У METR украли API-ключ и израсходовали ИИ-кредиты на $600 тысяч

Исследовательская некоммерческая организация METR раскрыла сведения о двух заметных инцидентах безопасности. В марте 2026 года злоумышленники похитили API-ключ для инференса публичных моделей и за три недели израсходовали кредиты, чья стоимость составила бы около $600 тыс. METR получила эти кредиты от поставщика моделей бесплатно, поэтому счёт на эту сумму ей не выставили.

Ключ находился на личном экземпляре Amazon EC2, который один из исследователей намеренно сделал доступным извне через аутентификацию Google. У сотрудника не было доступа к чувствительным данным. Однако в созданном им приложении возникла ошибка: аутентификация незаметно отключилась, и панель управления агентами на несколько дней оказалась открыта в интернете.

По оценке METR, атакующий мог искать недавно зарегистрированные сайты, в том числе через журналы прозрачности сертификатов, и отбирать ресурсы с ключевыми словами об LLM и ИИ-агентах. После обнаружения сервера злоумышленник попросил агента раскрыть API-ключ провайдера моделей, добавил SSH-ключ для сохранения доступа и использовал украденные учётные данные.

Несанкционированную активность не заметили сразу: METR проводит масштабные оценки и эксперименты, которые обычно требуют большого числа токенов, а для ключа не было лимита расходов. После инцидента организация ужесточила правила работы с учётными данными и данными METR на внешней инфраструктуре и личных устройствах, улучшила мониторинг и добавила уведомления о расходах там, где это возможно.

В мае METR также зафиксировала продолжительную внешнюю кампанию, которую связывает с вероятно финансово мотивированными злоумышленниками, пытавшимися получить доступ к передовым ИИ-моделям. По данным организации, они автоматизировали поиск уязвимостей с помощью агентов, применяли подбор учётных данных к поставщикам аутентификации, пытались получить OAuth-токены, сканировали новые сервисы и рассылали фишинговые сообщения сотрудникам.

В тот же период METR по ошибке открыла в публичном просмотрщике транскриптов механизм SQL-запросов только для чтения. По умолчанию он ограничивался публичными данными, но ошибка в компоненте потенциально позволяла получить доступ к неопубликованным результатам оценок; при этом в базе также оказались чувствительные данные моделей, которых там быть не должно. Независимый исследователь сообщил об ошибке, после чего API отключили. METR утверждает, что участники кампании проверяли этот endpoint, но признаков обнаружения уязвимости или доступа к непубличным данным нет.

Организация не связывает инциденты с какой-либо известной группировкой и отдельно подчёркивает, что ИИ-агенты не взламывали её системы самостоятельно. METR считает, что в результате двух случаев чувствительная информация не была получена.