Reddit

Reddit 제출 제목: Black October for AI Developer Platforms: nine incidents, more to come | Wiz 페이지 제목: “Black October” for AI Developer Platforms

Wiz, 탈취된 Bedrock 키 2개의 대량 호출 사례 공개…교차 리전 허용 범위가 성공률 갈랐다

Wiz는 AI 개발 플랫폼 침해와 관련된 기업용 자격증명 두 개가 Bedrock 대량 호출에 악용된 사례를 공개했습니다. 글로벌 교차 리전 호출을 허용한 키는 약 80만 건 중 90%가량 성공했고, 미국 리전 프로파일만 허용한 키는 약 170만 건 중 100만 건 넘게 성공했지만 나머지 대부분은 리전별 할당량에 걸렸습니다. Wiz는 두 사례의 사용량을 정가 기준 10만 달러 초과로 추정했습니다.

본문

2026년 10월 30일 Wiz는 한 달 동안 AI 개발 플랫폼 최소 9곳이 보안 사고를 공개했다고 집계했습니다. Wiz는 그중 한 플랫폼 침해와 관련된 것으로 본 기업용 자격증명 두 개가 Amazon Bedrock 대량 호출에 악용된 사례도 공개했습니다. 키는 플랫폼이 고객 앱을 실행하려고 보관한 AI 서비스 접속 자격증명이었습니다.

Wiz는 Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode, Northflank의 사고를 들었습니다. 공개된 보고에서 공통으로 드러난 정황은 플랫폼에 저장된 환경변수 가운데 AI 접근 키를 노린 점입니다. 다만 Wiz는 이 사고들을 잇는 단일 취약점이나 의존성을 제시하지 않았습니다. Fireworks AI, Zeabur, Lightning AI는 자격증명 접근을 원인으로 들었고, Railway는 빌드 인프라 권한 상승 가능성을, Warp는 제3자 의존성을, OpenCode는 레거시 시스템을 언급했습니다.

Wiz가 추적한 두 키는 침해된 플랫폼 인프라에서 이전부터 많이 사용됐습니다. 플랫폼 침해 중 자격증명에 접근한 것으로 보고된 시점부터 30분 안에 주거용 IP에서 Bedrock InvokeModel 호출이 발생했습니다. 이 호출은 1분 동안 여러 조직의 탈취된 키를 시험했습니다. Claude Fable 5.1 호출은 실패했지만 Opus 5.5로 바꾼 요청은 성공했습니다. 이후 며칠 동안 두 키에는 작은 Go 클라이언트에서 각각 하루 14~120회가량의 호출이 들어왔고, 두 키의 호출 시점은 약 1분 간격으로 맞물렸습니다. Wiz는 이를 키가 계속 유효한지 확인하는 작업으로 해석했습니다.

사례 A에서는 첫 시험 4일 뒤 여러 모델과 계정 할당량을 탐색한 다음 대량 호출이 시작됐습니다. 30시간 동안 Bedrock 호출 약 80만 건 가운데 약 90%가 성공했고 약 6%는 속도 제한을 받았습니다. 키 정책은 global.* 교차 리전 추론 프로파일을 허용했습니다. Bedrock의 교차 리전 프로파일은 요청을 여러 AWS 리전에 분산할 수 있어, 공격자는 이 경로로 트래픽을 보냈습니다.

사례 B의 키는 us.* 프로파일만 허용했습니다. 공격자가 처음 보낸 global.* 요청은 실패했지만, 이후 확인 작업으로 사용할 수 있는 us.* 모델 ID를 찾았습니다. 그 뒤 13시간 동안 한 IP 주소에서 Bedrock 호출 약 170만 건을 보냈고 100만 건 넘게 성공했습니다. 글로벌 경로를 쓸 수 없어 계정의 리전별 할당량에 부딪혔으며, 성공하지 못한 호출은 대부분 속도 제한을 받았습니다. 두 사례의 차이는 키가 허용한 프로파일 범위와 이에 따른 리전별 할당량의 영향이었습니다.

두 사례의 호출 양상은 재판매되는 코딩 에이전트 트래픽과 비슷했고, Wiz는 탈취 키 사용을 공개적인 AI 모델 재판매 서비스들과 연결했습니다. 다만 이 재판매 조직들이 최초 침해를 일으켰는지, 대량 호출을 직접 수행했는지는 확정하지 못했습니다. Wiz는 두 사례의 사용량을 정가로 환산하면 10만 달러를 넘었을 가능성이 있다고 추정했습니다.

자료: Wiz / 정리·해설: Trawling

참고 자료

원문 보기 ↗토론 보기 ↗