Una chiave API rubata ha trasformato METR in una spesa da 600.000 dollari
METR ha reso note due incursioni distinte. A marzo un'API key per l'inference su modelli pubblici è stata rubata e ha generato circa 600.000 dollari di consumo in credits; a maggio sono partite nuove attività di probing contro la sua infrastruttura pubblica, senza accesso ai dati interni.
Il punto non è il furto di dati, ma il furto di spesa. Una verifica fallita ha lasciato esposto su Internet il dashboard dell'agent orchestration; da lì l'attaccante ha fatto rivelare la chiave del modello e l'ha riusata per consumare servizi a pagamento per settimane, lasciando anche un accesso persistente. Il risultato è una compromissione di credenziali che si traduce direttamente in bollette cloud e uso non autorizzato di API metered.
Per chi gestisce agent LLM o strumenti interni su infrastruttura esposta, la lezione è che un incidente di credenziali può esaurire budget anche senza esfiltrazione. Il perimetro rilevante non è solo il dato sensibile: sono anche le chiavi che danno accesso a servizi tariffati e che restano valide finché non vengono ruotate.