Neun KI-Entwicklerplattformen melden Sicherheitsvorfälle im Oktober, Wiz bringt gestohlene Schlüssel mit LLM-Weiterverkauf in Verbindung

Neun Plattformen in einem Monat

Wiz führt die Plattformen auf, die Vorfälle gemeldet haben: Fireworks AI (6. Okt.), Andromeda (9. Okt.), Zeabur (14. Okt.), Lightning AI (15. Okt.), OpenCode (16. und 17. Okt.), Railway (20. Okt.), Warp (23. Okt.), CommandCode (28. Okt.) und Northflank (30. Okt.). In jedem anderen Monat wäre das laut dem Unternehmen die zentrale Sicherheitsmeldung, doch nur wenige Berichte stellten Verbindungen zwischen den Vorfällen her. Als bemerkenswerte Ausnahme nennt Wiz die Cloud Security Alliance.

Fireworks, OpenCode und Warp haben laut Wiz Hinweise auf einen Angriff durch einen „Agentenschwarm“ gemeldet. Im Vorfallbericht von Andromeda heißt es, der eigene Fall sei Teil eines „branchenweiten Angriffs“. OpenCode und CommandCode führen ihre Vorfälle ausdrücklich auf einen Distillation-Versuch zurück. Zeabur hat eine vollständige Analyse veröffentlicht und wird wegen des Vorfalls den Betrieb einstellen. Railway hat einen vorläufigen Bericht samt Zeitverlauf vorgelegt.

Was die Ursachen gemeinsam haben

Die meisten Vorfälle werden noch untersucht, detaillierte technische Informationen sind knapp. Wiz zufolge führen Fireworks, Zeabur und Lightning ihre Ursachen allesamt auf Zugriff auf Zugangsdaten zurück. Lightning war zuvor von einem Supply-Chain-Angriff im Rahmen der Mini-Shai-Hulud-Kampagne betroffen. Railway vermutet, dass der Erstzugriff über eine „Rechteausweitung in unserer Build-Infrastruktur“ erfolgte. Warp hat eine Abhängigkeit von einem Drittanbieter ins Spiel gebracht, OpenCode verweist auf ein „Legacy-System“.

Keine einzelne Schwachstelle und keine einzelne Abhängigkeit verbindet die Angriffe. Dennoch hält Wiz fest, dass alle öffentlichen Berichte gezielte Angriffe beschreiben, die nach gespeicherten Umgebungsvariablen suchten, besonders nach solchen, die KI-Zugriff gewähren. Das Unternehmen führt dies auf zwei Trends zurück: agentische Angriffe, mit denen Angreifer Opfer schneller kompromittieren können, und den Aufstieg des LLMJacking samt der dazugehörigen Infrastruktur aus LLM-Brokern. Zusammen schaffen sie einen Markt, auf dem sich gestohlene Zugangsdaten leicht zu Geld machen lassen. Distillation, die insbesondere chinesischen KI-Labors vorgeworfen wird, steigert die Nachfrage zusätzlich.

Gemeldete Auswirkungen und zwei von Wiz beobachtete Fälle

Öffentliche Berichte über die Folgen sind bislang anekdotisch. Dazu zählen ein mutmaßlicher Diebstahl von rund 371.000 $ in Kryptowährung mit bei Railway gespeicherten Schlüsseln sowie der Missbrauch gestohlener KI-Zugänge von OpenCode, der Rechnungen für Privatkunden in Höhe von mehreren hundert bis tausend Dollar verursachte.

Wiz erklärt, auch nachgelagerten Missbrauch von Unternehmenszugangsdaten beobachtet zu haben, den es einem dieser Anbietereinbrüche zuordnen kann. In zwei Fällen wurden Schlüssel, die von der Infrastruktur eines kompromittierten Anbieters aus intensiv genutzt worden waren, binnen 30 Minuten nach dem gemeldeten Zugriff auf die Zugangsdaten getestet. Die erste Aktivität war ein einzelner InvokeModel-Aufruf von einer privaten IP-Adresse aus, Teil eines einminütigen Scans über mehrere Organisationen hinweg. Der Aufruf forderte Claude Fable 5.1 an, scheiterte und wich auf Opus 5.5 aus, was funktionierte. Danach verzeichneten beide Schlüssel nur noch 14 bis 120 Aufrufe pro Tag, was Wiz als einen einzelnen Job deutet, der prüft, ob die Schlüssel gültig bleiben.

• Fall A: Vier Tage nach der Validierung testete ein rotierender Proxy-Pool Modelle von Amazon Nova, DeepSeek, gpt-oss, GLM, Kimi, Grok, GPT-6 Astra und ältere Claude-Modelle. Über dreißig Stunden, bis der Schlüssel gesichert wurde, setzte der Akteur etwa 800.000 Bedrock-Aufrufe ab, rund 90 % davon erfolgreich. Die Richtlinie des Schlüssels erlaubte regionsübergreifende global.*-Inferenzprofile, weshalb nur etwa 6 % der Aufrufe gedrosselt wurden. Opus-Modelle machten drei Viertel der erfolgreichen Aufrufe aus, angeführt von Opus 5 (36 %), Opus 5.5 (22 %) und Opus 4.8 (10 %).
• Fall B: Dieser Schlüssel war auf us.*-Inferenzprofile beschränkt, frühe Versuche mit global.* schlugen daher fehl. Nachdem ein Skript die funktionierenden Modell-IDs ermittelt hatte, setzte eine einzelne Level-3-Adresse über dreizehn Stunden etwa 1,7 Millionen Bedrock-Aufrufe ab, von denen über eine Million erfolgreich waren. Nahezu alle übrigen wurden durch regionale Kontingente gedrosselt. Opus 5.5, Sonnet 4.5 und Opus 5 machten drei Viertel der erfolgreichen Aufrufe aus.

Wiz zufolge prüfte dasselbe boto3-Skript bis hin zur Versionszeichenfolge beide Schlüssel. Das Token-Profil ähnelt weiterverkauftem Coding-Agent-Traffic: kleine, nicht gecachte Eingaben, wie sie für Prompt Caching typisch sind, dazu ein langer Schwanz an Aufrufen mit zehntausenden nicht gecachten Eingabe-Tokens, was zu vielen Endnutzern hinter einem Wiederverkäufer passt. Zum Listenpreis dürften allein diese beiden Fälle laut Wiz Nutzungskosten von über 100.000 $ verursacht haben.

Die Wiederverkaufsoperationen hinter den Schlüsseln

Wiz Research brachte die Schlüssel mit offen agierenden Wiederverkäufern in Verbindung, räumt aber ein, nicht abschließend klären zu können, ob diese Gruppen hinter dem ursprünglichen Einbruch oder der Missbrauchswelle standen. Sie hatten jedoch Zugriff auf die kompromittierten Schlüssel und testeten sie von ihrer eigenen Infrastruktur aus.

Ein Akteur, der um die IP-Adresse 23.106.46.239 zentriert ist, nennt sich offenbar „momo“. Laut Wiz hatte dieser Akteur in beiden Fällen Zugriff auf die Schlüssel und wird mit llm-routing.com in Verbindung gebracht, einer derzeit aktiven Website, die rabattierten Zugang zu Frontier-Modellen mit Bezahlung in USDT bewirbt. Mit der Adresse verbundene Infrastruktur reicht bis 2025 zurück und hat mehrere Websites mit Titeln rund um den LLM-Wiederverkauf gehostet. Am 8. Oktober 2026 hostete eine Subdomain auf derselben Adresse eine Seite mit dem Titel „ARTEX“, beschrieben als autonome Konsole für Penetrationstests. Zeabur nannte dieselbe IP öffentlich als Teil seiner Kompromittierung. Ende Oktober führte die Adresse API-Schlüsselprüfungen für die Schlüssel aus beiden Fällen durch.

Wiz identifizierte zudem einen zweiten Wiederverkaufsknoten, xingjiabiapi.org, der mit gestohlenen Schlüsseln ein breites Spektrum an Frontier-Modellen zu Kampfpreisen anbietet. Dass mehrere Akteure die Schlüssel nutzten, deutet laut Wiz auf einen robusten Markt für diese Art von Zugangsdaten hin.

Was das für Nutzer der Plattformen bedeutet

Die Fälle zeigen, wie schnell gestohlene KI-Zugangsdaten getestet und genutzt werden: Die erste Validierung erfolgte binnen 30 Minuten nach dem gemeldeten Zugriff auf die Zugangsdaten beim Anbieter. Die Erkenntnisse von Wiz zeigen auch, dass Einschränkungen bei Schlüsseln einen Unterschied machten. Der eingeschränkte Schlüssel in Fall B wurde durch regionale Kontingente ausgebremst, während die weiter gefasste Richtlinie in Fall A dem Akteur erlaubte, die Last global zu verteilen. Teams, die KI-Zugangsschlüssel als Umgebungsvariablen auf Entwicklerplattformen von Drittanbietern speichern, sind genau das Ziel der gemeldeten Angriffe. Wiz-Kunden verweist das Unternehmen auf die Hinweise seines Threat Intel Center zum Railway-Einbruch, zum Lightning-AI-Vorfall und zur umfassenderen Kampagne.