黑色10月，多家 AI 开发平台遭入侵，被盗密钥被用于大量调用模型

原创

网络安全透视镜
网络安全透视镜

网络安全透视镜

2026年11月10日 13:17
江苏

去阅读

2026 年 10 月，AI 开发与部署平台接连出事。云安全厂商 Wiz 把这一连串事件称为黑色十月（Black October），并给出了第一个可以量化的结论：两枚被窃取的企业级 AWS Bedrock 凭据 ，在不到两天的时间里被调用了约 250 万次，按官方公开标价计算，账单超过 10 万美元。

本文看点

01

十二起事件的完整时间线

02

四类入口，同一个目标

03

密钥如何变成一门生意

01

TIMELINE

一个月里的十二起事件

— Wiz Research 发布的原始研究报告封面

Wiz 的统计口径是：2026 年 10 月，至少 9 家 AI 开发与应用托管平台 公开披露了安全事件，攻击者都接触或取走了平台代客户保存的密钥类数据。11 月初，Wiz 又补充了至少 3 家，合计 12 家。

12 家

平台公开披露

10 月 9 家，11 月初补 3 家

250 万次

被盗密钥调用量

两起企业级 Bedrock 案例

10 万美元

估算账单

按公开标价计算，由原主承担

披露节奏大约是每三天一家。按平台、时间、入口和泄露内容排列如下：

11 月初补充的三家是 NVIDIA Brev （10 月 4—20 日）、Trigger.dev（11 月 1 日）和 Chainstack（10 月 29—31 日），这三家当时都还没有公布技术细节或失陷指标。

Zeabur 的数字最直观

Zeabur 是这一轮里公开材料最完整的样本。初步报告把泄露规模写得很具体：

根因：一个 2024 年 1 月创建且没有过期时间的共享集群管理员令牌，配套的明文 AWS 与 GCP 密钥，以及一个从公网可直接访问的集群管理界面。攻击持续超过 16 小时没有触发告警，调查是在用户报障之后才开始的。10 月 19 日，Zeabur 宣布 12 月 31 日停止运营。

Fireworks AI 的第二次披露

Fireworks AI 在 10 月 6 日检测到内部凭据被非授权使用，10 月 7 日开始通知客户。它最初把事件描述为内部凭据的盗用，直到 11 月 9 日扩大披露范围 ，才说明攻击者还接触到了账户与计费信息，包括账单地址、收货地址、发票与支付历史、账户余额和额度使用；另有少量客户的密钥、数据集和未完成的模型权重受影响。银行卡号不在其中。

更值得注意的是第二条入侵路径。10 月 23 日，一家托管 Fireworks 研发机器的第三方云服务商发生安全事件，次日攻击者借此进入其开发机器并执行了未授权任务负载。Fireworks 当天发现并处置，同时修正了已知的关键漏洞，并邀请 Palo Alto Networks 42 单元参与取证。

REFERENCE

删除一个已保存的密钥，并不足以让底层那个第三方凭据失效。Fireworks 因此建议客户在签发方处完成撤销，而不只是清掉平台上的副本。

02

PATTERN

入口各不相同，目标是同一个

攻击手法其实分四类： 内部凭据被攻破或滥用 （Fireworks、Zeabur、Lightning AI）、 构建基础设施里的权限提升 （Railway）、 第三方供应商被拖下水 （Warp、Fireworks 的云服务商路径）、 遗留系统被利用 （OpenCode）。

但入口之后的动作高度一致：有针对性地搜索环境变量，特别关注其中能换取 AI 服务访问权的变量，然后把密钥投入大规模模型调用。

03

THE ABUSE

250 万次调用是怎么打出去的

Wiz 完整复盘了两起企业客户密钥被盗用的案例。两起案例的初始动作几乎一样，攻击者把流程拆成了三段。

验证

在平台通报凭据被访问后不到 30 分钟 ，攻击者就用住宅 IP 发起了单次 InvokeModel 调用，一次性横扫多个组织的被盗密钥。这次调用请求的是 Claude Fable 5.1，失败后回退到 Opus 5.5 并成功。

潜伏

此后数日，这两个密钥每天只有 14 到 120 次调用 ，来自同一个小型 Go 客户端，两把密钥的调用时间前后只差约一分钟。这是持续运行的任务，用来确认密钥还没被撤销。

放量

批量滥用发生在数天之后。Case A 是第 4 天，Case B 是第 7 天。

— Wiz 还原的 Case A 完整攻击时间线，从凭据验证到密钥关闭

两个案例的对比：

Case A 的放量过程有清晰的层次。轮换代理池先对数十个地址做目录探测，每个模型只发一次调用，横跨 Amazon Nova、DeepSeek、gpt-oss、GLM、Kimi、Grok、GPT-6 Astra 和较老的 Claude 模型，除了 Fable 全部成功。几小时后，一个 boto3 脚本 在住宅 IP 上枚举 Bedrock 和 EC2 配额， 22 秒之后 批量流量就从同一个地址启动。

Case B 的密钥受限，转售商起初请求的是 global 配置，密钥只允许 us 配置，于是前四个小时全是失败调用，来自轮换的托管 IP，每个活跃约 15 分钟。次日清晨，一个共享 VPN 出口的探测程序识别出可用的 us 模型 ID，两小时后同一个 boto3 脚本在另一台主机上重试，连版本字符串都与 Case A 一致，说明是同一套共享工具。

值得注意的是，密钥范围限制只能改变滥用方式，不能止住滥用。允许全球路由的密钥成功率约 90%；被限制在单一区域的密钥，仍然完成了超过 100 万次成功调用。

— Case A 每分钟成功调用数按模型分布，Opus 系列占主导

— Case B 每分钟成功调用数按模型分布，模型分散度明显更高

调用画像

两次滥用的 token 使用特征都像转售出去的编程助手流量。典型调用只带很少的未缓存输入 token，这是提示词缓存的典型特征，输出几百个 token；同时存在一条长尾，单次请求携带数万未缓存输入 token，符合转售商背后站着大量互不相识终端用户的情况。

也就是说，攻击者拿到的并不只是一把能花钱的钥匙，而是一份现成的生意。他不需要自己写代码，只需要把账号挂上去收钱。

04

RESALE

从密钥到生意：黑色转售链

密钥被偷之后去了哪里？Wiz 追到了两个转售枢纽。这两个组织持有的，正是上述两起案例中被盗的密钥。

momo

核心基础设施是一个 IP（23.106.46.xx），历史可以追溯到 2025 年，托管过多个与 LLM 转售相关的站点。当前仍在运营的是 llm-routing.com，页面明码标价出售前沿模型的折扣访问权，接受 USDT 稳定币支付 。同一 IP 在 2026 年 3 月开始投放中文站点，标题包括 ChatGPT Team 席位兑换、ChatGPT 号池管理。

值得记一笔的时间点：2026 年 10 月 8 日，该 IP 下的一个子域名上线了一个名为 ARTEX 的自主渗透测试控制台页面。这比 Zeabur 在时间线上锁定该 IP 攻击其基础设施早了四天。

— llm-routing.com 的转售页面，直接对比官方定价与平台折扣

new api中转站

第二个转售枢纽是利用开源系统new api搭建的中转站，同样以折扣价格提供广泛的前沿模型访问。其基础设施 IP（38.246.xx.xx）对两个案例中的密钥都做过权限检查，而且检查发生在来自无关 IP 的大规模滥用已经开始之后——这说明市场上存在一个活跃的、持续吸收被盗密钥的二级市场。

该的存档站点里还有一个名为「蒸馏检测监控」的页面，按高风险、观察、正常三档给用户打分。Wiz 的判断是，这可能是转售商为了避免触发模型厂商的账号封禁而设置的自我保护机制。

观测到的指标如下：

用于 Bedrock 滥用的共享托管池包括 PEG TECH（AS54600、AS398823）、Alibaba 美国（AS45102）、Scloud（AS142002）、Sharktech（AS46844）和 Level 3（AS10753）。

∞

EPILOGUE

结语

黑色十月这个名字起得并不夸张。十二个平台，四种完全不同的入口，最终都指向同一个地方： 环境变量里那串能直接换成算力的字符串 。

但真正让这轮攻击值得记录的，不是平台失守本身，而是密钥被变现的速度。从密钥被盗到二级市场出现，中间只隔了几天；从转售网站上线到开始收割用户，不到一个星期。攻击链条上的每个环节都已有现成工具、现成脚本和现成的支付通道，甚至现成的账号池。

对平台方来说，这是一份写得很具体的工程检查表。对使用者来说，结论更简单：不要把长期有效的第三方密钥托管在别人的服务器上；如果托管了，务必确认自己知道在哪里撤销它。

END

我是 网络安全透视镜，专注 AI 安全与云原生安全。

如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。