Nueve plataformas PaaS filtran llaves de IA en Black October

Wiz Research documentó cómo llaves de Amazon Bedrock robadas en Northflank, Railway y Zeabur terminaron en mercados de reventa de acceso a modelos frontera, con más de 2,5 millones de invocaciones no autorizadas entre dos casos.

Qué pasó

La cadena de incidentes

Entre el 6 y el 30 de octubre de 2026, nueve plataformas usadas para desplegar o construir aplicaciones con IA —entre ellas Fireworks AI, Zeabur, Railway, Lightning AI, Warp y, al cierre del mes, Northflank— reportaron compromisos de seguridad. Wiz Research agrupó estos casos bajo el nombre 'Black October' y señaló que, aunque no hay una vulnerabilidad ni dependencia común que los conecte a todos, el objetivo se repite: las variables de entorno donde los clientes guardan sus credenciales, en particular las llaves de acceso a modelos de IA.

Northflank, un proveedor de plataforma-como-servicio (PaaS) para desplegar contenedores y bases de datos gestionadas, fue alertado por Wiz el 30 de octubre a las 11:43 UTC. Según BleepingComputer, Northflank empezó a revisar la alerta un minuto después y desplegó parches de política de red en las horas siguientes. A las 13:58 UTC, la página de estado de la empresa pasó el incidente a 'Identificado' con una instrucción directa: asumir que todas las variables de entorno fueron descifradas y rotar o deshabilitar todas las llaves. Esa misma noche, clientes reportaron uso no autorizado de sus llaves de proveedores de IA. Northflank afirma —y esto es dato de la empresa, no verificación independiente— que la intrusión quedó contenida en aproximadamente una hora, que no afectó a clientes en planos de control dedicados o 'forward-deployed', y que parchó la vulnerabilidad explotada en toda su flota, incluidos clústeres Bring Your Own Cloud (BYOC). Al momento de esta nota, Northflank no ha publicado un análisis de causa raíz, ni el número de clientes afectados, ni si se abusó de credenciales distintas a las de IA.

Los dos antecedentes con más detalle público

Railway (incidente del 20-22 de octubre) describió escalamiento de privilegios en su infraestructura de build, obtención de variables de entorno cifradas y descifrado de un subconjunto usando credenciales comprometidas dentro de esa misma infraestructura. Railway estimó que hasta un 1,85% de sus espacios de trabajo (unos 100.000) pudo tener variables comprometidas, y pidió a Anthropic, OpenAI, GitHub y Stripe reiniciar llaves de más de 100.000 usuarios por precaución.

Zeabur (reportado el 19 de octubre) describió un compromiso más profundo: un atacante usó credenciales internas filtradas que estaban guardadas en texto plano —incluyendo tokens de administrador de clúster sin fecha de expiración— y leyó cerca de 3,2 millones de registros de variables de entorno de servicios, además de datos de cuenta de 321.810 usuarios. Zeabur observó que el atacante buscaba sobre todo llaves de API directamente utilizables, en especial de servicios de IA, y llegó a intentar invocar Amazon Bedrock con las propias llaves de AWS de Zeabur. De 607 instancias de n8n revisadas, 602 guardaban su llave de cifrado como variable de entorno, por lo que las credenciales de terceros dentro de esos flujos de automatización quedaron igualmente expuestas.

Lo que pasó después del robo

Wiz documentó, sin identificar al proveedor de origen, dos casos de llaves empresariales de Amazon Bedrock robadas. En ambos, la primera invocación de prueba ocurrió dentro de los 30 minutos siguientes a la exposición reportada por el proveedor, desde direcciones IP residenciales. Luego siguió un período de 'goteo' de bajo volumen (consistente con un trabajo de verificación de llave), enumeración de cuotas y catálogo de modelos con scripts boto3, y finalmente una ráfaga de monetización: ~800.000 llamadas en ~30 horas en un caso (90% exitosas), y ~1,7 millones en ~13 horas en el otro (más de un millón exitosas). Wiz calcula que, sumados, esto pudo superar los US$100.000 de consumo a precio de lista.

Wiz identificó infraestructura de dos operaciones de reventa de acceso a modelos frontera —una asociada a la IP 23.106.46.239 ('momo') y otra a 38.246.114.118 ('Xingjiabi')— con acceso a ambas llaves robadas, incluyendo enumeración de perfiles de inferencia y un intento de modificar la configuración de retención de datos de una de las cuentas víctimas. Esto es una correlación de infraestructura, no una atribución confirmada: Wiz es explícito en que no pudo vincular de forma definitiva a estos revendedores con el robo original ni con las ráfagas de abuso. Lo que sí queda documentado es que llaves robadas en incidentes de plataforma llegan, en cuestión de días, a mercados secundarios que las revenden mientras aún están siendo explotadas.

Por qué importa acá

Esta nota es un análisis de Vantis a partir de una publicación de Cloud Security Alliance (CSA Labs), que a su vez sintetiza principalmente investigación de Wiz Research junto con los reportes propios de Northflank, Railway y Zeabur. CSA Labs opera con un pipeline de análisis automatizado y no es fuente primaria de los hechos: cada dato de este artículo proviene de los reportes originales citados en la fuente CSA, y los listamos en referencias.

No tenemos evidencia de una víctima chilena confirmada en Black October, y no la vamos a inventar. Pero el ángulo regional es real por tres vías:

• Adopción: Northflank, Railway y Zeabur son plataformas usadas activamente por equipos de desarrollo en Chile y LatAm para desplegar aplicaciones, incluyendo las que integran modelos de IA vía API. Si tu equipo usa alguna, el supuesto correcto hoy es tratar cualquier llave guardada ahí como potencialmente expuesta, siguiendo exactamente la instrucción que Northflank le dio a sus propios clientes.
• Ley 21.719 (protección de datos personales): Zeabur reporta datos de cuenta de 321.810 usuarios leídos por el atacante. Evaluación, confianza baja: no sabemos si hay cuentas de desarrolladores o empresas chilenas entre esas 321.810; nada en la fuente lo confirma ni lo descarta. Si una empresa chilena identifica que sus datos de cuenta estaban en ese lote, nace un análisis de aplicabilidad de la ley de protección de datos personales en cuanto a notificación a la Agencia de Protección de Datos Personales, independiente de que el incidente haya ocurrido en infraestructura extranjera.
• Ley 21.663 y deber de reporte a ANCI: aplica a entidades regidas por la ley (OIV, servicios esenciales, organismos del Estado) que sufran un incidente propio. Un robo de llaves en un proveedor PaaS extranjero no genera por sí solo una obligación de reporte a ANCI para una empresa chilena que lo use como cliente, salvo que ese incidente haya afectado de forma material la prestación de un servicio esencial de esa entidad. Evaluación, confianza alta: no hay base en la fuente para afirmar que esto ya ocurrió en Chile; lo que sí corresponde es que cualquier OIV que use alguna de las nueve plataformas revise su propia exposición y documente la revisión, con independencia de si termina reportando.

El punto estructural, más allá de Chile, es el que CSA subraya: una llave de proveedor de IA guardada como variable de entorno en una PaaS comparte el destino de seguridad del plano de control, el sistema de build y el gestor de secretos de esa plataforma. Eso convierte a cada PaaS de terceros en parte de la superficie de ataque de cualquier organización que la use, sin importar su tamaño o ubicación.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1552.001 — Zeabur describe tokens de administrador de clúster sin expiración guardados en texto plano junto a los respaldos que protegían; exactamente el patrón que esta técnica cubre.
• T1078.004 — Las llaves robadas se usaron como credenciales legítimas de los proveedores de IA, sin necesidad de explotar nada adicional una vez obtenidas.
• T1526 — La enumeración de cuotas de Bedrock, perfiles de inferencia y catálogo de modelos con scripts boto3, documentada en ambos casos de Wiz, precedió siempre a la ráfaga de abuso masivo.
• T1496 — El fin no era exfiltrar datos sino monetizar el acceso al modelo mismo, vía reventa o destilación — el equivalente de IA al cryptojacking de cómputo robado.
• T1098 — El intento de modificar la retención de datos de la cuenta (PutAccountDataRetention) detectado en el Caso B de Wiz sugiere un esfuerzo por dificultar la trazabilidad posterior del abuso.

23.106.46.239
38.246.114.118
104.243.32.50
31.57.201.201

title: Enumeración de cuotas y catálogo de modelos AWS Bedrock por principal no habitual
id: a1f3c9e2-5b47-4ac1-9d6e-8f2b17a4c930
status: experimental
description: Detecta llamadas de reconocimiento (catálogo de modelos, perfiles de inferencia, cuotas de servicio) que, según Wiz Research, preceden al abuso masivo de llaves de Amazon Bedrock robadas en incidentes de plataforma PaaS.
references:
  - https://labs.cloudsecurityalliance.org/research/csa-research-note-northflank-ai-key-resale-pipeline-20261102/
logsource:
  product: aws
  service: cloudtrail
detection:
  selection_bedrock:
    eventSource: 'bedrock.amazonaws.com'
    eventName:
      - 'GetModelInvocationLoggingConfiguration'
      - 'ListFoundationModels'
      - 'ListInferenceProfiles'
  selection_quotas:
    eventSource: 'servicequotas.amazonaws.com'
    eventName:
      - 'GetServiceQuota'
      - 'ListServiceQuotas'
  condition: selection_bedrock or selection_quotas
fields:
  - userIdentity.arn
  - sourceIPAddress
  - eventName
falsepositives:
  - Personal de ingeniería o FinOps revisando cuotas de forma legítima antes de un despliegue nuevo
  - Scripts de infraestructura como código que listan modelos disponibles al aprovisionar un entorno
level: medium
tags:
  - attack.discovery
  - attack.t1526

index=aws_cloudtrail sourcetype="aws:cloudtrail" (eventSource="bedrock.amazonaws.com" OR eventSource="servicequotas.amazonaws.com")
eventName IN ("GetModelInvocationLoggingConfiguration","ListFoundationModels","ListInferenceProfiles","GetServiceQuota","ListServiceQuotas")
| stats count earliest(_time) as primera_vez by userIdentity.arn, sourceIPAddress, eventName

``` segunda búsqueda: ráfaga de invocación posterior ```
index=aws_cloudtrail sourcetype="aws:cloudtrail" eventSource="bedrock.amazonaws.com" eventName IN ("InvokeModel","Converse")
| bin _time span=1h
| stats count as invocaciones by userIdentity.arn, _time
| where invocaciones > 500

// Enumeración de cuotas y catálogo de modelos
AWSCloudTrail
| where EventSource in ("bedrock.amazonaws.com","servicequotas.amazonaws.com")
| where EventName in ("GetModelInvocationLoggingConfiguration","ListFoundationModels","ListInferenceProfiles","GetServiceQuota","ListServiceQuotas")
| summarize ConteoLlamadas=count() by UserIdentityArn, SourceIpAddress, EventName, bin(TimeGenerated, 1h)

// Spike de invocaciones posterior (umbral referencial, ajustar a línea base propia)
AWSCloudTrail
| where EventSource == "bedrock.amazonaws.com" and EventName in ("InvokeModel","Converse")
| summarize Invocaciones=count() by UserIdentityArn, bin(TimeGenerated, 1h)
| where Invocaciones > 500

Fuentes

• Cloud Security Alliance (CSA Labs)Black October Reaches PaaS: Northflank, Secret Stores, and AI Key Resale · 2026-11-02
• Wiz Research"Black October" for AI Developer Platforms · 2026-10-30
• BleepingComputerNorthflank security breach leads to abuse of customers' AI API keys · 2026-10-31
• NorthflankSecurity incident (actualización de estado) · 2026-11-02
• RailwayPreliminary Report: Oct 21st Security Incident · 2026-10-22
• ZeaburOctober 2026 Security Incident (Preliminary Report) · 2026-10-19
• Sysdig Threat Research TeamLLMjacking: Stolen Cloud Credentials Used in New AI Attack · 2024-05-06

Relacionado