Cloudplatform Northflank waarschuwt klanten om alle inloggegevens en geheimen op het platform te wisselen, na een beveiligingsincident waarbij AI-API-sleutels van klanten zijn misbruikt. Het bedrijf, dat containers, databases en AI-toepassingen voor klanten host, maakte het incident op 30 oktober bekend na een waarschuwing van beveiligingsbedrijf Wiz. Northflank bevestigde inmiddels dat meerdere klanten onbevoegd gebruik van hun AI-API-sleutels hebben gemeld.
Volgens de tijdlijn die Northflank publiceerde, waarschuwde Wiz het bedrijf op 30 oktober om 11:43 uur UTC. Binnen een minuut bekeken Northflank-engineers de melding, waarna snel een eerste patch voor het netwerkbeleid volgde, met aanvullende patches om 12:50 en 13:05 uur. Northflank schakelde daarna het incident response-team van Wiz in.
Het advies aan klanten is weinig subtiel: “Ga ervan uit dat alle environment variables zijn ontsleuteld. Zet alle sleutels uit of vervang ze.” Northflank raadt aan om alle inloggegevens en geheimen te wisselen, zowel in workloads als in secret groups en globale secrets, publieke toegang tot add-ons uit te schakelen waar die aanstond, en facturatie- en gebruikslogs bij AI-providers te controleren op onverwachte activiteit. Verdacht gebruik moet worden gemeld bij zowel Northflank als de betrokken AI-provider. Het bedrijf heeft zelf inmiddels sleutelrotatie ingeschakeld voor PostgreSQL, MongoDB, MySQL en Redis, en audit-logs geactiveerd voor alle klanten, inclusief gratis accounts.
Hoe de aanvallers precies binnenkwamen, hoeveel klanten zijn getroffen en of naast AI-sleutels ook andere gegevens zijn gestolen, maakte Northflank niet bekend; het bedrijf reageerde niet op vragen van BleepingComputer hierover. Wiz plaatst het incident in een breder rapport, “Black October for AI Developer Platforms”, met minstens negen incidenten die maand bij platforms als Railway, OpenCode, Warp en Lightning AI, al bevestigt Wiz niet dat dezelfde aanvallers erachter zitten. Gestolen AI-sleutels worden doorgaans ingezet voor zogeheten LLMjacking: in twee eerdere zaken die Wiz onderzocht, leidden buitgemaakte bedrijfscredentials tot ongeveer 2,5 miljoen aanroepen van Amazon Bedrock en zo’n 100.000 dollar aan opgelopen kosten.
Nederlandse bedrijven die Northflank gebruiken voor AI-workloads doen er goed aan nu te controleren of hun sleutels ongebruikelijk vaak zijn aangeroepen en waar nodig direct te roteren, ook als ze zelf nog geen misbruik hebben opgemerkt.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.