Wiz опубликовала 30 октября 2026 года отчёт «Black October»: в течение одного месяца не менее девяти AI-платформ для разработчиков — от Fireworks AI до Northflank — раскрыли инциденты безопасности. По оценке компании, дело не в фоновом сканировании, а в целевых операциях: злоумышленники искали в переменных окружения сохранённые API-ключи AI-сервисов, чтобы красть и перепродавать доступ к LLM, — Wiz называет эту схему LLMJacking. Украденные корпоративные ключи Amazon Bedrock в задокументированных случаях начинали работать уже в течение 30 минут, поэтому речь идёт не о разовых проблемах отдельных площадок, а о смене профиля рисков для всей инженерной инфраструктуры AI-разработки.

image
image

Что произошло

Отчёт «Black October» вышел 30 октября 2026 года и свёл воедино девять раскрытий, растянутых по всему месяцу: Fireworks AI — 6 октября, Andromeda — 9-го, Zeabur — 14-го, Lightning AI — 15-го, OpenCode — 16–17 октября, Railway — 20-го, Warp — 23-го, CommandCode — 28-го и Northflank — 30-го. По реконструкции Wiz, злоумышленники действовали адресно: они не сканировали сервисы подряд, а целенаправленно искали сохранённые переменные окружения, в которых команды держат API-ключи AI-сервисов. В двух задокументированных эпизодах похищенные корпоративные ключи Amazon Bedrock заработали практически сразу после утечки: на первом прошло примерно 800 000 вызовов за 30 часов, на втором — около 1,7 млн вызовов за 13 часов, а счёт по списочным ценам, по оценке Wiz, превысил $100 000. В том же отчёте задокументирована кража около $371 000 в криптовалюте через ключи, хранившиеся на Railway.

Контекст

Чтобы понять, почему пострадали именно платформы для разработчиков, важно видеть механику, которую Wiz называет LLMJacking: ключи к LLM крадут не ради самой утечки, а ради перепродажи доступа покупателям, поэтому украденный ключ превращается в товар почти мгновенно. На таких площадках — хостинге, CI/CD, средах запуска агентов — переменные окружения остаются стандартным способом доставлять секреты в приложение, и в них скапливаются ключи множества команд: к LLM-провайдерам, платёжным и смежным сервисам. Один успешный взлом такой площадки открывает злоумышленнику склад чужих креденшелов целиком, а не по одному. Отсюда вывод, к которому подталкивают описанные сценарии: периодический аудит секретов не поспевает за скоростью монетизации, поэтому обнаружение должно опираться на непрерывный мониторинг аномального потребления токенов и заранее заданные ограничения scope — иначе счёт набегает раньше, чем человек в команде успеет заметить неладное.

Почему это важно для индустрии

Для индустрии «Black October» — одновременно сигнал опасности и карта спроса. Хранение секретов превращается в продуктовое свойство платформ: клиенты будут спрашивать, есть ли vault-подобное хранилище или короткоживущие credentials, ограничен ли scope ключей по умолчанию, работают ли встроенные квоты. Обязательным слоем стека становится онлайн-детекция аномалий потребления inference: чужие вызовы нарастают быстрее любой ручной реакции, поэтому без автоматических бюджетных ограничений и блокировки ущерб успевает выйти далеко за пределы планового бюджета. На этой волне оформляется новый сегмент инструментов — инвентаризация и ротация ключей, per-key лимиты, spend-guard и kill switch на расход, — а слой управления LLM-креденшелами со временем может встать в один ряд с CI/CD и SSO как стандартная часть инфраструктуры. Отдельный эффект — нормализация публичного раскрытия: девять раскрытий за один месяц задают прецедент, после которого молчание о подобном инциденте выглядит репутационной аномалией, а команды начнут включать вопросы о хранении секретов и лимитах в стандартный vendor-чеклист перед выбором платформы.

Почему это важно для пользователей

Читателям стоит проверить, хранились ли их API-ключи — к OpenAI, Anthropic, Amazon Bedrock, Stripe или любому другому сервису — в переменных окружения на Railway, Lightning AI, Fireworks, Warp, Zeabur, OpenCode, Andromeda, CommandCode или Northflank. Если да, план действий такой: инвентаризировать ключи и ротировать всё, что касалось этих платформ; сузить scope так, чтобы ключ умел ровно то, что ему действительно нужно; перейти на короткоживущие креденшелы там, где это возможно; задать на стороне провайдера часовые и суточные квоты и включить бюджетные алерты на каждый ключ. Параллельно полезно сверить логи с признаками атаки из отчёта Wiz: резкий рост числа API-вызовов, запросы с residential IP и из прокси-пулов, использование global.* inference profiles. Даже если логи чисты, ротация и ограничение прав остаются разумной предосторожностью, потому что разбираться с чужими списаниями по своему счёту дешевле заранее, чем постфактум.

Что пока неизвестно / ограничения

Вся картина восходит к одному первоисточнику — отчёту Wiz, поэтому его интерпретации вроде целевого характера атак и экономики LLMJacking пока не подкреплены независимыми проверками. Сама выборка смещена в сторону раскрытий: в неё попадают только платформы, которые сами рассказали об инцидентах, значит девять эпизодов — нижняя, витринная граница проблемы, а не её масштаб. Wiz упоминает попытки использовать похищенный трафик для дистилляции — выучивания поведения моделей на чужих вызовах, — однако об успехе этих попыток данных нет, так что сценарий model extraction остаётся неподтверждённой гипотезой. Оценка ущерба в двух ключевых эпизодах делалась по списочным ценам и может отличаться от фактических счетов, а полный список затронутых заказчиков и число скомпрометированных ключей в отчёте не раскрыты.

Источники

Автор

Look at AI, редакция