Northflank pēc uzlaušanas liek klientiem mainīt visas atslēgas, MI piekļuve jau izmantota

Lietotņu mitināšanas platforma Northflank 30. oktobrī paziņoja par drošības incidentu un lika visiem klientiem nekavējoties atsaukt un nomainīt platformā glabātās paroles, žetonus un API atslēgas. Uzņēmums norādīja, ka jāpieņem, ka visi vides mainīgie ir atšifrēti. Vēlāk tā paša vakara atjauninājumā Northflank apstiprināja, ka lietotāji ziņo par neatļautu viņu MI pakalpojumu API atslēgu izmantošanu.

Tas ir būtiski, jo izstrādātāji vides mainīgajos parasti glabā datubāzu paroles, mākoņpakalpojumu piekļuves datus un atslēgas maksas MI modeļiem. Ja tās nonāk svešās rokās, uzbrucēji var piekļūt citām klientu sistēmām vai uz cita rēķina izmantot dārgus MI modeļus. Northflank klientiem ieteica pārbaudīt MI pakalpojumu sniedzēju lietojuma un rēķinu žurnālus un par aizdomīgu aktivitāti ziņot gan platformai, gan attiecīgajam pakalpojumu sniedzējam.

Pēc Northflank publicētās hronoloģijas brīdinājums par apdraudējumu no mākoņdrošības uzņēmuma Wiz pienāca 30. oktobrī plkst. 11.43 pēc UTC, un inženieri to izskatīja minūti vēlāk. Sekoja vairāki ielāpi tīkla politikā, un uzņēmums lūdza palīdzību Wiz incidentu reaģēšanas komandai. Klientiem tika ieslēgta iespēja nomainīt PostgreSQL, MongoDB, MySQL un Redis piekļuves datus, kā arī audita žurnāli visiem lietotājiem, arī bezmaksas kontiem.

Northflank nav atklājis, kā uzbrucēji iekļuva sistēmā, cik klientu skarti un vai nozagti vai izmantoti arī citi dati, ne tikai MI atslēgas. Tehnoloģiju izdevums BleepingComputer vērsās pie uzņēmuma ar jautājumiem, bet atbildi nesaņēma.

Wiz pētnieki 30. oktobrī publicēja pārskatu ar nosaukumu „Black October”, kurā uzskaitīti vismaz deviņi oktobrī atklāti incidenti MI izstrādes platformās, tostarp Fireworks AI, Lightning AI, OpenCode, Railway, Warp un Northflank. Pēc Wiz datiem, vairākos gadījumos uzbrucēji mērķtiecīgi meklēja vides mainīgos ar MI piekļuves datiem. Viens no skartajiem uzņēmumiem, Zeabur, incidenta dēļ beigs darbu.

Šādu zādzību mērķis bieži ir tā sauktā LLMJacking jeb svešu atslēgu izmantošana, lai lietotu valodas modeļus uz kāda cita rēķina vai tālāk pārdotu šo piekļuvi. Wiz aprakstīja divus gadījumus, kuros ar nozagtiem uzņēmumu piekļuves datiem Amazon Bedrock pakalpojumā tika veikti aptuveni 800 000 un 1,7 miljoni izsaukumu. Pēc Wiz aprēķina pēc saraksta cenām tikai šie divi gadījumi, visticamāk, radīja vairāk nekā 100 000 dolāru lielu lietojumu.

Wiz norāda, ka nav apstiprināts, vai visus deviņus incidentus veikuši vieni un tie paši uzbrucēji, un nav pierādīta tieša saikne starp tā atrastajām MI piekļuves tālākpārdošanas vietnēm un sākotnējām ielaušanās reizēm. Northflank izmeklēšana turpinās, un uzņēmums sola dalīties ar jauniem apstiprinātiem faktiem.