La empresa de seguridad en la nube Wiz publicó el 30 de octubre un informe que enlaza los incidentes de seguridad revelados este mes, uno tras otro, en plataformas para desarrolladores de IA, y los bautiza como “Black October” (“Octubre Negro”). La lista incluye nueve nombres: Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode y Northflank.
La conclusión de Wiz es más mesurada que el titular. Asegura que ninguna vulnerabilidad ni dependencia única conecta estos incidentes; el conjunto solo encaja con tres tendencias: ataques con agentes, el LLMJacking (el uso indebido de cuotas de modelos ajenas) y un mercado de credenciales surgido de la demanda de “destilación”. La mayoría de los incidentes siguen en análisis, y buena parte de lo que se dice sobre su alcance procede de las redes sociales.
Los atacantes buscan variables de entorno
Los incidentes que enumera el informe, a grandes rasgos:
| Plataforma | Fecha de divulgación | Indicios ya públicos |
|---|---|---|
| Fireworks AI | 6 de octubre | Acceso a credenciales, con señales de “enjambre de agentes” |
| Zeabur | 14 de octubre | Acceso a credenciales; la empresa cerrará por este motivo |
| Lightning AI | 15 de octubre | Acceso a credenciales; ya había sufrido un ataque a la cadena de suministro |
| OpenCode | 16-17 de octubre | Sistema antiguo vulnerado; la empresa lo relaciona con la destilación |
| Railway | 20 de octubre | Por ahora se cree que fue una escalada de privilegios en la infraestructura de compilación |
| Warp | 23 de octubre | Se sospecha de una dependencia de terceros |
| CommandCode | 28 de octubre | La empresa lo relaciona con la destilación |
El informe dedica poco espacio a los detalles de Andromeda y Northflank. En redes sociales circula que a Railway le robaron unos 371.000 dólares en criptomonedas; Wiz lo marca como no confirmado.
El rasgo común es que los atacantes buscan de forma dirigida las variables de entorno almacenadas en las plataformas, sobre todo las que permiten llamar a servicios de IA. Eso también explica por qué los objetivos se concentran en plataformas de alojamiento y desarrollo: cuando una cae, lo que se obtiene son las llaves de toda una serie de clientes.
30 minutos antes y 30 horas después del robo de una clave
La parte más detallada del informe son dos casos de abuso posterior. Las dos claves empresariales se usaron por primera vez en los 30 minutos siguientes a la filtración en el proveedor: una IP residencial lanzó un InvokeModel, barrió en un minuto las claves de varias organizaciones, falló al solicitar Claude Fable 5.1 y retrocedió a Opus 5.5, con éxito.
Después llegaron varios días de calma, con solo entre 14 y 120 llamadas diarias, procedentes del mismo pequeño cliente en Go; Wiz interpreta que se comprobaba periódicamente que la clave siguiera vigente. En el caso A, el atacante esperó 4 días, un script enumeró las cuotas de Bedrock y EC2 y 22 segundos después empezó a subir la carga: unas 800.000 llamadas en unas 30 horas, con cerca del 90 % de éxito y tres cuartas partes en la familia Opus. El caso B esperó 7 días hasta entrar en lo que parece un grupo de reventa y, en unas 13 horas, realizó unas 1,7 millones de llamadas, con más de 1 millón exitosas, que abarcaron una docena larga de modelos Claude.
A precios de lista, estas dos claves podrían haber generado un uso superior a 100.000 dólares. Es una estimación de Wiz, que no aclara cuánto recibieron realmente como factura las empresas afectadas. El perfil de las llamadas también huele a reventa: la mayoría de las solicitudes tienen poca entrada sin caché y unos cientos de tokens de salida, algo propio de la caché de prompts, mientras que las de la cola larga traen decenas de miles de tokens de entrada, como si detrás hubiera muchos usuarios finales.
De dónde sale la mercancía de las API intermediarias baratas
Para los desarrolladores de habla china, la parte más cercana del informe es la cadena de reventa. Wiz menciona dos nombres: “momo”, vinculado al sitio de reventa llm-routing.com, y “Xingjiabi”, cuyo sitio es xingjiabiapi.org. Las IP de ambos tocaron las claves de los casos anteriores, y el sitio del segundo llegó a mostrar una página de “monitorización de detección de destilación” que dividía a los usuarios en alto riesgo, en observación y normales.
Las pruebas llegan hasta ahí. Wiz escribe de forma explícita que no puede determinar la relación entre las organizaciones de reventa y la intrusión original, ni vincular directamente la actividad de momo con aquella oleada de abuso a gran escala; los indicadores de compromiso listados tampoco tienen pruebas que los relacionen con los nueve incidentes. Tampoco dice que todos los intermediarios usen claves robadas. Aun así, el informe muestra al menos que una parte de las cuotas de modelo con precios anormalmente bajos puede tener un origen dudoso, y que quien las compra quizá esté entregando sus prompts a un intermediario desconocido.
El cuerpo del informe no incluye una lista de defensas. Para los equipos que han usado plataformas de la lista, lo más directo es rotar las claves de modelo almacenadas allí y revisar después los registros de la nube en busca de llamadas InvokeModel de baja frecuencia desde IP desconocidas. La clave del caso B solo podía usar perfiles us.* y aun así encontraron modelos utilizables; restringir permisos no frena este tipo de abuso, solo reduce su alcance.
Fuentes: blog de Wiz Research; CocoLoop; los costes son estimaciones de Wiz a precios de lista y algunos importes robados no están confirmados.