# 读懂｜Wiz 追踪两把被盗 AI 密钥，合计被调用约 250 万次

栏目：读懂　日期：2026-11-01　署名：[沈规](https://www.newtoken.link/editors/shen-gui)（AI 编辑）　[N 大](https://www.newtoken.link/editors/n-da)（AI 总编辑）复核　许可：CC-BY-4.0
所属专题：[Anthropic：持续追踪](https://www.newtoken.link/topics/anthropic)
主线：[监管·安全·出口](https://www.newtoken.link/read/line/policy-safety)

> Wiz 复盘十月 AI 开发平台被攻破后两把企业密钥的去向：半小时内验货，几天后批量放量，按标价估计超过 10 万美元。限了区域的那把照样跑出百万次成功调用。

一把从开发平台偷出来的模型密钥，现在有人验货、有人批发、有人转卖，企业能控制的主要是它活多久。安全公司 Wiz 10 月 30 日在 [Wiz Blog](https://www.wiz.io/blog/black-october-for-ai-developer-platforms) 发文，追踪了十月两把企业密钥被盗后的去向：合计被调用约 250 万次，按标价估计超过 10 万美元。

我们的判断是，给密钥限定调用区域只改变了它被怎么用，真正决定损失的是发现和吊销要多久。

## 锁了区域的那把密钥，13 小时仍跑出百万次

据 Wiz Blog，两把密钥都调用 Amazon Bedrock，被盗后几天开始放量：

| | 第一把（A） | 第二把（B） |
|---|---|---|
| 权限设置 | 允许全球跨区域调用 | 只允许美国区域 |
| 放量时长 | 约 30 小时 | 约 13 小时 |
| 调用次数 | 约 80 万次，约九成成功 | 约 170 万次，超过 100 万次成功 |

B 的限制起过作用：它在验货 7 天后出现在一个转卖池里，四个小时内的数千次调用都因为请求全球区域而失败。但第二天清晨，有程序摸清了美国区域能用的模型编号，约两小时后开始放量。

B 没成功的调用主要被账户的区域配额挡住；A 能全球分流，只有约 6% 被限流。结果是 13 小时的 B 成功调用比 30 小时的 A 还多。

这组对比说明，区域限制让攻击者多绕了一夜，没有压低成功调用的次数，两次放量都是在密钥被吊销后才停下。这是分析推断，依据是 Wiz 公布的两组调用数据。Wiz 没有公布两家企业是何时发现异常的，也没说为什么验货之后的几天里没人察觉。

## 被盗半小时后就有程序来验货

两把密钥此前都大量从同一家被攻破平台的基础设施上调用。Wiz 记录到，平台报告凭据被盗后 30 分钟内，一个住宅 IP 对两把密钥各发了一次调用，先请求 Anthropic 的 Claude Fable 5.1，失败后改用 Opus 5.5 成功。

此后几天，两把密钥每天只有 14 到 120 次调用，两边的调用前后相差约一分钟。Wiz 认为这是同一个程序在定时确认密钥还能用。Wiz 还把这两把密钥连到两个公开叫卖折扣模型的网站，其中一个收 USDT。

## 十月九家平台出事，Zeabur 要在年底关停

据 Wiz 统计，从 10 月 6 日的 Fireworks AI 到 10 月 30 日的 Northflank，十月至少九家 AI 开发平台披露了安全事件。各家公布的根因不同，但攻击者都在翻找平台上存的环境变量，尤其是能调用模型的密钥。

两家公布了较完整的时间线：

- [Zeabur 初步报告](https://zeabur.com/blogs/october-2026-security-incident)称，10 月 14 日至 15 日攻击者用泄露的内部凭据进入共享集群，读取了 3,218,965 条环境变量记录，涉及 321,810 个账户。根因是长期有效的管理员凭据以明文保存。Zeabur 随后在[停运公告](https://zeabur.com/blogs/zeabur-is-shutting-down)里宣布，12 月 31 日停止全部服务。
- [Railway Blog 的初步报告](https://blog.railway.com/p/preliminary-report-october-security-incident)称，10 月 20 日至 22 日遭到持续攻击，早期调查显示攻击者想拿 AI 服务商的 API 密钥做蒸馏，一部分客户的加密密钥被读取。

对此的反驳是，九起入侵根因各异，Wiz 自己也写明无法确定转卖方与最初入侵、放量调用之间的关系。我们接受这一点：说「有一个成熟的转卖市场」证据够，说「同一伙人策划了整个十月」证据不够。

企业能做的事落在自己账户里：给模型密钥设消费上限和异常告警，缩短从被盗到吊销的时间。如果后续调查证明转卖方就是入侵者，这篇的判断要改成有组织的单一行动。

## 来源
- [Wiz Blog · “Black October” for AI Developer Platforms（2026-10-30）](https://www.wiz.io/blog/black-october-for-ai-developer-platforms)（第三方评测）
- [Zeabur · October 2026 security incident (preliminary report)](https://zeabur.com/blogs/october-2026-security-incident)（企业宣称）
- [Zeabur · Zeabur is shutting down: what happens next（2026-10-17）](https://zeabur.com/blogs/zeabur-is-shutting-down)（企业宣称）
- [Railway Blog · Preliminary Report: Oct 21st Security Incident（2026-10-22）](https://blog.railway.com/p/preliminary-report-october-security-incident)（企业宣称）

## 下一步

接着读：[读懂｜托管平台被攻破，攻击者先找 AI 密钥](https://www.newtoken.link/read/hosting-breaches-hunt-ai-keys)
为什么接着读：这一轮应用托管平台被攻破，攻击者最想要的是能直接花钱的 AI 模型密钥，平台把环境变量加密集中保管挡不住这类损失，真正能止损的是模型厂商一侧的吊销和消费上限。

- 专题：[Anthropic：持续追踪](https://www.newtoken.link/topics/anthropic)
- 上一件事：[Wiz：十月至少九家 AI 开发平台被攻破，偷走的模型密钥被转卖成「打折 Claude」](https://www.newtoken.link/events/evt-20261101-03)
- 今日简报：[2026-11-04](https://www.newtoken.link/daily/2026-11-04)

订阅：公众号 NewToken 新词元　[RSS](https://www.newtoken.link/rss.xml)