L'entreprise de sécurité cloud Wiz a publié le 30 octobre un rapport qui relie les incidents de sécurité révélés à la suite ce mois-ci sur des plateformes pour développeurs d'IA, et qu'elle baptise « Black October » (« Octobre noir »). La liste compte neuf noms : Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode et Northflank.
La conclusion de Wiz est plus mesurée que le titre. L'entreprise affirme qu'aucune faille ni aucune dépendance unique ne relie ces incidents ; l'ensemble correspond seulement à trois tendances : les attaques agentiques, le LLMJacking (le détournement des quotas de modèles d'autrui) et un marché d'identifiants né de la demande de « distillation ». La plupart des incidents sont encore en cours d'analyse, et une bonne part de ce qui se dit sur leur ampleur provient des réseaux sociaux.
Les attaquants fouillent les variables d'environnement
Les incidents répertoriés dans le rapport, dans les grandes lignes :
| Plateforme | Date de divulgation | Indices déjà publics |
|---|---|---|
| Fireworks AI | 6 octobre | Accès à des identifiants, avec des signes d'« essaim d'agents » |
| Zeabur | 14 octobre | Accès à des identifiants ; l'entreprise va fermer à cause de cet incident |
| Lightning AI | 15 octobre | Accès à des identifiants ; avait déjà subi une attaque sur la chaîne d'approvisionnement |
| OpenCode | 16-17 octobre | Ancien système compromis ; l'entreprise évoque un lien avec la distillation |
| Railway | 20 octobre | On pense pour l'instant à une élévation de privilèges dans l'infrastructure de build |
| Warp | 23 octobre | Une dépendance tierce est soupçonnée |
| CommandCode | 28 octobre | L'entreprise évoque un lien avec la distillation |
Le rapport consacre peu de place aux détails sur Andromeda et Northflank. Sur les réseaux sociaux, il se dit que Railway aurait perdu environ 371 000 dollars en cryptomonnaies ; Wiz signale cette information comme non confirmée.
Le point commun est que les attaquants recherchent de manière ciblée les variables d'environnement stockées sur les plateformes, en particulier celles qui permettent d'appeler des services d'IA. Cela explique aussi pourquoi les cibles se concentrent sur les plateformes d'hébergement et de développement : quand l'une d'elles tombe, c'est le trousseau de toute une série de clients qui est récupéré.
30 minutes avant, 30 heures après le vol d'une clé
La partie la plus détaillée du rapport porte sur deux cas d'abus en aval. Les deux clés d'entreprise ont été utilisées pour la première fois dans les 30 minutes suivant la fuite chez le fournisseur : une IP résidentielle a lancé un InvokeModel, balayé en une minute les clés de plusieurs organisations, échoué en demandant Claude Fable 5.1, puis replié sur Opus 5.5, avec succès.
S'ensuivent quelques jours de calme, avec seulement 14 à 120 appels par jour, émis par un même petit client Go ; Wiz y voit une vérification périodique de la validité de la clé. Dans le cas A, l'attaquant a attendu 4 jours, un script a énuméré les quotas Bedrock et EC2, et 22 secondes plus tard la charge est montée : environ 800 000 appels en quelque 30 heures, avec environ 90 % de succès et trois quarts sur la famille Opus. Le cas B a attendu 7 jours avant d'entrer dans ce qui ressemble à un pool de revente, puis a effectué en environ 13 heures quelque 1,7 million d'appels, dont plus d'un million réussis, touchant une douzaine de modèles Claude.
Aux tarifs catalogue, ces deux clés pourraient avoir généré un usage de plus de 100 000 dollars. Il s'agit d'une estimation de Wiz, qui ne précise pas quelles factures les entreprises victimes ont réellement reçues. Le profil des appels sent aussi la revente : la plupart des requêtes comportent peu d'entrée non mise en cache et quelques centaines de tokens de sortie, ce qui correspond au schéma de la mise en cache des prompts, tandis que les requêtes de la longue traîne portent des dizaines de milliers de tokens en entrée, comme si de nombreux utilisateurs finaux se trouvaient derrière.
D'où vient la marchandise des API relais à bas prix
Pour les développeurs sinophones, la partie la plus proche de leur quotidien est la chaîne de revente. Wiz cite deux noms : « momo », lié au site de revente llm-routing.com, et « Xingjiabi », dont le site est xingjiabiapi.org. Les IP des deux ont touché les clés des cas ci-dessus, et le site du second a même affiché une page de « surveillance de détection de distillation » qui classait les utilisateurs en risque élevé, sous observation et normaux.
Les preuves s'arrêtent là. Wiz écrit explicitement qu'il est impossible de déterminer le lien entre les organisations de revente et l'intrusion initiale, ni de rattacher directement l'activité de momo à cette vague d'abus à grande échelle ; les indicateurs de compromission listés ne sont pas non plus liés par des preuves aux neuf incidents. Le rapport ne dit pas non plus que tous les relais utilisent des clés volées. Il montre néanmoins qu'une partie des quotas de modèles à prix anormalement bas peut avoir une origine douteuse, et que les acheteurs confient peut-être leurs prompts à un intermédiaire inconnu.
Le corps du rapport ne propose pas de liste de mesures défensives. Pour les équipes qui ont utilisé des plateformes de la liste, l'action la plus directe consiste à renouveler les clés de modèles qui y sont stockées, puis à vérifier dans les journaux cloud la présence d'appels InvokeModel peu fréquents depuis des IP inconnues. La clé du cas B ne pouvait utiliser que les profils us.* et des modèles exploitables ont tout de même été trouvés ; restreindre les permissions n'empêche pas ce type d'abus, cela en réduit seulement l'étendue.
Sources : blog Wiz Research ; CocoLoop ; les coûts sont des estimations de Wiz aux tarifs catalogue, et certains montants volés ne sont pas confirmés.