Northflank закликала клієнтів змінити секрети після витоку API-ключів ШІ

Хмарна платформа Northflank попередила клієнтів про інцидент безпеки та закликала негайно змінити всі облікові дані й секрети, що зберігалися на сервісі. Компанія підтвердила повідомлення кількох користувачів про несанкціоноване використання API-ключів до сервісів штучного інтелекту, переданих на платформу.

Про це повідомляє BleepingComputer. Northflank дає змогу розгортати та керувати застосунками, контейнерами, базами даних і ШІ-застосунками без самостійного адміністрування базової інфраструктури.

Попередження для користувачів

30 жовтня Northflank повідомила про інцидент після отримання сповіщення від компанії з хмарної безпеки Wiz. Згодом платформа порадила всім клієнтам виходити з припущення, що змінні середовища були розшифровані, а збережені в них секрети могли бути викрадені.

Змінні середовища часто містять конфіденційні дані: паролі до баз даних, облікові дані хмарних сервісів, токени автентифікації та API-ключі. Їх компрометація може відкрити доступ до інших сервісів клієнтів, призвести до витоку даних або несанкціонованих витрат за використання API.

Клієнтам також рекомендували перевірити журнали використання та виставлення рахунків у постачальників ШІ-сервісів на предмет незвичної активності, а в разі її виявлення повідомити Northflank і відповідного провайдера.

Дії компанії після інциденту

За оприлюдненою хронологією, Wiz попередила Northflank 30 жовтня о 11:43 UTC, а інженери платформи почали перевірку через хвилину. Компанія внесла виправлення до мережевої політики, а також застосувала додаткові патчі о 12:50 та 13:05 UTC і звернулася по допомогу до команди реагування Wiz.

Northflank увімкнула можливість ротації облікових даних для PostgreSQL, MongoDB, MySQL і Redis. Також компанія надала журнали аудиту всім клієнтам, зокрема користувачам безкоштовних тарифів, щоб вони могли перевірити підозрілу активність. Платформа й надалі радить замінити секрети, що зберігаються у робочих навантаженнях, групах секретів і глобальних секретах, а також вимкнути публічний доступ до додатків, якщо він активований.

Атаки на платформи для ШІ-розробки

Wiz у звіті про щонайменше дев'ять інцидентів на ШІ-платформах у жовтні згадала Northflank, Railway, OpenCode, Warp і Lightning AI. Дослідники зазначили, що зловмисники в окремих випадках націлювалися на змінні середовища з обліковими даними ШІ-сервісів. Такий спосіб зловживання викраденими ключами називають LLMJacking: доступ за чужими API-ключами може використовуватися для здійснення дорогих запитів до моделей ШІ або перепродажу доступу.