Кража доступа к нейросетям превратилась в поток миллионов платных запросов за чужой счёт. Компания Wiz насчитала не менее девяти инцидентов на ИИ-платформах в октябре 2026 года. В двух случаях злоумышленники использовали похищенные ключи Amazon Bedrock для примерно 2,5 млн обращений к моделям. Стоимость потреблённых ресурсов по открытым тарифам могла превысить $100 тыс.
Среди пострадавших сервисов оказались Fireworks AI, Lightning AI, OpenCode, Railway, Warp и Northflank. Атакующие искали секреты в переменных окружения, где приложения хранят пароли и ключи API. Сходство целей ещё не доказывает общего организатора или единой уязвимости. Причины отдельных взломов различались, а технические подробности большинства инцидентов пока не раскрыты.
В первом подробно изученном случае преступники проверили работоспособность ключа, затем несколько дней отправляли небольшое число запросов. Позже атакующие перебрали доступные модели и региональные лимиты Amazon Bedrock. За 30 часов прошли около 800 тыс. вызовов API, причём примерно 90% завершились успешно. Массовый поток прекратился после отзыва скомпрометированного доступа.
Второй ключ обладал более узкими правами, но ограничение не остановило злоупотребление. Первые массовые запросы отклонялись из-за попыток использовать запрещённые глобальные маршруты. После проверки разрешённых регионов злоумышленники за 13 часов отправили ещё около 1,7 млн вызовов, из которых свыше миллиона выполнились. Остальные в основном упёрлись в ограничения по частоте обращений.
Wiz зафиксировала первые проверки двух ключей в течение получаса после предполагаемого доступа к учётным данным на взломанной платформе. Позднее адреса, связанные с перепродажей доступа к ИИ-моделям, проверяли права похищенных ключей. Однако связь продавцов с первоначальными взломами и потоком миллионов запросов не доказана. Подобную схему называют LLMJacking.
Масштаб кампании складывался из разных историй. При взломе Railway посторонние могли получить переменные окружения клиентов, в отдельных случаях в расшифрованном виде. OpenCode сообщала о риске раскрытия ключей сторонних моделей примерно у 1,4% пользователей сервиса. Подтверждённых сведений о том, что все октябрьские эпизоды провела одна группа, до сих пор нет.
В Northflank инцидент обнаружили 30 октября после предупреждения Wiz. Клиенты подтвердили постороннее использование ключей доступа к ИИ. В обновлении от 2 ноября компания сообщила, что остановила предполагаемый путь проникновения в течение часа после сигнала тревоги. Признаков доступа к работающим приложениям и данным рабочих нагрузок Northflank пока не нашла.
При этом Northflank считает секреты в управляющей инфраструктуре потенциально скомпрометированными и просит клиентов заменить все ключи, включая облачные, платёжные и доступы к базам данных. Компания также советует проверить журналы провайдеров ИИ и неожиданные расходы. Независимая криминалистическая проверка продолжается, окончательные причины и полный масштаб взлома пока неизвестны.