News · Security · November 12, 2026
Black October：16 个 AI 平台披露事件
Black October 是媒体对两件不同事情的称呼：一批严重漏洞，以及自 10 月 4 日起的 16 个 AI 平台事件。哪些已证实，哪些没有。
DRIVE 369 DAO · English · Русский
“Black October”是一个标签，不是一个事件。媒体和官方机构用它指 2026 年 10 月中下旬的一批严重披露（INCIBE 列出的事件日期为 10 月 16 日至 23 日），而 Wiz 用它指另一件事：自 10 月 4 日起，至少 16 个 AI 开发者平台披露了事件，攻击者针对的是能够访问 AI 服务的、存储的环境变量。我们没有找到任何来源表明这是一场统一协调的行动。以下事实均于 2026 年 11 月 12 日核对。
一个名字，两个故事
| 名字的用法 | 涵盖内容 | 来源 |
|---|---|---|
| 严重漏洞与供应链，10 月中下旬 | PHP2Shell、GitLab、Node.js、LiteLLM 被入侵、GoDaddy 和 eMudhra 的证书事件、PingCAP 和 Railway 的未授权访问 | INCIBE-CERT（西班牙国家网络安全研究所）、CNBC |
| AI 开发者平台，10 月 4 日至 11 月 9 日 | Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode、Northflank、Brev、Trigger.dev、Chainstack、kernel.sh、Blacksmith、Tensorlake、NEAR AI | Wiz，11 月 10 日更新 |
没有人确认是谁最先使用这个名字。福克斯新闻的 CyberGuy 专栏把它描述为“一系列网络安全紧急事件，而不是一次统一协调的黑客行动”。INCIBE 说这些公告在时间上“重合”，并没有把它们联系起来。Wiz 表示，没有单一的漏洞或依赖项把这些平台事件联系在一起。
第一个故事：严重漏洞
| 漏洞 | 事实 | 在 CISA 已被利用清单中？ |
|---|---|---|
| PHP，CVE-2026-109618 和 109619 | 远程代码执行，10 月 21 日修复。参见已证实的内容。 | 是，10 月 26 日加入（期限 10 月 29 日） |
| GitLab，CVE-2026-97229 | CVSS 10.0，CI/CD 正则编译器中的整数溢出，可能让未认证用户执行代码（GitLab 称“可能允许”）。10 月 12 日在 19.4.2、19.3.5 和 19.2.8 中修复（GitLab）。GitLab 没有说它被利用。 | 是，10 月 29 日加入（期限 11 月 1 日） |
| GitLab，CVE-2026-110264 | 同一个正则编译器中的又一个 CVSS 10.0 漏洞，由同一位研究人员报告，10 月 21 日在 19.5.1、19.4.3、19.3.6 及更早版本线中修复（GitLab）。如果你 10 月 12 日已打过补丁，需要再打一次。 | 否（11 月 12 日核对） |
| Node.js，10 个漏洞 | 10 月 21 日在 22.23.4、24.22.1 和 26.12.1 中修复：4 个高危、3 个中危、3 个低危，没有严重级别，发布时 Node.js 也未标记任何一个为被利用（Node.js）。 | CVE-2026-111497（Brotli）10 月 27 日加入（期限 11 月 10 日） |
| SonicWall SMA 1000，CVE-2026-102255 | CVSS 10.0，服务器端请求伪造。SonicWall 的通知称没有被利用的证据；BleepingComputer 报道两家蜜罐运营方看到了攻击流量。存在争议。 | 否（11 月 12 日核对） |
CISA 的条目见官方目录。LiteLLM 的情况不是漏洞，而是被投毒的发布版本，见下文。
第二个故事：AI 平台与它们的密钥
发生了什么。 Wiz 列出了 10 月 4 日至 11 月 9 日 16 个平台的事件。Fireworks、Zeabur 和 Lightning 把原因归结为凭证被访问。Railway 指向构建基础设施中的权限提升，Warp 指向第三方供应商依赖，OpenCode 指向一个旧系统。Wiz 说，所有公开报告都描述了对存储的环境变量的针对性搜寻，尤其是能访问 AI 的那些。Railway 认为攻击者想要 AI 服务商的密钥，可能用于蒸馏模型。一些平台提到“智能体集群”模式，我们无法核实。
记录最详细的案例，Railway。 攻击窗口为 10 月 20 日（13:58 UTC）至 10 月 22 日（03:32 UTC）。攻击者获得了内部 CI 凭证，并解密了一部分客户的加密环境变量。Railway 的初步报告称，至多 1.85% 的工作区（约 100,000 个）的变量可能被暴露，并称出于谨慎，已请 AI 服务商为超过 100,000 名用户重置密钥。它没有排除源代码被访问的可能。
被盗的密钥用来做什么。 Wiz 描述了两起企业 Amazon Bedrock 密钥在供应商被入侵时被盗的案例。一把密钥在大约 30 小时内发起了约 800,000 次模型调用，另一把在大约 13 小时内发起了约 170 万次。按标价计算超过 10 万美元。每次都是在报告的盗取后 30 分钟内先有一次验证调用。Wiz 把这些使用与两个转售运营方联系起来，并说有多个行为者在使用这些密钥，这可能表明存在此类密钥的市场。
供应链，LiteLLM。 10 月 21 日，恶意的 litellm 1.107.0 在 PyPI 上从 11:39 到 13:23 UTC 可用，在 Docker Hub 上到 14:20 UTC。它由一个仿冒仓库构建，代码窃取凭证并加载远程代码执行工具。维护者建议固定到 1.106.2，删除他们列出的文件，更换所有可达的凭证，如果它在有外网的环境中运行过，就假定数据已泄露（LiteLLM）。最初的入侵方式尚未确认，维护者称企业私有仓库客户未受影响。
哪些已证实，哪些没有
| 状态 | |
|---|---|
| 多个严重漏洞在 10 月 5 日至 21 日之间被披露（日期见上表） | 已证实（厂商页面、CISA） |
| 16 个 AI 平台披露了事件 | Wiz 根据各平台自己的披露报告 |
| 目标是存储的环境变量和 AI 密钥 | 平台和 Wiz 的报告；Railway 的说明最详细 |
| 同一个攻击者或同一个漏洞把它们联系起来 | 未被证明。 Wiz 没有找到；没有任何来源这样主张 |
| 动机是模型蒸馏 | 部分平台声称，未经核实 |
| 有多少客户丢失了密钥 | 未知，只有 Railway 给出的上限 |
本周就做
- 列出你以环境变量形式保存在平台或构建系统里的所有 AI 密钥， 以及每把能花多少钱。
- 更换平台替你存储的密钥, 尤其是在该平台事件之前创建的，并吊销旧密钥。
- 给每把密钥最小的权限范围和支出上限。在 AI 服务商处为异常用量设置提醒。
- 检查用量日志, 看有没有你没发起的调用，来自你不使用的地址。Railway 无法退还被盗密钥产生的费用。
- 打补丁： 如果你运行 GitLab 和 Node.js，请更新，包括 GitLab 的第二个版本。
- 如果你运行过 litellm 1.107.0, 请按上面维护者的步骤处理。
更多内容：AI 密钥该放在哪里。
Ghostdrive 的位置
Ghostdrive 不是用来托管你的密钥的平台，我们直说。我们能提供的是一个让你首先不必把它们放在平台上的地方：Pass 把 API 密钥作为封存条目保存在你的设备上。诚实的限制是：你粘贴到某个服务里的密钥，就是那个服务的密钥。我们的智能体通过授权和权限范围工作，接入的 AI 获得自己的令牌，没有发送、付款、签名或发布的权限（Crew）。