九家的环境变量，都被翻了一遍

十月一个月里，至少九家 AI 开发平台各自披露了同一类入侵：Fireworks AI、Andromeda、Zeabur、Lightning AI、OpenCode、Railway、Warp、CommandCode、Northflank1。九起之间没有一个共同的漏洞——Wiz 在 10 月 30 日的报告里写得很清楚，共同的是被猎取的东西：存在环境变量里的 AI 凭证。

这个形状也不是 Wiz 先看到的。Cloud Security Alliance 在 10 月 23 日就发过一篇《Inference Providers as the Prize》，把 Fireworks、OpenCode、Railway 与 LiteLLM 串成一条平台链战役，比 Wiz 早七天；同一篇写明「没有厂商公开把这些事件连到同一个行为者，战役这个说法目前只来自 Railway」2。再往前，微软在八月记录过针对暴露在外的 LiteLLM、RAGFlow 与 Kestra 部署的入侵：攻击者拿到执行权后，先翻的就是运行时环境变量。

九起值得放在一页里看，是因为没有一家是被同一个漏洞打穿的。Fireworks、Zeabur、Lightning 把根因归到凭据访问；Railway 归到构建基础设施里的提权；Warp 归到一条第三方依赖；OpenCode 归到一套遗留系统。九条不同的路，通向同一批东西。

而这些东西有公开的价目。Wiz 点名的两家今天都还开着：llm-routing.com 首页写着「at about half the official price」，把 GPT-5.5 的官方参考价和自家价格并排列出，充值走 USDT3；xingjiabiapi.org 的价目页列着 85 个型号，按每百万 token 用人民币标价，每个型号后面还挂着一个来源标签——「claude 官 key」「cc-max」「aws-gcp-claude 混合」4。两家域名分别在 2025 年 11 月和 2026 年 6 月注册，注册商同为 Spaceship，registrant 都被隐私屏蔽，页面上也找不到公司主体。需求那头是蒸馏：OpenCode 与 CommandCode 都把自己的事件说成 distillation 攻击，Railway 说攻击者的目的是拿 AI 密钥去做蒸馏567。

规模的量级由各家自己给。Zeabur 的平台数据库被读走 3,218,965 条环境变量记录、321,810 个账号、865 个数据库服务，公司随后在 10 月 17 日宣布关停，新购即刻停止，12 月 31 日全部关闭89。Railway 说约 10 万个 workspace；Warp 说至多约 1% 用户10；OpenCode 说 Console 用户的 1.4%；CommandCode 说没有发现用户受影响。这些数字不能相加，分母各不相同。

处置时序更值得记住。Northflank 从要求全体轮换到说明原因，中间隔了近十小时11；Zeabur 在 15:40 换上的备份访问钥匙，被 16:00 的备份带走，20:30 已经被用掉。加密保护的是磁盘，轮换保护的是下一分钟，两样都不保护部署那一刻的明文。

所以边界要说清：Wiz 能证明两个转售站持有并试过被盗的钥匙，但明写没有证据把它们与初始入侵、或与那场洪水直接连起来；CSA 也写着没有厂商把九起连到同一个行为者。能据以行动的不是「抓到一个团伙」，而是三件事：假设环境变量已经解密；轮换要连备份和派生物一起换；告警看用量的形状而不是看登录——每天 14 到 120 次的规律心跳、单一客户端、按模型清单逐个探测，这些都在洪水之前，窗口有四到七天。