Công ty bảo mật đám mây Wiz ngày 30/10 đã công bố một báo cáo xâu chuỗi các sự cố bảo mật lần lượt được công bố tại các nền tảng dành cho nhà phát triển AI trong tháng này, và gọi đó là “Black October” (Tháng Mười đen). Danh sách gồm chín cái tên: Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode và Northflank.
Kết luận của Wiz thận trọng hơn so với tiêu đề. Công ty này nói không có một lỗ hổng hay một thư viện phụ thuộc đơn lẻ nào kết nối được các sự cố này; chỉ là bức tranh chung khớp với ba xu hướng: tấn công dùng tác tử (agentic), LLMJacking (chiếm dụng hạn mức mô hình của người khác), và thị trường mua bán thông tin xác thực nổi lên từ nhu cầu “chưng cất” (distillation). Phần lớn sự cố vẫn đang được phân tích, và nhiều thông tin về mức độ ảnh hưởng đến từ mạng xã hội.
Kẻ tấn công đều lục tìm biến môi trường
Các sự cố được báo cáo liệt kê đại thể như sau:
| Nền tảng | Ngày công bố | Manh mối đã công khai |
|---|---|---|
| Fireworks AI | 6/10 | Truy cập thông tin xác thực, có dấu hiệu của “bầy tác tử” |
| Zeabur | 14/10 | Truy cập thông tin xác thực, công ty sẽ đóng cửa vì sự cố này |
| Lightning AI | 15/10 | Truy cập thông tin xác thực, trước đó từng bị tấn công chuỗi cung ứng |
| OpenCode | 16-17/10 | Hệ thống cũ bị xâm nhập, công ty cho biết liên quan đến chưng cất |
| Railway | 20/10 | Hiện được cho là leo thang đặc quyền trong hạ tầng build |
| Warp | 23/10 | Nghi ngờ do thư viện phụ thuộc của bên thứ ba |
| CommandCode | 28/10 | Công ty cho biết liên quan đến chưng cất |
Báo cáo dành rất ít chỗ cho chi tiết về Andromeda và Northflank. Trên mạng xã hội có tin Railway bị đánh cắp khoảng 371.000 USD tiền mã hóa; Wiz ghi chú là chưa được xác nhận.
Điểm chung là kẻ tấn công chủ động tìm các biến môi trường lưu trên nền tảng, nhất là những biến cho phép gọi dịch vụ AI. Điều này cũng lý giải vì sao mục tiêu tập trung vào các nền tảng lưu trữ và phát triển: một nơi bị chọc thủng thì kẻ tấn công nhận được chìa khóa của cả loạt khách hàng.
30 phút trước và 30 giờ sau khi một khóa bị đánh cắp
Phần chi tiết nhất của báo cáo là hai vụ lạm dụng ở hạ nguồn. Cả hai khóa doanh nghiệp đều được gọi lần đầu trong vòng 30 phút sau khi nhà cung cấp bị lộ: một địa chỉ IP dân cư gửi lệnh InvokeModel, quét khóa của nhiều tổ chức trong vòng một phút, yêu cầu Claude Fable 5.1 thất bại rồi lùi về Opus 5.5 và thành công.
Sau đó là vài ngày im ắng, mỗi ngày chỉ 14 đến 120 lệnh gọi, đến từ cùng một client Go nhỏ; Wiz đánh giá đây là việc kiểm tra định kỳ xem khóa còn hiệu lực không. Ở trường hợp A, kẻ tấn công chờ 4 ngày, một đoạn script liệt kê xong hạn mức Bedrock và EC2, 22 giây sau thì bắt đầu tăng tải, trong khoảng 30 giờ thực hiện khoảng 800.000 lệnh gọi, khoảng 90% thành công, ba phần tư rơi vào dòng Opus. Trường hợp B chờ 7 ngày mới được đưa vào một nhóm nghi là để bán lại, trong khoảng 13 giờ thực hiện khoảng 1,7 triệu lệnh gọi, hơn 1 triệu lần thành công, liên quan đến hàng chục mô hình Claude.
Theo giá niêm yết, hai khóa này có thể đã tạo ra mức sử dụng vượt 100.000 USD. Đây là ước tính của Wiz; công ty không nêu doanh nghiệp bị hại thực tế nhận hóa đơn bao nhiêu. Đặc điểm các lệnh gọi cũng mang dáng dấp bán lại: phần lớn yêu cầu chỉ có một lượng nhỏ đầu vào không qua bộ nhớ đệm và vài trăm token đầu ra, phù hợp với mô hình prompt caching, còn các yêu cầu đuôi dài mang đầu vào hàng chục nghìn token, giống như phía sau có rất nhiều người dùng cuối.
Hàng API trung gian giá rẻ đến từ đâu
Với các nhà phát triển nói tiếng Trung, phần sát thực tế nhất của báo cáo là chuỗi bán lại. Wiz nêu tên hai đối tượng: “momo”, có liên hệ với trang bán lại llm-routing.com, và “Xingjiabi”, với trang xingjiabiapi.org. Địa chỉ IP của cả hai đều từng chạm vào khóa của các trường hợp nói trên, và trang của đối tượng sau còn từng treo trang “giám sát phát hiện chưng cất”, chia người dùng thành ba loại: rủi ro cao, theo dõi và bình thường.
Bằng chứng dừng ở đó. Wiz viết rõ rằng không thể xác định mối quan hệ giữa các tổ chức bán lại với vụ xâm nhập ban đầu, cũng không thể gắn trực tiếp hoạt động của momo với đợt lạm dụng quy mô lớn kia; các chỉ báo thỏa hiệp (IoC) được liệt kê cũng không có bằng chứng liên kết với chín vụ việc. Báo cáo cũng không nói mọi trạm trung chuyển đều dùng khóa bị đánh cắp. Tuy nhiên, báo cáo ít nhất cho thấy một phần hạn mức mô hình có giá thấp bất thường có thể có nguồn gốc đáng ngờ, và người mua cũng có thể đang trao prompt của mình cho một bên trung gian không rõ lai lịch.
Phần chính của báo cáo không đưa ra danh sách phòng thủ. Với các nhóm từng dùng những nền tảng trong danh sách, việc trực tiếp nhất là xoay vòng các khóa mô hình lưu ở đó, sau đó kiểm tra nhật ký đám mây xem có lệnh InvokeModel tần suất thấp từ IP lạ hay không. Khóa ở trường hợp B chỉ dùng được hồ sơ us.*, nhưng vẫn bị tìm ra mô hình dùng được; thu hẹp quyền không chặn được kiểu lạm dụng này, chỉ có thể giới hạn phạm vi.
Nguồn tham khảo: blog Wiz Research; CocoLoop; chi phí là ước tính của Wiz theo giá niêm yết, một số số tiền bị đánh cắp chưa được xác nhận.