Northflank meldt een beveiligingsincident waarbij AI API-sleutels van klanten werden misbruikt en adviseert onmiddellijke rotatie van alle credentials.
Northflank, een cloudplatform voor het hosten en beheren van applicaties, containers, databases en AI-toepassingen, heeft klanten gewaarschuwd om alle opgeslagen credentials en geheimen direct te roteren na een beveiligingsincident. Op 30 oktober maakte het bedrijf bekend dat er ongeautoriseerd gebruik was gemaakt van AI API-sleutels van klanten, nadat een melding van cloudbeveiligingsbedrijf Wiz was ontvangen.
Het platform adviseert klanten ervan uit te gaan dat alle environment variables zijn ontsleuteld en dat de daarin opgeslagen geheimen zijn gestolen. Environment variables worden vaak gebruikt om gevoelige gegevens zoals databasewachtwoorden, cloudservice-credentials, authenticatietokens en API-sleutels op te slaan. Als deze gegevens uitlekken, kunnen aanvallers toegang krijgen tot andere klantdiensten, wat kan leiden tot datadiefstal of ongeautoriseerde kosten via API-sleutels.
Northflank bevestigde dat meerdere klanten melding maakten van ongeautoriseerd gebruik van AI API-sleutels die op het platform waren opgeslagen. Klanten wordt dringend geadviseerd hun geheimen onmiddellijk te roteren en hun gebruiks- en factureringslogs bij AI-providers te controleren op verdachte activiteiten. Daarnaast wordt aangeraden verdachte activiteiten te melden bij Northflank en de betreffende AI-leveranciers.
Volgens de gepubliceerde incident-tijdlijn ontving Northflank de waarschuwing van Wiz op 30 oktober om 11:43 UTC, waarna de engineers binnen een minuut reageerden met een netwerkbeleidpatch. Verdere patches volgden om 12:50 en 13:05 UTC. Ook schakelde Northflank het incidentrespons-team van Wiz in. Het is nog onduidelijk hoe de aanvallers toegang kregen, hoeveel klanten getroffen zijn en of er naast AI API-sleutels ook andere credentials zijn gestolen of misbruikt.
Als onderdeel van de respons heeft Northflank rotatie van credentials voor PostgreSQL, MongoDB, MySQL en Redis ingeschakeld en auditlogs geactiveerd voor alle klanten, inclusief gratis accounts, om onderzoek naar verdachte activiteiten te vergemakkelijken. Klanten wordt geadviseerd ook geheimen in workloads, geheime groepen en globale geheimen te roteren en publieke toegang tot add-ons waar mogelijk uit te schakelen.
Dit incident maakt deel uit van een reeks aanvallen op AI-ontwikkelplatforms die in oktober plaatsvonden. Beveiligingsonderzoekers zien deze platforms als waardevolle doelwitten vanwege de opgeslagen API-sleutels die toegang bieden tot dure AI-diensten. In een rapport van Wiz, getiteld "Black October for AI Developer Platforms," worden minstens negen beveiligingsincidenten genoemd bij platforms zoals Northflank, Railway, OpenCode, Warp en Lightning AI. Aanvallers richten zich daarbij specifiek op environment variables met AI-service-credentials, die kunnen worden misbruikt via technieken zoals LLMJacking.
