METR сообщила о краже API-ключа и расходе ИИ-кредитов на $600 тыс.
Некоммерческая исследовательская организация METR сообщила о двух заметных инцидентах безопасности в 2026 году. В марте злоумышленники похитили API-ключ для инференса публичных моделей и за три недели израсходовали кредиты примерно на 600 тыс. долларов; в мае организация зафиксировала кампанию по прощупыванию внешней инфраструктуры.
METR, расшифровывающаяся как Model Evaluation and Threat Research, оценивает способности передовых ИИ-моделей выполнять длительные агентные задачи. Организация заявила, что не обнаружила доступа к чувствительной информации. Атаки не связали с известной группой и не отнесли к случаям взлома самими ИИ-агентами.
Как оказался открыт доступ к ключу
По описанию METR, исследователь без доступа к чувствительным системам запускал агентов на личном экземпляре Amazon EC2. Инстанс был намеренно доступен извне и защищался аутентификацией Google. На нём хранился ключ от учётной записи METR для публично доступных моделей.
Приложение, созданное методом vibe coding, содержало уязвимость fail-open: она незаметно отключала аутентификацию. В результате панель оркестрации агентов несколько дней была доступна из интернета. METR предполагает, что атакующий мог находить недавно зарегистрированные сайты через журналы прозрачности сертификатов, отбирая ресурсы с упоминаниями LLM и агентов.
После обнаружения системы злоумышленник дал агенту команду раскрыть ключ провайдера моделей, добавил SSH-ключ для закрепления и начал пользоваться учётными данными. Необычный расход не заметили сразу: METR регулярно проводит масштабные эксперименты с большим потреблением токенов, а для ключа не были установлены лимиты расходов.
Вторая кампания и ошибка в публичном API
В мае METR наблюдала продолжительную внешнюю кампанию, которую связала с вероятно финансово мотивированным актором. Атакующие автоматизировали поиск уязвимостей агентами, применяли credential stuffing к провайдерам аутентификации, пытались получить OAuth-токены, сканировали новые сервисы и рассылали фишинговые сообщения сотрудникам.
В тот же период организация случайно открыла механизм SQL-запросов только для чтения в публичном просмотрщике транскриптов. По умолчанию запросы были ограничены публичными данными, но ошибка компонента потенциально позволяла обратиться к неопубликованным результатам оценок. В базе также по ошибке находились чувствительные данные моделей, хотя туда должны были попадать сведения лишь о несекретных моделях.
Проблему обнаружил независимый исследователь безопасности, после чего METR отключила API. Следы показывают, что участники кампании проверяли этот endpoint, но не нашли способ эксплуатации и не получили непубличные данные.
Что изменила METR
После мартовского случая METR ужесточила правила размещения своих учётных данных и данных на внешней инфраструктуре или личных устройствах, улучшила мониторинг и добавила оповещения о расходах там, где это возможно. Для компаний этот случай подчёркивает необходимость изолировать ключи от публичных сред, заранее ограничивать бюджеты API и отделять штатный объём исследовательских задач от аномального потребления.