Wiz／資安研究：「Black October」至少九家 AI 開發者平台連環披露事故——鎖定環境變數與 LLM 金鑰；觀測企業金鑰於 Bedrock 遭大規模濫用

重點摘要

雲端保安研究機構 Wiz 於二零二六年十月三十日發表「Black October」分析，指十月至少九家人工智能開發者平台相繼披露資安事故，攻擊者鎖定平台上存放的環境變數、尤其是可呼叫大型語言模型的應用程式介面金鑰；部分平台指涉「代理蜂群」或模型蒸餾動機。Wiz 並以自身遙測展示兩宗企業金鑰遭盜用後，於 Amazon Bedrock 分別出現約八十萬次與約一百七十萬次推論呼叫的後續濫用。本文以 Wiz 官方研究為主，並對照 Railway、Zeabur、Lightning AI 等平台事故說明核對時間線與處置建議，來源真實性已驗證。

Wiz／資安研究：「Black October」至少九家 AI 開發者平台連環披露事故——鎖定環境變數與 LLM 金鑰；觀測企業金鑰於 Bedrock 遭大規模濫用

雲端保安研究機構 Wiz 於二零二六年十月三十日發表「Black October」分析，指十月至少九家人工智能開發者平台相繼披露資安事故，攻擊者鎖定平台上存放的環境變數、尤其是可呼叫大型語言模型的應用程式介面金鑰；部分平台指涉「代理蜂群」或模型蒸餾動機。Wiz 並以自身遙測展示兩宗企業金鑰遭盜用後，於 Amazon Bedrock 分別出現約八十萬次與約一百七十萬次推論呼叫的後續濫用。本文以 Wiz 官方研究為主，並對照 Railway、Zeabur、Lightning AI 等平台事故說明核對時間線與處置建議，來源真實性已驗證。

Wiz／資安研究：「Black October」至少九家 AI 開發者平台連環披露事故——鎖定環境變數與 LLM 金鑰；觀測企業金鑰於 Bedrock 遭大規模濫用

開發者把推論金鑰、資料庫密語與雲端憑證寫進平台環境變數，本為加速部署；當攻擊者把目標從單一倉庫轉向「代管整片環境變數平面」的 AI 開發者平台，一次失守便可同時拿走多間客戶的上游模型與雲端權限。Wiz 研究員 Benjamin Read、Rami McCarthy 於十月三十日把十月連串事故串成公開敘事，並補上金鑰轉售與 LLMJacking 下游證據。來源真實性已驗證。

一、核心事件與公開時間線

九家平台、一個月

Wiz 列出於十月披露事故的至少九家人工智能開發者平台（括號為文中日期）：Fireworks AI（十月六日）、Andromeda（十月九日）、Zeabur（十月十四日）、Lightning AI（十月十五日）、OpenCode（十月十六至十七日）、Railway（十月二十日）、Warp（十月二十三日）、CommandCode（十月二十八日）、Northflank（十月三十日）。Wiz 指 Fireworks、OpenCode 與 Warp 均曾報告「代理蜂群」（agent swarm）攻擊跡象；Andromeda 事故說明稱之為「全行業攻擊」的一部分；OpenCode 與 CommandCode 則明確把事件歸因於模型「蒸餾」（distillation）嘗試。

共同模式：獵取環境變數中的 AI 權限

Wiz 強調，公開報告一致指向針對性利用、明確搜尋已儲存的環境變數，並優先鎖定可授予人工智能存取權的變數。文中並無宣稱存在單一共用漏洞或依賴項把九宗事件串成同一 CVE；反而描述為手法與動機高度相似的連串行動，並與近年「代理式攻擊」及 LLMJacking／LLM 仲介轉售市場的上升趨勢對齊。蒸餾需求（文中提及有指中國人工智能實驗室相關指控，屬引用既有說法）亦被視為推高金鑰黑市價值的因素之一。

平台側已公開的根因片段

按 Wiz 彙整：Fireworks、Zeabur 與 Lightning 均把根因歸因於憑證存取；Lightning 早前亦曾受 Mini-Shai Hulud 供應鏈活動波及。Railway 初步認為初始存取與「建置基礎設施內的權限提升」有關；Warp 懷疑第三方供應商依賴；OpenCode 則指「舊有系統」。Zeabur 已就事故發表較完整說明，並宣布將於二零二六年十二月三十一日關閉服務；Railway 已發布初步報告與時間線。多數事件仍在調查，細節技術資訊尚未全面公開——本文亦不補寫未經驗證的攻擊鏈步驟。

Wiz 觀測到的下游企業金鑰濫用

Wiz 指在社交媒體僅見零星影響描述，例如據稱以存放於 Railway 的加密貨幣金鑰失竊約三十七萬一千美元，以及 OpenCode 被盜人工智能存取導致用戶帳單達數百至數千美元級；但研究團隊另觀測到可歸因於其中供應商外洩的企業憑證遭後續濫用，並公開兩宗案例摘要：

  • 案例 A：金鑰在供應商外洩後約三十分鐘內，自住宅 IP 出現首次未授權 InvokeModel 探測（先試 Claude Fable 5.1 失敗，再回退其他 Opus 級模型）；其後數日以小型 Go 客戶端低量驗證；約四日後經輪替代理目錄探測多廠商模型，再以 boto3 枚舉 Bedrock 與 EC2 配額。金鑰被補救前約三十小時內，攻擊者發出約八十萬次 Bedrock 呼叫，約九成成功；金鑰政策允許 global.* 跨區域推論設定檔。
  • 案例 B：金鑰權限較受限；約七日後進入疑似轉售池，數小時內自輪替託管地址出現大量失敗呼叫。辨識可用區域模型後，同一版本字串的 boto3 腳本再次探測；補救前約十三小時內，單一 Level 3 託管地址發出約一百七十萬次 Bedrock 呼叫，成功逾一百萬次，其餘多為配額節流。流量橫跨約十二個 Claude 模型。

Wiz 指兩案用量輪廓近似轉售的編程代理流量（短輸入、數百 token 輸出，並見 prompt caching 特徵），並把部分基礎設施與公開 LLM 轉售據點「momo」（與 IP 23.106.46.239 相關）及「Xingjiabi」（xingjiabiapi.org）連結；同網段亦曾託管標題為「ARTEX — 自主滲透測試控制台」的頁面，時間點早於 Zeabur 時間線指該 IP 瞄準其基建數日。Wiz 同時聲明：未能斷言轉售組織與初始入侵或後續「洪峰」濫用之間的完整關係，亦未把所有測試 IP 直接歸入「Black October」初始攻擊。

二、技術原理與風險模型

為何「平台環境變數」變成高價值平面

現代 AI 開發者平台把建置、部署、密鑰注入與日誌集中在同一控制面。環境變數往往同時承載：上游模型供應商金鑰、物件儲存與資料庫連線字串、容器倉庫憑證、甚至加密貨幣或支付相關密鑰。攻擊者一旦取得可解密或可讀取該平面的權限，爆裂半徑不再是「一個倉庫被改」，而是「平台上多個工作區的供應商身份被複製」。Railway 官方初步報告亦寫明攻擊目標包括取得 AI 供應商 API 金鑰以進行蒸餾；並建議用戶立即輪替存放於平台的全部環境變數與私有倉庫憑證。

LLMJacking：偷來的金鑰如何變現

LLMJacking 指盜用雲端或供應商身份，把受害者帳戶的模型配額轉售或自用。Wiz 兩案顯示典型節奏：先快速驗證金鑰是否仍有效 → 低量保活 → 目錄／配額枚舉 → 以託管或住宅出口拉開洪峰推論。若金鑰政策允許跨區域或寬鬆模型清單，攻擊者可避開單一區域配額牆；反之則大量呼叫會撞上節流。對企業而言，帳單異常、來自陌生 ASN 的 Bedrock／同等 API 流量、以及短時間內對多模型的目錄探測，都是可觀測指標。

「無單一 CVE」仍可成活動

九宗披露並不依賴同一修補編號，反而更接近：憑證與建置鏈、舊系統、第三方依賴、共享叢集隔離不足等營運與架構弱點，被同一類目標（AI 金鑰）反覆利用。對防守方，這意味著只追 CVE 公告並不足夠，還要假設「代管密鑰平面」本身是資產，並對供應商事故啟動與自身輪替、日誌與上游吊銷同步的劇本。

三、日常應用場景

1. 開發者與技術團隊

若使用 Railway、Lightning、同類 AI／應用平台或自建密鑰注入：把生產級模型與雲端金鑰改為短效、可範圍限制的憑證；禁止在環境變數存放加密貨幣私鑰或長期 root；對 Bedrock／OpenAI 相容端點啟用異常用量告警與來源 IP／ASN 基線。事故後除輪替平台內變數，亦須在上游供應商吊銷、檢查是否已有陌生推論與資料存取。建置系統（CI）與執行環境的權限應分離，避免「攻陷建置即可解密全部工作區密鑰」。

2. 企業與隱私敏感行業

金融、法律、醫療與政府相關團隊若把私有資料管線掛在第三方 AI 開發者平台，應把「平台披露環境變數／金鑰外洩」列為供應商事故級別：合約通知時限、取證協助、暫停部署、強制輪替與替代區域。可改以香港境內或自控的私有推論閘道承載敏感工作負載，第三方平台僅作非敏感原型。定期盤點哪些業務金鑰曾寫入 SaaS 環境變數平面。

3. 一般用戶與獨立開發者

個人專案同樣可能因平台事故出現異常 AI 帳單。收到平台通知或公開披露後，應立即在模型供應商控制台吊銷舊鑰、檢查用量與登入／API 日誌，並更新本機與 CI 中的複本。勿把錢包助記詞或交易所 API 寫進任何託管平台的環境變數。

4. 香港與亞洲市場視角

香港初創與外包團隊大量使用海外 AI 開發者平台加速交付；亞洲亦見 Zeabur 等區域平台受創並走向結束營運。對本地企業，重點是把「密鑰託管位置」納入雲端遷移與網絡安全基線：哪些金鑰必須留在自控密鑰管理或地端；哪些可短效注入；供應商一出事，帳務、法務與工程能否在數小時內同步輪替。黑色十月說明：即使沒有單一滿分 CVE，針對 AI 金鑰的連串平台事故已足以造成跨租戶帳單與資料風險。

四、專業評價與潛在考量

優勢

Wiz 以公開時間線把九家平台披露收束為可傳播的行業敘事，並補上可核對的下游 Bedrock 濫用量級（約八十萬／約一百七十萬次呼叫）與轉售基礎設施觀察，令「環境變數失守 → 金鑰驗證 → 轉售／洪峰推論」鏈條比單篇狀態頁更完整。點名蒸餾與代理蜂群等動機，有助資安與工程團隊向管理層解釋為何 AI 平台事故不同於一般網站篡改。對照 Railway、Zeabur、Lightning 等官方說明，時間與「輪替環境變數／吊銷憑證」建議一致。

需要留意的地方

多數平台仍稱調查未完，根因與受影響租戶比例未全部公開；社交媒體上的加密貨幣失竊金額屬「據稱」，不宜當作已司法裁定的損失。Wiz 對轉售組織與初始入侵的因果關係持保留，讀者不應把 IOCs 以外的推論當成已確認歸屬。Northflank 等單一平台事故已有獨立披露，閱讀本篇應著眼「連串活動與 LLMJacking 下游」，而非重複單一狀態頁細節。企業若只輪替平台變數、未同步上游模型與雲端 IAM，仍可能留下有效被盜複本。

結語

Wiz 所稱的「Black October」，把十月至少九家 AI 開發者平台的披露，收束成針對環境變數與大型語言模型金鑰的連串壓力測試，並以企業 Bedrock 金鑰遭數十萬至逾百萬次呼叫的遙測，說明失守之後的變現速度。對香港機構而言，重點是重劃密鑰平面：哪些憑證可以進第三方平台、哪些必須留在自控環境，以及供應商一發布事故時能否立刻輪替、吊銷與稽核用量。若貴機構需要在香港加固雲端工作負載、身份與密鑰管理，或就 AI 平台供應商事故後的架構覆核取得實作支援，可參考 YSK Limited 的香港雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章