מתקפות סייבר נרחבות על פלטפורמות פיתוח מבוססות AI

לפחות תשעה ⁦AI⁩ ⁦Developer Platforms⁩ חשפו אירועים במהלך החודש:

לקוחות Wiz יכולים לעיין בעצות הרלוונטיות של ה-Threat Intel Center שלנו לקבלת מידע נוסף על פריצת ה-Railway Platform, אירוע האבטחה של Lightning AI ומסע התקיפה הכולל.

Fireworks, OpenCode ו-Warp דיווחו כולם על אינדיקציות למתקפת "נחיל סוכנים" (agent swarm). דוח התקרית של Andromeda מגדיר זאת כחלק מ"מתקפה רחבת היקף בתעשייה". OpenCode ו-CommandCode ייחסו במפורש את התקריות שלהם לניסיון "זיקוק" (distillation).

בכל חודש אחר, זה היה הופך לסיפור האבטחה המרכזי. עם זאת, לאור ריבוי התקריות המתמשכות, מעט מאוד דיווחים מצליחים לחבר בין הנקודות של התקיפות הללו (כשה-Cloud Security Alliance מהווה חריג בולט).

דפוס הפעולה במתקפות אלו

נכון לעכשיו, רוב אירועי האבטחה הללו עדיין נמצאים תחת ניתוח ומידע טכני מפורט אינו זמין. Zeabur שיתפה דוח מלא והחברה תיסגר עקב אירוע זה. Railway פרסמה דוח ראשוני וציר זמן.

עם זאת, ישנם כמה פרטים אינדיקטיביים. Fireworks, Zeabur ו-Lightning מייחסים את שורש התקריות שלהם לגישה לאישורי הזדהות (credential access). Lightning הושפעה בעבר ממתקפת שרשרת אספקה במסגרת קמפיין Mini-Shai Hulud. Railway שיתפה עד כה כי הם מאמינים שהגישה הראשונית התבצעה באמצעות "הסלמת הרשאות בתשתית הבנייה שלנו", בעוד ש-Warp הציעו שהסיבה העיקרית הייתה תלות בספק צד-שלישי, ו-OpenCode ייחסו זאת ל"מערכת מדור קודם" (legacy system).

כל הדוחות הפומביים מדגישים ניצול ממוקד של משתני סביבה מאוחסנים, תוך התמקדות באלו המעניקים גישה ל-AI. אמנם אין פגיעות בודדת או תלות אחת שמקשרת בין ההתקפות הללו, אך התמונה הכוללת תואמת מאוד לדיווחים האחרונים בשתי חזיתות:

Agentic Attacks, שיכולים לאפשר לשחקני איום לבצע פשרות אבטחה בקרב קורבנות בצורה מהירה ויעילה יותר.

עלייתם של ה-LLMJacking והתשתית הנלווית של סוכני תיווך LLM. אלה יוצרים שוק שהופך את הגניבה לניתנת למונטיזציה בקלות, מה שסביר להניח מניע יותר תוקפים לבצע פעולות לגניבת אישורים. תהליך ה-distillation, שנטען במיוחד נגד מעבדות AI סיניות, מניע את הביקוש גם כן.

השפעה ופעילות המשך

דיווחים על השפעת התקפות אלו הוגבלו עד כה לדיווחים אנקדוטיים ברשתות החברתיות, הכוללים:

• גניבה לכאורה של מטבעות קריפטוגרפיים, בהיקף של ~$371,000, באמצעות מפתחות קריפטו המאוחסנים ב-⁦Railway⁩

• ניצול לרעה של גישת AI גנובה, כמו אלו מ-OpenCode, שגרר חשבונות צרכנים בסכומים שבין מאות לאלפי דולרים.

עם זאת, Wiz הצליחה לתעד ניצול לרעה במורד הזרם (downstream) של אישורי ארגונים, שאת הפשרה שלהם אנו יכולים לייחס לאחת מפרצות הספקים הללו. נדון בשני מקרים מייצגים מסוג זה.

בשני המקרים, אנו רואים שימוש לרעה במפתחות שבעבר היו בשימוש רב מתשתית של ספק שנפגע.

הם חלקו פעילות בלתי מורשית ראשונה זהה, שהתרחשה תוך 30 דקות מהגישה לאישורים שדווחה במסגרת פריצת הספק. מדובר היה בקריאת InvokeModel יחידה מכתובת IP של משתמש ביתי, בתוך סריקה של דקה אחת שבדקה מפתחות גנובים מול מספר ארגונים. הקריאה ביקשה את Claude Fable 5.1, נכשלה, וחזרה ל-Opus 5.5, מה שעבד.

בימים שלאחר האימות הראשוני הזה, שני המפתחות הראו רק טפטוף של תעבורה: 14–120 קריאות ביום מאותו לקוח Go קטן. הקריאות בשני המפתחות התנהלו בתיאום, בהפרש של כדקה זו מזו. הדבר מעיד על עבודת אימות מתמשכת שנועדה לבדוק האם המפתחות נותרו תקפים.

⁦Case A⁩

ארבעה ימים לאחר האימות הראשוני, מאגר פרוקסי מסתובב הפעיל בדיקה קטלוגית על פני עשרות כתובות, ושלח קריאה אחת לכל מודל מול ספקים שונים: Amazon Nova, DeepSeek, gpt-oss, GLM, Kimi, Grok, GPT-6 Astra ומודלים ישנים יותר של Claude. כל קריאה עבדה מלבד Fable. כמה שעות לאחר מכן, תסריט boto3 בכתובת מגורים מונה את מכסות ה-Bedrock וה-EC2. עשרים ושתיים שניות לאחר מכן, החלה תעבורה בהיקף גדול מאותה כתובת. בתוך חצי השעה שלאחר מכן, מארח שני מיפה מכסות וזמינות מודלים באזורים שונים, וביצע יותר מאלף קריאות תוך פחות מדקה.

במשך שלושים שעות, עד שהמפתח עבר ניקוי, השחקן ביצע כ-800 אלף קריאות Bedrock, כש-90% מהן הצליחו. הנפח הגדול רץ תחילה מכתובת המגורים ולאחר מכן, במהלך הלילה, מכתובת אירוח ב-Level 3. מדיניות המפתח אפשרה פרופילי הסקה גלובליים חוצי-אזורים, והתוקף ניתב דרכם כל קריאה. מכיוון שהניתוב הגלובלי פיזר את העומס בין אזורים, רק כ-6% מהקריאות נחסמו עקב מגבלות (throttled). התעבורה נשענה בכבדות על Opus: מודלי Opus היוו שלושה רבעים מהקריאות המוצלחות, בראשם Opus 5 (36%), Opus 5.5 (22%) ו-Opus 4.8 (10%).

⁦Case B⁩

בניגוד למקרה A, מפתח זה היה מוגבל. שבעה ימים לאחר האימות הראשוני, הוא צץ במאגר משווקים לכאורה. במשך ארבע שעות, אלפי קריאות כושלות הגיעו מכתובות אירוח מתחלפות, שכל אחת מהן הייתה פעילה למשך כ-15 דקות. הקריאות נכשלו מכיוון שמדיניות המפתח אפשרה Bedrock רק דרך פרופילי הסקה גלובליים חוצי-אזורים מסוג us.*, בעוד המאגר ביקש global.*.

מוקדם למחרת בבוקר, בודק (checker) שיצא דרך VPN שיתופי זיהה את מזהי המודלים העובדים ב-us.*. שעתיים לאחר מכן, סקריפט boto3 בכתובת Level 3 בדק מחדש את global.* ו-us.* ומונה את מכסות ה-Bedrock וה-EC2. זה היה אותו סקריפט, עד רמת מחרוזת הגרסה, שבדק את מקרה A. תוך דקות נפתחו שערי ההצפה.

במשך שלוש עשרה שעות, עד שהמפתח עבר ניקוי, אותה כתובת Level 3 בודדת ביצעה כ-1.7 מיליון קריאות Bedrock, כאשר למעלה ממיליון הצליחו. כמעט כל השאר נחסמו עקב מגבלות (throttled): ללא ניתוב גלובלי, התעבורה נתקלה במכסות האזוריות של החשבון. התעבורה הייתה מפוזרת על פני תריסר מודלי Claude והייתה פחות מבוססת-Opus מאשר במקרה A. Opus 5.5, Sonnet 4.5 ו-Opus 5 היוו שלושה רבעים מהקריאות המוצלחות.

ה-⁦Stolen Tokens⁩

בשני המקרים, פרופיל השימוש בטוקנים דומה לתעבורת סוכן קידוד שנמכר מחדש. קריאה טיפוסית שלחה רק קומץ אסימוני קלט שלא עברו שמירה במטמון (חתימה של prompt caching), וקיבלה בחזרה כמה מאות אסימוני פלט. זנב ארוך של קריאות נשא עשרות אלפי אסימוני קלט שלא עברו שמירה במטמון, דבר התואם למשתמשי קצה רבים ושונים מאחורי מפיץ. לפי מחיר מחירון, שני המקרים הללו לבדם צרכו ככל הנראה מעל 100 אלף דולר בשימוש.

מה שאנחנו רואים מהתוקפים האלה

המחקר שלנו הצליח לקשר את השימוש במפתחות במקרים לעיל לארגוני מכירה חוזרת גלויים. למרות שאיננו מסוגלים לבסס באופן סופי את הקשר בין ארגוני המכירה הללו לבין הפשרה הראשונית או השימוש לרעה בטוקנים שתועד לעיל, לשחקנים הייתה גישה למפתחות שנפרצו והם בדקו אותם מהתשתית שלהם. השימוש במפתחות על ידי מספר שחקנים מעיד על שוק איתן לסוג זה של אישורים.

"מומו" - ⁦Resale⁩ (והתפשרות?)

Wiz Research זיהתה שחקן שמרכז פעילותו סביב ה-IP 23.106.46.239, המכנה את עצמו כ-"momo". הייתה לו גישה למפתחות ששימשו במקרה A ובמקרה B, והוא קשור לאתר מכירה חוזרת גלוי של שירותי LLM. תשתית המקושרת לכתובת IP זו קיימת מאז 2025 ואירחה מספר אתרים עם כותרות הקשורות למכירה חוזרת של LLM, כולל האתר llm-routing.com שפעיל כעת ומפרסם גישה מוזלת למודלים מובילים, תוך קבלת תשלום ב-USDT. כתובת IP זו אירחה גם דף נחיתה של Artex באמצע אוקטובר וצוינה בפומבי על ידי Zeabur כחלק מהפשרה שלהם. למרות שאיננו יכולים לקשור באופן סופי את הפעולה הזו ל"מבול" הניצול לרעה שתועד לעיל, למפעיל הייתה גישה למפתחות הגנובים.

• האתר momo.skin נפתר ל-23.106.46.239 בתחילת 2026, ואתר אחר שקושר באמצעות DNS פסיבי (direct.465415.xyz), השתמש בתואר "Moの自建网盘" ("כונן הענן העצמי של Mo").

• במרץ 2026, שחקן זה החל לפרסם שירותים הקשורים ל-LLM, ולארח אתרים עם כותרות כגון "ChatGPT Team 席位兑换" ("פדיון מושבי ChatGPT Team"), ו-"ChatGPT 号池管理" ("ניהול מאגר חשבונות ChatGPT").

• ב-8 באוקטובר 2026, תת-דומיין (artex.nhhh.de) שנפתר ל-23.106.46.239 אירח דף עם הכותרת "ARTEX — 自主渗透测试控制台" ("ARTEX - מסוף בדיקות חדירות אוטונומי"). זה קרה ארבעה ימים לפני ציר הזמן של Zeabur המזהה את כתובת ה-IP הזו כמטרגטת את התשתית שלהם (12–14 באוקטובר).

• בסוף אוקטובר, כתובת ה-IP 23.106.46.239 ביצעה בדיקות מפתח API על המפתחות המשמשים במקרים A ו-B, וניסתה לבצע קריאת PutAccountDataRetention באמצעות המפתח ממקרה B.

"⁦Xingjiabi⁩" - מרכז מכירה חוזר שני

Wiz זיהתה גם פעולת מכירה חוזרת שמינפה מפתחות גנובים. פעילות זו זמינה לציבור ב-xingjiabiapi.org, שם הם מציעים גישה למגוון רחב של מודלים מובילים במחירים מוזלים. תשתית הקשורה לאתר זה (38.246.114.118) זוהתה כשהיא מבצעת בדיקות הרשאות על המפתחות המשמשים בשני המקרים A ו-B. בשני המקרים, הבדיקות נערכו לאחר שהשימוש לרעה בנפח גבוה במפתח כבר החל מכתובות IP לא קשורות, מה שמצביע על כך שיש שוק מכירה חוזרת פעיל למפתחות אלו.

• תת-דומיין של האתר הראשי, s3.xingjiabiapi.org, נפתר ל-38.246.114.118 החל מה-10 בספטמבר 2026. כתובת ה-IP הזו (38.246.114.118) מנתה את המפתח ששימש במקרה A, תוך פירוט פרופילי ההסקה והמודלים לכל אזור, ועברה על כל מכסת Bedrock. היא גם ביצעה בדיקה ידנית של המפתח ששימש במקרה B.

• הערה מעניינת אחת לגבי שחקן זה היא שנראה שהם מנסים להתגונן מפני זיקוק (distillation). הדומיין שלהם צולם כשהוא מארח דף שכותרתו "蒸馏检测监控" (ניטור התנהגות זיקוק), שנועד לדרג משתמשים בשלוש קטגוריות ולנסות למיין אותם ל-"סיכון גבוה", "צפייה" ו-"רגיל". זה עשוי להצביע על כך שהתוקפים מנסים להימנע משיוך לזיקוק, ייתכן בשל העובדה שפעילות זו מובילה להשעיית חשבונות.

⁦IOCs⁩

כתובות IP אלו שימשו לבדיקת מפתחות גנובים והן חשודות כקשורות לניצול לרעה ומכירה חוזרת של טוקני LLM. אין לנו ראיות המקשרות אותן ישירות למתקפות "Black October" המוזכרות בבלוג זה.

המאגרים המשותפים הבאים שימשו גם הם לניצול לרעה של Bedrock. עם זאת, ייתכן שכל אישור שנפרץ השתמש בכתובת IP אחרת או שהכתובות הספציפיות התחלפו בתדירות גבוהה:

המשך לקרוא

⁦Key Takeaways⁩: ⁦AI⁩ ⁦Threat Readiness Survey Report⁩ 2026

ממצאי אמת מידה (benchmark) עיקריים בנושא Shadow AI, סיכוני תזמור (orchestration) וההכרח במודל הגנתי של AI-against-AI.

עליית ה-Agentic Attacks: כיצד הן נראות ולאן הן מתקדמות

סוכני AI משנים את אופן הפעולה של התוקפים. חקור מקרים אמיתיים של התקפות סוכנים, למד כיצד לזהות את טביעות האצבע שלהם וגלה מה הן אומרות על עתיד אבטחת הסייבר.

⁦PHP2Shell⁩: ⁦Exploitation Attempts and Remediation Trends⁩

המחקר של Wiz עקב אחר ניסיונות ניצול ⁦PHP2Shell⁩, אך אף אחד מהם לא הצליח עד כה. אנו בוחנים את הטכניקות בהן נעשה שימוש, מה מנע מההתקפות להסתיים וכיצד השתנתה החשיפה הנצפית מאז החשיפה.