Das Cloud-Sicherheitsunternehmen Wiz hat am 30. Oktober einen Bericht veröffentlicht, der die in diesem Monat bekannt gewordenen Sicherheitsvorfälle bei KI-Entwicklerplattformen zusammenführt und als „Black October“ („Schwarzer Oktober“) bezeichnet. Auf der Liste stehen neun Namen: Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode und Northflank.
Wiz’ Schlussfolgerung fällt zurückhaltender aus als die Überschrift. Es gebe keine einzelne Schwachstelle und keine einzelne Abhängigkeit, die diese Vorfälle verbindet; das Gesamtbild passe lediglich zu drei Trends: agentische Angriffe, LLMJacking (der Missbrauch fremder Modellkontingente) und ein Markt für Zugangsdaten, der aus dem Bedarf an „Destillation“ entstanden ist. Die meisten Vorfälle werden noch analysiert, und viele Angaben zum Ausmaß stammen aus sozialen Medien.
Die Angreifer durchsuchen Umgebungsvariablen
Die im Bericht aufgeführten Vorfälle im Überblick:
| Plattform | Bekanntgabe | Öffentlich bekannte Anhaltspunkte |
|---|---|---|
| Fireworks AI | 6. Oktober | Zugriff auf Zugangsdaten, Hinweise auf einen „Agentenschwarm“ |
| Zeabur | 14. Oktober | Zugriff auf Zugangsdaten, das Unternehmen wird deshalb schließen |
| Lightning AI | 15. Oktober | Zugriff auf Zugangsdaten, zuvor bereits Opfer eines Supply-Chain-Angriffs |
| OpenCode | 16.–17. Oktober | Altsystem kompromittiert, laut Unternehmen mit Destillation verbunden |
| Railway | 20. Oktober | Derzeit wird eine Rechteausweitung in der Build-Infrastruktur vermutet |
| Warp | 23. Oktober | Verdacht auf eine Drittanbieter-Abhängigkeit |
| CommandCode | 28. Oktober | Laut Unternehmen mit Destillation verbunden |
Zu Andromeda und Northflank enthält der Bericht nur wenige Details. In sozialen Medien kursiert, bei Railway seien Kryptowährungen im Wert von rund 371.000 US-Dollar gestohlen worden; Wiz kennzeichnet das als unbestätigt.
Gemeinsam ist den Fällen, dass die Angreifer gezielt nach auf den Plattformen hinterlegten Umgebungsvariablen suchen, vor allem nach solchen, die den Zugriff auf KI-Dienste erlauben. Das erklärt auch, warum sich die Ziele auf Hosting- und Entwicklerplattformen konzentrieren: Wird eine davon geknackt, erbeuten die Angreifer die Schlüssel einer ganzen Reihe von Kunden.
30 Minuten vor und 30 Stunden nach dem Diebstahl eines Schlüssels
Der detaillierteste Teil des Berichts sind zwei Fälle von Missbrauch im Nachgang. Beide Unternehmensschlüssel wurden innerhalb von 30 Minuten nach dem Leak beim Anbieter erstmals genutzt: Eine IP-Adresse aus einem Privatnetz setzte einen InvokeModel-Aufruf ab, prüfte binnen einer Minute die Schlüssel mehrerer Organisationen, scheiterte mit einer Anfrage an Claude Fable 5.1 und wich dann erfolgreich auf Opus 5.5 aus.
Danach folgte eine mehrtägige ruhige Phase mit nur 14 bis 120 Aufrufen pro Tag, ausgeführt von demselben kleinen Go-Client; Wiz vermutet, dass hier regelmäßig geprüft wurde, ob der Schlüssel noch gültig ist. In Fall A wartete der Angreifer 4 Tage, ein Skript zählte die Bedrock- und EC2-Kontingente durch, 22 Sekunden später begann die Hochlast: In rund 30 Stunden kamen etwa 800.000 Aufrufe zusammen, rund 90 Prozent davon erfolgreich, drei Viertel entfielen auf die Opus-Reihe. In Fall B vergingen 7 Tage, bis der Schlüssel in einen mutmaßlichen Weiterverkaufspool gelangte; in etwa 13 Stunden gab es rund 1,7 Millionen Aufrufe, über 1 Million davon erfolgreich, quer über ein Dutzend Claude-Modelle.
Nach Listenpreisen könnten diese beiden Schlüssel eine Nutzung von mehr als 100.000 US-Dollar verursacht haben. Das ist eine Schätzung von Wiz; wie hoch die Rechnungen der betroffenen Unternehmen tatsächlich ausfielen, nennt das Unternehmen nicht. Auch das Aufrufmuster wirkt nach Weiterverkauf: Die meisten Anfragen enthalten nur wenig nicht gecachte Eingabe und einige hundert Ausgabe-Token, was zum Muster von Prompt-Caching passt, während die Anfragen im langen Schwanz Eingaben von mehreren zehntausend Token mitbringen, als stünden viele Endnutzer dahinter.
Woher die Ware der Billig-Relay-APIs stammt
Für chinesischsprachige Entwickler ist die Weiterverkaufskette der naheliegendste Teil des Berichts. Wiz nennt zwei Namen: „momo“, verbunden mit der Weiterverkaufsseite llm-routing.com, und „Xingjiabi“ mit der Website xingjiabiapi.org. Die IP-Adressen beider haben die Schlüssel der oben genannten Fälle berührt, und die Seite des Letzteren führte zeitweise eine Seite zur „Überwachung von Destillation“, die Nutzer in hohes Risiko, Beobachtung und normal einteilte.
Mehr Belege gibt es nicht. Wiz schreibt ausdrücklich, es lasse sich nicht klären, in welchem Verhältnis die Weiterverkaufsorganisationen zum ursprünglichen Einbruch stehen, und der Betrieb von momo lasse sich auch nicht direkt mit der groß angelegten Missbrauchswelle verknüpfen; auch für die aufgeführten Kompromittierungsindikatoren gebe es keinen Nachweis eines Zusammenhangs mit den neun Vorfällen. Der Bericht behauptet zudem nicht, dass alle Relay-Dienste gestohlene Schlüssel verwenden. Er zeigt aber zumindest, dass ein Teil der auffallend günstigen Modellkontingente womöglich aus fragwürdiger Quelle stammt und Käufer ihre Prompts womöglich einem unbekannten Mittelsmann anvertrauen.
Eine Verteidigungs-Checkliste liefert der Hauptteil des Berichts nicht. Für Teams, die Plattformen aus der Liste genutzt haben, besteht der direkteste Schritt darin, dort hinterlegte Modellschlüssel zu rotieren und anschließend die Cloud-Protokolle auf seltene InvokeModel-Aufrufe von unbekannten IPs zu prüfen. Der Schlüssel in Fall B durfte nur das Profil us.* nutzen, und trotzdem wurden verwendbare Modelle gefunden; eingeschränkte Berechtigungen verhindern diese Art von Missbrauch nicht, sondern begrenzen nur seinen Umfang.
Quellen: Wiz-Research-Blog; CocoLoop; die Kosten sind Wiz-Schätzungen auf Basis von Listenpreisen, einige gestohlene Beträge sind unbestätigt.