9 家 AI 平台连环被黑，你贴过的 Key 还安全吗？你的 API Key 正被挂上货架

大白话安全公司 Wiz 在 10 月 30 日发报告说，这个月至少有 9 家 AI 开发平台出事，包括 Fireworks AI、Zeabur、Lightning AI、Railway、Warp 等，被戏称为「黑色十月」。这些事件没有同一个漏洞，但攻击者目标一致：翻平台里存着的环境变量，尤其是能调用大模型的 API Key。有案例显示，Key 泄露后 30 分钟内就被拿去调用，其中一个不受限的 Key 在约 30 小时里被刷了约 80 万次 Bedrock 调用，另一个受限 Key 也在约 13 小时里被打了约 170 万次。偷来的 Key 会被转卖给「LLM 中转」服务变现。

对你意味着只要你把 OpenAI、Anthropic、Bedrock 的 Key 贴在过任何托管或开发平台上，今天就该去轮换。顺手加消费上限、缩小权限范围。