Nio redovisningar på tjugofem dagar
Molnsäkerhetsföretaget Wiz publicerade den 30 oktober en sammanräkning av vad det kallar en “svart oktober” för AI-utvecklarplattformar: minst nio plattformar redovisade säkerhetsincidenter under månaden. Benjamin Read och Rami McCarthy räknar upp dem med datumet för varje redovisning — Fireworks AI den 6 oktober, Andromeda den 9, Zeabur den 14, Lightning AI den 15, OpenCode den 16 och 17, Railway den 20, Warp den 23, CommandCode den 28 och Northflank den 30.
De uppgivna grundorsakerna skiljer sig åt. Fireworks, Zeabur och Lightning AI pekar på åtkomst till inloggningsuppgifter. Railway beskriver den första åtkomsten som “behörighetseskalering i vår byggmiljö”. Warp pekar ut ett beroende till en extern leverantör, och OpenCode ett “äldre system”. Wiz noterar att Lightning AI tidigare drabbats av leveranskedjekampanjen Mini-Shai Hulud.
Det redovisningarna delar är målet. Wiz skriver att samtliga offentliga rapporter lyfter fram riktad exploatering som uttryckligen jagar lagrade miljövariabler, med fokus på dem som ger AI-åtkomst. Fireworks, OpenCode och Warp rapporterade tecken på en attack av en “agentsvärm”; Andromeda kallade sin incident en del av en “branschövergripande attack”; OpenCode och CommandCode tillskrev sina försök till destillation.
Två nycklar, två och en halv miljon anrop
Wiz spårade två företagsnycklar till Amazon Bedrock som det knyter till leverantörsintrång, och mönstret i inledningen är detsamma för båda. Var och en validerades först med ett enda InvokeModel-anrop inom 30 minuter efter den redovisade åtkomsten till inloggningsuppgifter, och visade därefter 14 till 120 anrop om dagen från en enda Go-klient — lågt nog att passera som ingenting.
Den första nyckeln saknade begränsningar, med en policy som tillät inferensprofiler av typen global.*. Ungefär fyra dagar efter valideringen sonderade en aktör modelltillgången hos olika leverantörer och räknade upp kvoterna i Bedrock och EC2. Under ungefär 30 timmar fram till åtgärd gjorde den omkring 800 000 anrop, cirka 90 procent lyckade och omkring 6 procent strypta. Opus-modellerna stod för ungefär tre fjärdedelar av de lyckade.
Den andra nyckeln var begränsad till us.*-profiler. Sju dagar efter valideringen dök den upp i en återförsäljarpool, med tusentals misslyckade anrop under fyra timmar. Därefter gjorde den, under ungefär 13 timmar fram till åtgärd, cirka 1,7 miljoner anrop från en enda adress, varav över en miljon lyckade. Opus 5.5, Sonnet 4.5 och Opus 5 stod för ungefär tre fjärdedelar av träffarna. Wiz uppskattar att enbart dessa två fall sannolikt drog upp en kostnad på över 100 000 dollar till listpris.
En marknad, inte en skyldig
Wiz är försiktigt med attribution. Företaget kopplar användningen av nycklarna till återförsäljarorganisationer men säger att det inte med säkerhet kan knyta dem vare sig till de ursprungliga intrången eller till floden av missbruk.
En verksamhet, som Wiz kallar “momo”, hade åtkomst till båda nycklarna från en enda adress som också var värd för sajter som sålde vidare LLM-åtkomst och som Zeabur pekade ut som en del av sitt intrång. En andra, “Xingjiabi”, körde behörighetskontroller på båda nycklarna, ibland efter att missbruket i stor skala redan börjat — vilket Wiz läser som beteendet hos en aktiv återförsäljarmarknad. Dess sajt hade också en sida för “destillationsdetektering”, vilket Wiz antyder kan vara ett försök att undgå avstängning. Wiz slår fast att dess indikatorer inte är direkt kopplade till oktoberattackerna, och drar den smalare slutsatsen att flera aktörers användning av nycklarna pekar på en robust marknad för sådana uppgifter.
Vad kunderna fick höra
Den redovisade effekten på användarna är fortfarande anekdotisk i Wiz berättelse: en påstådd stöld av omkring 371 000 dollar i kryptonycklar lagrade i Railway, och stulen AI-åtkomst som gav konsumentfakturor på hundratals till tusentals dollar.
Den rakaste uppmaningen kom från den sista plattformen på listan. BleepingComputer rapporterade att Northflank redovisade sin incident den 30 oktober efter en hotvarning från Wiz, och bad kunderna utgå från att alla miljövariabler hade dekrypterats och att avaktivera eller byta ut varje nyckel. Flera användare rapporterade att deras AI-nycklar hade använts.
Wiz noterar att hittills bara Zeabur publicerat en fullständig redogörelse. Tills de övriga åtta gör det vilar den gemensamma tråden — nio plattformar, en sorts hemlighet, en månad — på vad varje företag valt att berätta om sig självt.
