreb”; OpenCode og CommandCode tilskrev deres forsøg på destillation.
To nøgler, to en halv million kald
Wiz sporede to virksomhedsnøgler til Amazon Bedrock, som firmaet knytter til indbrud hos leverandører, og mønsteret i starten er det samme for begge. Hver af dem blev først valideret med ét enkelt InvokeModel-kald inden for 30 minutter efter den oplyste adgang til loginoplysninger, og viste derefter 14 til 120 kald om dagen fra én Go-klient — lavt nok til at gå for ingenting.
Den første nøgle var uden begrænsninger, med en politik der tillod inferensprofiler af typen global.*. Cirka fire dage efter valideringen afsøgte en aktør modeltilgængeligheden hos flere leverandører og talte kvoterne i Bedrock og EC2 op. I løbet af omkring 30 timer frem til udbedring lavede den cirka 800.000 kald, omkring 90 procent vellykkede og omkring 6 procent strubet. Opus-modellerne stod for cirka tre fjerdedele af de vellykkede.
Den anden nøgle var begrænset til us.*-profiler. Syv dage efter valideringen dukkede den op i en videresalgspulje, med tusindvis af mislykkede kald på fire timer. Derefter lavede den, i løbet af omkring 13 timer frem til udbedring, cirka 1,7 millioner kald fra én enkelt adresse, over en million af dem vellykkede. Opus 5.5, Sonnet 4.5 og Opus 5 stod for cirka tre fjerdedele af træfferne. Wiz anslår, at disse to tilfælde alene sandsynligvis kom over 100.000 dollar til listepris.
Et marked, ikke én skyldig
Wiz er forsigtig med attribution. Firmaet knytter brugen af nøglerne til videresalgsorganisationer, men siger, at det ikke med sikkerhed kan knytte dem hverken til de oprindelige indbrud eller til bølgen af misbrug.
Én operation, som Wiz kalder “momo”, havde adgang til begge nøgler fra én adresse, der også var vært for sider med videresalg af LLM-adgang, og som Zeabur nævnte som en del af sit indbrud. En anden, “Xingjiabi”, kørte rettighedstjek på begge nøgler, nogle gange efter at misbruget i stort omfang allerede var begyndt — hvilket Wiz læser som adfærden hos et aktivt videresalgsmarked. Dens side havde også en side til “destillationsdetektion”, som Wiz antyder kan være et forsøg på at undgå udelukkelse. Wiz slår fast, at indikatorerne ikke er direkte knyttet til oktoberangrebene, og drager den snævrere konklusion, at flere aktørers brug af nøglerne peger på et robust marked for den slags oplysninger.
Hvad kunderne fik at vide
Den oplyste virkning på brugerne er stadig anekdotisk i Wiz’ fremstilling: et påstået tyveri af omkring 371.000 dollar i kryptonøgler gemt hos Railway, og stjålet AI-adgang, der gav forbrugerregninger på hundreder til tusinder af dollar.
Den klareste besked kom fra den sidste platform på listen. BleepingComputer skrev, at Northflank oplyste om hændelsen den 30. oktober efter en trusselsadvarsel fra Wiz, og bad kunderne gå ud fra, at alle miljøvariabler var dekrypteret, og deaktivere eller udskifte hver nøgle. Flere brugere meldte, at deres AI-nøgler var blevet brugt.
Wiz bemærker, at kun Zeabur hidtil har offentliggjort en fuld redegørelse. Indtil de otte andre gør det, hviler den fælles tråd — ni platforme, én type hemmelighed, én måned — på det, hvert firma har valgt at fortælle om sig selv.
