A empresa de segurança em nuvem Wiz publicou em 30 de outubro um relatório que reúne os incidentes de segurança divulgados em sequência neste mês por plataformas para desenvolvedores de IA e os batiza de “Black October” (“Outubro Negro”). A lista traz nove nomes: Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode e Northflank.
A conclusão da Wiz é mais contida do que o título. A empresa diz que nenhuma vulnerabilidade ou dependência isolada liga esses incidentes; o conjunto apenas se encaixa em três tendências: ataques agênticos, o LLMJacking (uso indevido de cotas de modelos alheias) e um mercado de credenciais que surgiu da demanda por “destilação”. A maioria dos incidentes ainda está em análise, e muitas informações sobre o alcance vêm das redes sociais.
Os atacantes vasculham variáveis de ambiente
Os incidentes listados no relatório, em linhas gerais:
| Plataforma | Data da divulgação | Pistas já públicas |
|---|---|---|
| Fireworks AI | 6 de outubro | Acesso a credenciais, com indícios de “enxame de agentes” |
| Zeabur | 14 de outubro | Acesso a credenciais; a empresa vai encerrar as operações por causa disso |
| Lightning AI | 15 de outubro | Acesso a credenciais; já havia sofrido um ataque à cadeia de suprimentos |
| OpenCode | 16 a 17 de outubro | Sistema antigo invadido; a empresa diz que há relação com destilação |
| Railway | 20 de outubro | Hoje se acredita em escalonamento de privilégios na infraestrutura de build |
| Warp | 23 de outubro | Suspeita de dependência de terceiros |
| CommandCode | 28 de outubro | A empresa diz que há relação com destilação |
O relatório dedica pouco espaço aos detalhes de Andromeda e Northflank. Nas redes sociais circula que a Railway teria perdido cerca de 371 mil dólares em criptomoedas; a Wiz classifica a informação como não confirmada.
O ponto em comum é que os atacantes procuram de forma direcionada as variáveis de ambiente armazenadas nas plataformas, sobretudo as que permitem acessar serviços de IA. Isso também explica por que os alvos se concentram em plataformas de hospedagem e desenvolvimento: quando uma delas cai, o que se obtém são as chaves de vários clientes de uma só vez.
30 minutos antes e 30 horas depois do roubo de uma chave
A parte mais detalhada do relatório trata de dois casos de abuso posterior. Ambas as chaves corporativas foram usadas pela primeira vez em até 30 minutos após o vazamento no fornecedor: um IP residencial disparou um InvokeModel, varreu em um minuto chaves de várias organizações, falhou ao pedir o Claude Fable 5.1 e recuou para o Opus 5.5, com sucesso.
Seguiram-se alguns dias de calmaria, com apenas 14 a 120 chamadas por dia, vindas de um mesmo pequeno cliente em Go; a Wiz avalia que se tratava de uma checagem periódica para ver se a chave continuava válida. No caso A, o atacante esperou 4 dias, um script enumerou as cotas de Bedrock e EC2 e, 22 segundos depois, a carga disparou: cerca de 800 mil chamadas em aproximadamente 30 horas, com cerca de 90% de sucesso e três quartos delas na linha Opus. O caso B esperou 7 dias para entrar em um suposto pool de revenda e, em cerca de 13 horas, fez aproximadamente 1,7 milhão de chamadas, com mais de 1 milhão bem-sucedidas, envolvendo uma dúzia de modelos Claude.
Aos preços de tabela, essas duas chaves podem ter gerado um uso superior a 100 mil dólares. É uma estimativa da Wiz, que não informa quanto as empresas afetadas receberam de fato em cobrança. O perfil das chamadas também lembra revenda: a maioria das requisições tem pouca entrada fora do cache e algumas centenas de tokens de saída, compatível com o padrão de prompt caching, enquanto as requisições da cauda longa trazem dezenas de milhares de tokens de entrada, como se houvesse muitos usuários finais por trás.
De onde vem a mercadoria das APIs intermediárias baratas
Para os desenvolvedores de língua chinesa, a parte mais próxima da realidade no relatório é a cadeia de revenda. A Wiz cita dois nomes: “momo”, ligado ao site de revenda llm-routing.com, e “Xingjiabi”, cujo site é xingjiabiapi.org. Os IPs de ambos tocaram as chaves dos casos acima, e o site do segundo chegou a exibir uma página de “monitoramento de detecção de destilação”, que dividia os usuários em alto risco, observação e normal.
As evidências terminam aí. A Wiz escreve com clareza que não é possível determinar a relação entre as organizações de revenda e a invasão original, nem vincular diretamente a operação de momo àquela onda de abuso em larga escala; os indicadores de comprometimento listados também não têm prova de ligação com os nove incidentes. O relatório tampouco diz que todos os intermediários usam chaves roubadas. Ainda assim, ele mostra pelo menos que parte das cotas de modelo com preço anormalmente baixo pode ter origem duvidosa, e que quem compra talvez entregue seus prompts a um intermediário desconhecido.
O corpo do relatório não traz uma lista de defesa. Para as equipes que usaram plataformas da lista, a medida mais direta é rotacionar as chaves de modelo armazenadas nelas e depois consultar os logs da nuvem em busca de chamadas InvokeModel esporádicas vindas de IPs desconhecidos. A chave do caso B só podia usar perfis us.* e, mesmo assim, os atacantes encontraram modelos utilizáveis; restringir permissões não impede esse tipo de abuso, apenas reduz o alcance.
Fontes: blog Wiz Research; CocoLoop; os custos são estimativas da Wiz com base em preços de tabela, e alguns valores roubados não foram confirmados.