读懂｜Wiz 追踪两把被盗 AI 密钥，合计被调用约 250 万次

Wiz 复盘十月 AI 开发平台被攻破后两把企业密钥的去向：半小时内验货，几天后批量放量，按标价估计超过 10 万美元。限了区域的那把照样跑出百万次成功调用。

一把从开发平台偷出来的模型密钥，现在有人验货、有人批发、有人转卖，企业能控制的主要是它活多久。安全公司 Wiz 10 月 30 日在 Wiz Blog 发文，追踪了十月两把企业密钥被盗后的去向：合计被调用约 250 万次，按标价估计超过 10 万美元。

我们的判断是，给密钥限定调用区域只改变了它被怎么用，真正决定损失的是发现和吊销要多久。

锁了区域的那把密钥，13 小时仍跑出百万次

据 Wiz Blog，两把密钥都调用 Amazon Bedrock，被盗后几天开始放量：

B 的限制起过作用：它在验货 7 天后出现在一个转卖池里，四个小时内的数千次调用都因为请求全球区域而失败。但第二天清晨，有程序摸清了美国区域能用的模型编号，约两小时后开始放量。

B 没成功的调用主要被账户的区域配额挡住；A 能全球分流，只有约 6% 被限流。结果是 13 小时的 B 成功调用比 30 小时的 A 还多。

这组对比说明，区域限制让攻击者多绕了一夜，没有压低成功调用的次数，两次放量都是在密钥被吊销后才停下。这是分析推断，依据是 Wiz 公布的两组调用数据。Wiz 没有公布两家企业是何时发现异常的，也没说为什么验货之后的几天里没人察觉。

两把密钥此前都大量从同一家被攻破平台的基础设施上调用。Wiz 记录到，平台报告凭据被盗后 30 分钟内，一个住宅 IP 对两把密钥各发了一次调用，先请求 Anthropic 的 Claude Fable 5.1，失败后改用 Opus 5.5 成功。

此后几天，两把密钥每天只有 14 到 120 次调用，两边的调用前后相差约一分钟。Wiz 认为这是同一个程序在定时确认密钥还能用。Wiz 还把这两把密钥连到两个公开叫卖折扣模型的网站，其中一个收 USDT。

据 Wiz 统计，从 10 月 6 日的 Fireworks AI 到 10 月 30 日的 Northflank，十月至少九家 AI 开发平台披露了安全事件。各家公布的根因不同，但攻击者都在翻找平台上存的环境变量，尤其是能调用模型的密钥。

两家公布了较完整的时间线：

Zeabur 初步报告称，10 月 14 日至 15 日攻击者用泄露的内部凭据进入共享集群，读取了 3,218,965 条环境变量记录，涉及 321,810 个账户。根因是长期有效的管理员凭据以明文保存。Zeabur 随后在停运公告里宣布，12 月 31 日停止全部服务。
Railway Blog 的初步报告称，10 月 20 日至 22 日遭到持续攻击，早期调查显示攻击者想拿 AI 服务商的 API 密钥做蒸馏，一部分客户的加密密钥被读取。

对此的反驳是，九起入侵根因各异，Wiz 自己也写明无法确定转卖方与最初入侵、放量调用之间的关系。我们接受这一点：说「有一个成熟的转卖市场」证据够，说「同一伙人策划了整个十月」证据不够。

企业能做的事落在自己账户里：给模型密钥设消费上限和异常告警，缩短从被盗到吊销的时间。如果后续调查证明转卖方就是入侵者，这篇的判断要改成有组织的单一行动。