- SecurityWeek表示，過去一個月最少有十多個AI開發平台遇襲。
- Chainstack遭存取的資料庫可能披露客戶姓名、成員電郵地址及密碼雜湊值。
- WorkOS表示，黑客存取了包括商業聯絡人及客戶賬戶歷史在內的銷售應用程式資料。
事件涉及不同類型的客戶及商業資料。Chainstack表示，遭存取的資料庫載有機構名稱、賬戶持有人姓名、成員電郵地址及密碼雜湊值。WorkOS表示，攻擊者存取了商業聯絡資料及客戶通訊摘要。
SecurityWeek表示，行動包括Andromeda、Brev、CommandCode、Fireworks AI、Lightning AI、Northflank、OpenCode、Railway、Trigger.dev、Warp及Zeabur。雲端安全聯盟表示，攻擊者正透過託管平台、評估服務及開發者控制台取得AI供應商憑證。Wiz於2026年10月30日發表報告。
Chainstack及WorkOS披露攻擊利用Artex
Chainstack及WorkOS披露，攻擊利用開源Artex AI滲透測試框架進行自動化。SecurityWeek表示，攻擊似乎並無關聯，而不同事件的初始存取方式各異，包括憑證遭入侵、第三方依賴項及漏洞利用。
該公司表示，攻擊者透過第三方組件進入開發環境及部分生產環境。Chainstack表示，遭存取的資料庫載有客戶賬戶資料，而由於攻擊者進入儲存節點憑證的系統，節點憑證亦可能已被披露。
黑客似乎搜尋AI存取令牌
SecurityWeek表示，黑客似乎正在搜尋可變現的AI存取令牌，並依靠AI代理加快及簡化攻擊。Wiz表示，增幅由LLM劫持及LLM經紀基礎設施帶動，令AI存取令牌可以變現。
Fireworks及Andromeda報告個別憑證事件
Andromeda表示，於10月13日發現憑證遭未經授權存取，當日停用受入侵賬戶，並未觀察到進一步未經授權活動。該公司表示，活動約於10月9日作為全行業攻擊的一部分開始，影響少量客戶賬戶。
Wiz表示，兩組遭入侵的企業憑證，在供應商入侵中報告憑證遭存取後30分鐘內，首次未經授權活動時間相同。
Chainstack促請客戶輪換節點憑證。Fireworks通知受影響客戶更換已撤銷的API密鑰，並更新使用該等密鑰的應用程式。
Wiz觀察到多個威脅行為者使用相同的受入侵密鑰，這「顯示此類憑證存在成熟市場」。SecurityWeek表示，多家公司將歸因於中國APT Storm-0940的攻擊與使用Artex框架聯繫起來。
防守方現在要做甚麼
- 輪換Chainstack節點憑證。
- 更換已撤銷的Fireworks API密鑰，在Fireworks賬戶建立新密鑰，並更新使用已撤銷密鑰的應用程式。
常見問題
AI開發平台攻擊發生了甚麼事？
SecurityWeek表示，黑客在過去一個月以最少十多個AI開發平台為目標，尋找可變現的AI存取令牌。該報道表示，攻擊似乎並無關聯，並採用不同的初始存取方式。
哪些AI開發平台成為目標？
SecurityWeek點名Andromeda、Brev、CommandCode、Fireworks AI、Lightning AI、Northflank、OpenCode、Railway、Trigger.dev、Warp及Zeabur。該報道亦指Chainstack遇襲，而WorkOS披露內部應用程式遭攻擊。
Chainstack攻擊者存取了甚麼資料？
Chainstack表示，遭存取的資料庫載有機構名稱、賬戶持有人姓名、成員電郵地址及密碼雜湊值。SecurityWeek表示，由於攻擊者存取儲存節點憑證的系統，節點憑證亦可能已被披露。
WorkOS攻擊者存取了甚麼資料？
WorkOS表示，黑客入侵內部銷售應用程式，並存取商業聯絡資料及客戶通訊摘要，包括姓名、電郵地址、電話號碼、職銜、公司關係及客戶賬戶歷史。
這些攻擊中的Artex是甚麼？
SecurityWeek報道，Chainstack及WorkOS披露的攻擊依靠開源AI滲透測試框架Artex進行自動化。
受影響客戶應如何應對？
Chainstack促請客戶輪換節點憑證。Fireworks指示受影響客戶更換已撤銷的API密鑰、建立新密鑰，並更新使用已撤銷密鑰的應用程式。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| SecurityWeek報道，過去一個月最少有十多個AI開發平台遇襲。 | SecurityWeek | 引述 |
| SecurityWeek表示，黑客似乎尋找可變現的AI存取令牌，並使用AI代理簡化攻擊。 | SecurityWeek | 引述 |
| SecurityWeek報道，攻擊似乎並無關聯，而不同事件的初始存取方式各異。 | SecurityWeek | 引述 |
| SecurityWeek表示，攻擊者以Andromeda、Brev、CommandCode、Fireworks AI、Lightning AI、Northflank、OpenCode、Railway、Trigger.dev、Warp及Zeabur為目標。 | SecurityWeek | 引述 |
| 雲端安全聯盟表示，攻擊者透過託管、評估及開發者控制台中介取得AI供應商憑證。 | Cloud Security Alliance, via SecurityWeek | 引述 |
| Wiz表示，增幅由LLM劫持及LLM經紀基礎設施帶動，令被盜AI存取令牌可以變現。 | Wiz, via SecurityWeek | 引述 |
| Wiz觀察到多個威脅行為者使用相同的受入侵密鑰，顯示相關憑證存在成熟市場。 | Wiz, via SecurityWeek | 引述 |
| SecurityWeek表示，Chainstack於10月26日遇襲，攻擊者透過第三方組件進入開發環境及部分生產環境。 | SecurityWeek | 引述 |
| Chainstack表示，遭存取的資料庫載有客戶賬戶資料，包括姓名、成員電郵地址及密碼雜湊值。 | Chainstack, via SecurityWeek | 引述 |
| SecurityWeek表示，Chainstack稱由於攻擊者存取儲存節點憑證的系統，節點憑證亦可能已被披露。 | SecurityWeek | 引述 |
| WorkOS表示，黑客於10月30日入侵內部銷售應用程式，並存取商業聯絡資料及客戶通訊摘要。 | WorkOS, via SecurityWeek | 引述 |
| WorkOS表示，遭存取的資料包括姓名、電郵地址、電話號碼、職銜及客戶賬戶歷史。 | WorkOS, via SecurityWeek | 引述 |
| SecurityWeek表示，多家公司將歸因於中國APT Storm-0940的攻擊與使用Artex聯繫起來。 | SecurityWeek | 引述 |
| Wiz表示，兩組遭入侵的企業憑證在報告憑證遭存取後30分鐘內，首次未經授權活動時間相同。 | Wiz | 引述 |
| Andromeda表示，於10月13日發現憑證遭未經授權存取，當日停用受入侵賬戶，並未觀察到進一步未經授權活動。 | Andromeda | 已證實 |
| Andromeda表示，活動約於10月9日作為全行業攻擊的一部分開始，影響少量客戶賬戶。 | Andromeda | 已證實 |
| Fireworks表示，於10月6日發現內部憑證遭未經授權使用，少量客戶賬戶內的環境變數遭存取。 | Fireworks | 已證實 |
| wiz.io於2026年10月30日發表報告。 | wiz.io | 已證實 |
| fireworks.ai於2026年10月10日發表報告。 | fireworks.ai | 已證實 |
未能核實
- 事件是否由同一個組織進行，尚未確定
- 攻擊者是否利用特定漏洞，尚未確定
- 受影響組織及個人數目，尚未確定
- Storm-0940是否進行所報道的攻擊，尚未確定
