Black October : la clé d'IA volée, facturée au client

Onze plateformes, une même cible : les variables d'environnement

Le 30 octobre 2026, à 11 h 43 UTC, la plateforme d'hébergement Northflank reçoit une alerte de l'éditeur de sécurité Wiz. À 13 h 58, sa page d'état demande à tous les clients de considérer que leurs variables d'environnement (paramètres injectés dans une application, où se rangent mots de passe et clés d'accès) ont été déchiffrées. À 15 h 12, elle signale que plusieurs utilisateurs confirment l'usage de leurs clés d'IA. Le 2 novembre, elle renvoie les clients confrontés à une dépense inattendue vers leurs fournisseurs d'IA, en citant OpenAI et Anthropic.

Le même 30 octobre, Wiz publie un recensement. Au moins neuf plateformes ont déclaré un incident dans le mois, de Fireworks AI le 6 octobre à Northflank, en passant par Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp et CommandCode. Une mise à jour ajoute Brev, de NVIDIA, et Trigger.dev, dont The Register rapporte l'incident le 2 novembre. Wiz n'identifie aucune vulnérabilité commune, mais relève que toutes les déclarations publiques décrivent une recherche ciblée des variables d'environnement, en priorité celles qui donnent accès à des modèles d'IA. Dès le 21 octobre, Railway rattachait l'attaque subie à une série visant les plateformes pour atteindre les fournisseurs de modèles.

Zeabur, dans son rapport du 19 octobre, recense 3 218 965 enregistrements de variables d'environnement et 321 810 comptes lus par l'attaquant, et annonce sa fermeture au 31 décembre 2026, qu'elle présente comme une décision opérationnelle. Railway, le 22 octobre, situe l'intrusion entre le 20 octobre à 13 h 58 et le 22 octobre à 3 h 32 UTC, estime qu'au plus 1,85 % de ses espaces de travail, soit environ 100 000, ont pu voir des variables compromises, et a demandé à GitHub, Anthropic, OpenAI, Stripe et d'autres de révoquer les clés exposées. OpenCode a déclaré, selon TechCrunch, une intrusion touchant 1,4 % des utilisateurs de sa console en ligne.

Le récit s'est construit autour de l'attaquant. Axios, le 28 octobre, décrit un « Black October » où se mêlent failles découvertes par des IA et assauts contre les plateformes qui portent l'essor de l'IA. Railway et OpenCode relient le vol à des attaques par distillation (entraîner un modèle sur les réponses d'un autre). Le 27 octobre, l'éditeur Readyset a confronté aux sources primaires 28 incidents d'une liste devenue virale. Il n'y trouve que deux attaques menées par l'IA, dont une mal étayée, et attribue l'essentiel des dégâts à des identifiants à longue durée de vie concentrés en un seul endroit. À la date du 3 novembre 2026, date d'arrêt des faits, la série reste ouverte.

Une clé volée se teste en trente minutes et se revend en quelques jours

Wiz documente deux clés d'entreprise pour Amazon Bedrock (service d'AWS qui donne accès à des modèles de plusieurs fournisseurs), compromises chez l'une des plateformes touchées. Dans les deux cas, un premier appel de modèle survient moins de trente minutes après l'accès aux identifiants, simple vérification que la clé fonctionne. L'exploitation massive vient plus tard. Pour la première clé, quatre jours après ce test : environ 800 000 appels en un peu plus de trente heures, dont près de 90 % aboutissent. La seconde réapparaît sept jours après le test dans le réservoir d'un revendeur, puis subit environ 1,7 million d'appels en treize heures, dont plus d'un million aboutissent.

Wiz rapproche ce trafic de celui d'agents de code revendu et relie l'usage de ces clés à deux sites qui vendent à prix réduit l'accès à des modèles de pointe. Selon l'éditeur, ces deux seuls cas « likely ran up over $100k in usage » (ont probablement généré plus de 100 000 dollars d'usage). C'est une estimation au prix public, pas une facture constatée.

Le marché n'est pas neuf. En mai 2024, l'éditeur Sysdig décrivait déjà, sous le nom de LLMjacking, des accès volés revendus pendant que le titulaire du compte paie, pour un coût pouvant selon lui dépasser 46 000 dollars par jour dans le pire scénario. Octobre 2026 montre ce que devient ce marché quand les clés sont stockées en masse chez quelques intermédiaires.

La politique d'accès de la première clé autorisait le routage mondial des requêtes, et seuls 6 % environ des appels ont été freinés par les quotas (plafonds de débit fixés par région). La seconde était limitée aux régions américaines, et les quotas ont arrêté presque tous ses appels non aboutis. Une restriction de région, écrite un jour pour des raisons techniques, a joué le rôle d'un plafond de dépense que personne n'avait formellement fixé.

La facture suit le compte, pas l'endroit de la fuite

Railway répond sans détour le 26 octobre : « Railway is unable to refund customers for spend performed with compromised API keys » (Railway ne peut pas rembourser les dépenses effectuées avec des clés d'API compromises). Elle renvoie vers les fournisseurs d'IA, comme Northflank. Zeabur accepte d'examiner des demandes de compensation par ticket, après vérification des relevés des fournisseurs. Selon TechCrunch, OpenCode a engagé des remboursements des frais non autorisés, OpenAI a remboursé ses clients d'API pour les crédits consommés, Anthropic et Google ont bloqué les clés exposées. Le même article rapporte des frais de plusieurs centaines de dollars par compte, parfois plus de 1 000.

Ces gestes ne suivent aucune règle. Les conditions commerciales d'Anthropic, en vigueur depuis le 17 juin 2025, posent que le client est responsable de toute activité sur son compte et des frais qu'il génère, sauf accord contraire. Dans les documents consultés, aucune des plateformes touchées ne publie de clause qui attribue la consommation frauduleuse consécutive à sa propre compromission. La clé engage donc le titulaire du compte, quel que soit l'endroit où elle a fui, et le remboursement relève d'une décision commerciale prise après coup.

Une clé d'API d'IA n'est plus un paramètre technique. C'est un moyen de paiement au porteur, déposé chez des tiers que la direction financière ne connaît souvent pas.

La perte tombe sur la partie la moins à même de l'arbitrer

La chronique du 22 octobre sur les frigos piratés lisait une configuration voisine avec Ross Anderson (2001) : la partie qui peut protéger un système n'est pas celle qui subit sa défaillance. Ici, la perte prend la forme d'une somme facturée, que des contrats peuvent attribuer. La question devient celle de Guido Calabresi : à qui faire porter la perte pour que l'arbitrage entre son coût et celui de sa prévention soit rendu par la bonne partie ?

Le meilleur décideur des coûts (Calabresi, 1975 et 1985)

Dans le prolongement de The Costs of Accidents (1970), Guido Calabresi propose de ne pas partir de la faute mais d'une autre question : « Who is best suited to make the cost-benefit analysis between accident costs and accident avoidance costs? » (qui est le mieux placé pour arbitrer entre le coût des accidents et le coût de leur prévention ?), écrit-il en 1975 dans « Optimal Deterrence and Accidents ». Avec Alvin Klevorick, en 1985, il précise que l'enjeu n'est pas la manière dont l'arbitrage est rendu, mais l'identité de la partie la mieux placée pour le rendre et agir en conséquence. Le critère ne désigne pas un coupable. Il désigne la partie chez qui l'incitation sera utile.

Appliqué à la clé d'IA, le critère distingue trois leviers, tenus par trois parties. La plateforme décide de la garde : chiffrement, durée de vie de ses propres jetons, détection d'une lecture massive de sa base. Le rapport de Zeabur montre ce que pèse ce levier. La plateforme y écrit que la cause première de l'incident lui incombe, que des jetons d'administration créés en janvier 2024 n'avaient ni date d'expiration ni renouvellement, et que plus de seize heures d'activité de l'attaquant, le 14 octobre, n'ont déclenché aucune alerte.

Le fournisseur de modèles, lui, voit le trafic. Huit cent mille appels en trente heures sur une clé jusque-là ordinaire forment un signal qu'il est seul à observer en temps réel, et il fixe les réglages par défaut (plafond par clé, durée de vie, alerte de dépense). Le client, enfin, peut restreindre régions et modèles et plafonner sa dépense, comme le montre la seconde clé décrite par Wiz. Il ne voit cependant ni la base où dort sa clé, ni le trafic qu'elle génère avant la facture.

La règle actuelle place la perte sur la seule partie qui ne contrôle ni la garde ni le signal. Au sens de Calabresi, elle confie l'arbitrage à celle qui dispose des informations les plus pauvres. Les remboursements d'OpenAI ou d'OpenCode corrigent ponctuellement cette allocation sans la changer. Tant qu'ils restent discrétionnaires, ni la plateforme ni le fournisseur ne peuvent les compter comme un coût prévisible de leurs propres choix de sécurité. Le constat de Readyset le confirme : la concentration d'identifiants durables fait à la fois la valeur du service pour la plateforme et le risque pour ses clients.

CircleCI 2023 : la même consigne, sans marché de revente

Le 4 janvier 2023, CircleCI, plateforme d'intégration continue (chaîne qui compile et déploie automatiquement le code), demande à tous ses clients de renouveler immédiatement l'ensemble des secrets stockés chez elle. Son rapport d'incident, publié le 12 janvier 2023, établit qu'un logiciel malveillant installé sur l'ordinateur d'un ingénieur a permis de voler une session d'authentification valide, pourtant protégée par double facteur. Les données exfiltrées étaient chiffrées, mais l'attaquant a extrait les clés de chiffrement d'un processus en cours d'exécution.

La structure est identique : un dépôt unique de secrets clients, une compromission interne, une consigne de rotation générale qui transfère aux clients la remédiation. La différence tient au délai de monétisation. En 2023, un secret volé devait encore servir à une intrusion chez le client. En 2026, une clé d'IA se convertit d'elle-même en dépense, par des revendeurs, en quelques jours. La consigne de rotation arrive désormais après la consommation, et non avant.

Partout où un secret déclenche une dépense à l'usage

Le mécanisme se décrit sans aucune marque. Un identifiant qui déclenche à la demande une dépense facturée à l'usage est confié à un tiers. Les conditions du fournisseur rattachent cette dépense au titulaire du compte. La partie qui garde l'identifiant et celle qui observe la consommation ne supportent pas la perte, et celle qui la supporte ne voit ni l'une ni l'autre.

Les conditions de reproduction sont repérables dans une organisation quelconque. Les clés sont créées par les équipes techniques et réglées par carte d'entreprise ou contrat standard, hors du circuit des achats. Elles sont déposées dans plusieurs plateformes (hébergement, chaîne de build, outils d'agents) sans inventaire commun, avec une durée de vie illimitée par défaut. Aucune ligne budgétaire ne porte la consommation, si bien qu'une dérive se découvre à la facture. Le même schéma vaut pour les clés de paiement en ligne, que Railway a d'ailleurs fait révoquer chez Stripe en même temps que les clés d'IA.

Grille de lecture

1. Combien de clés d'API de modèles d'IA l'organisation détient-elle, et dans combien de plateformes tierces chacune est-elle enregistrée ?
2. Pour chaque clé, quel plafond de dépense et quelles restrictions de région ou de modèle figurent dans sa politique d'accès, et quelle fonction les a fixés ?
3. À quelle date chaque clé a-t-elle été créée, et à quelle date a-t-elle été renouvelée pour la dernière fois ?
4. Que disent les conditions de chaque plateforme et de chaque fournisseur sur la consommation frauduleuse consécutive à la compromission d'un tiers ?
5. En combien de temps une dépense anormale sur une clé parvient-elle à une personne habilitée à la révoquer ?

Ce que diront les prochaines conditions générales

Black October restera peut-être le mois où l'IA a commencé à attaquer. Les documents des plateformes racontent une histoire plus ordinaire : des clés d'IA confiées à des intermédiaires, testées en trente minutes, revendues en quelques jours, et facturées au client que personne n'avait mis en mesure de les protéger. La question de Calabresi éclaire ce qui manque. La perte n'est pas placée chez la partie la mieux à même d'arbitrer entre son coût et celui de sa prévention, et la clé reste un moyen de paiement sans règle de paiement.

Deux indicateurs observables de l'extérieur diront si cette allocation bouge. D'ici au 30 juin 2027, les principaux fournisseurs de modèles (OpenAI, Anthropic, AWS, Google) annonceront ou non des plafonds de dépense par clé, des durées de vie courtes ou des alertes de consommation anormale activés par défaut, ce qui reviendrait à traiter ces clés comme des moyens de paiement. D'ici au 31 décembre 2027, les conditions générales des plateformes de développement contiendront ou non une clause qui attribue la consommation frauduleuse consécutive à leur propre compromission. Si aucun de ces signaux n'apparaît, le remboursement restera un geste, et la perte continuera de tomber là où elle sert le moins.

Note méthodologique

Les faits reposent d'abord sur les documents des organisations (rapports d'incident de Zeabur, Railway et CircleCI, page d'état de Northflank, conditions commerciales d'Anthropic), recoupés par TechCrunch, The Register et Axios. Les billets de Wiz, Sysdig et Readyset sont des analyses d'éditeurs de sécurité commerciaux, mobilisées pour leurs propres constats et attribuées comme telles. La recherche ciblée de clés d'IA est assumée, car les plateformes l'ont reconnue publiquement. Le rôle d'une IA offensive est attribué, car Railway et OpenCode l'avancent et Readyset le juge peu étayé sur l'ensemble des incidents. Zeabur présente sa fermeture comme une décision opérationnelle, et cette formulation est retenue. Le décompte de neuf plateformes est celui de Wiz au 30 octobre, porté à onze par sa mise à jour, et les 28 incidents de Readyset relèvent d'un périmètre plus large. Les affirmations d'absence portent sur les documents consultés au 3 novembre 2026, date d'arrêt des faits. Le choix du critère de Calabresi comme cadre central, plutôt que du désalignement des incitations d'Anderson déjà mobilisé sur ce site, relève de l'auteur. Recherche de sources, croisement des données et structuration du raisonnement s'appuient sur une assistance par intelligence artificielle. Le choix de l'angle et du cadre théorique, la vérification des sources, les arbitrages et l'établissement du texte final relèvent de l'auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Documents des organisations

Northflank, « Security incident », page d'état, mises à jour du 30 octobre au 2 novembre 2026, consultée le 3 novembre 2026, https://status.northflank.com/

Railway (Jacob Cooper), « Security Disclosure: Wednesday October 21st », 21 octobre 2026, https://blog.railway.com/p/security-disclosure-wednesday-october-21st

Railway (Jacob Cooper et Angelo Saraceno), « Preliminary Report: Oct 21st Security Incident », 22 octobre 2026, mis à jour le 26 octobre 2026, https://blog.railway.com/p/preliminary-report-october-security-incident

Zeabur (Yuanlin Lin), « Zeabur October 2026 security incident (preliminary report) », 19 octobre 2026, https://zeabur.com/blogs/october-2026-security-incident

Anthropic, « Commercial Terms of Service », sections D.5 et H.1, en vigueur depuis le 17 juin 2025, consulté le 3 novembre 2026, https://assets.claude.com/cbc0cee5a5580ef30c81ccf745ef439aa7c47921.pdf

CircleCI (Rob Zuber), « CircleCI incident report for January 4, 2023 security incident », 12 janvier 2023, https://circleci.com/blog/jan-4-2023-incident-report

Analyses d'éditeurs de sécurité

Wiz (Benjamin Read et Rami McCarthy), « "Black October" for AI Developer Platforms », 30 octobre 2026, consulté le 3 novembre 2026, https://www.wiz.io/blog/black-october-for-ai-developer-platforms

Readyset (Gautam Gopinadhan), « Black October: What Actually Happened, and What To Patch », 27 octobre 2026, https://readyset.io/blog/black-october-what-actually-happened-and-what-to-patch

Sysdig (Alessandro Brucato), « LLMjacking: Stolen Cloud Credentials Used in New AI Attack », 6 mai 2024, https://www.sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack

Presse de référence

TechCrunch (Aditya Mehta), « Hackers hit AI coding tool OpenCode, running up charges on users' AI accounts », 19 octobre 2026, https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/

Axios, « Inside "Black October": AI's cyber scare delivers a Y2K lesson », 28 octobre 2026, https://www.axios.com/2026/10/28/cybersecurity-black-october-ai-hacks

The Register (Brandon Vigliarolo), « Thieves pilfer environment variables from Trigger AI workflow tool », 2 novembre 2026, https://www.theregister.com/security/2026/11/02/thieves-pilfer-environment-variables-from-trigger-ai-workflow-tool/5306998

Cadres théoriques

Guido Calabresi, « Optimal Deterrence and Accidents », The Yale Law Journal, vol. 84, 1975, p. 656 à 671, consulté le 3 novembre 2026, https://openyls.law.yale.edu/server/api/core/bitstreams/4b172f53-8e28-42c8-92d6-24c909fe15c2/content

Guido Calabresi et Alvin K. Klevorick, « Four Tests for Liability in Torts », The Journal of Legal Studies, vol. 14, décembre 1985, p. 585 et suivantes, consulté le 3 novembre 2026, https://openyls.law.yale.edu/server/api/core/bitstreams/bb538b23-e9ea-4585-a19b-768c825e03c9/content

Ross Anderson, « Why Information Security is Hard: An Economic Perspective », Proceedings of the 17th Annual Computer Security Applications Conference (ACSAC), 10 au 14 décembre 2001, p. 358 à 365, consulté le 3 novembre 2026, http://www.cl.cam.ac.uk/ftp/users/rja14/econ.pdf