Die Cloud-Plattform Northflank warnt ihre Kunden, sämtliche auf der Plattform hinterlegten Zugangsdaten und Secrets zu rotieren. Nach einem Sicherheitsvorfall wurden API-Schlüssel von Kunden für KI-Dienste unerlaubt genutzt, berichtet BleepingComputer. Northflank ermöglicht es Entwicklern, Anwendungen, Container, Datenbanken und KI-Anwendungen zu betreiben, ohne sich um die Infrastruktur zu kümmern.
Ablauf des Vorfalls
Northflank machte den Vorfall am 30. Oktober öffentlich, nachdem das Sicherheitsunternehmen Wiz eine Warnung geschickt hatte. Laut der veröffentlichten Zeitleiste ging der Hinweis um 11:43 Uhr UTC ein, also 12:43 Uhr deutscher Zeit. Die Ingenieure prüften ihn eine Minute später. Es folgten ein Patch der Netzwerkrichtlinien und weitere Patches um 12:50 und 13:05 Uhr UTC. Northflank holte zudem das Incident-Response-Team von Wiz hinzu.
Kurz darauf forderte das Unternehmen alle Kunden auf, davon auszugehen, dass ihre Umgebungsvariablen entschlüsselt und die darin gespeicherten Secrets gestohlen wurden. „Geht davon aus, dass alle Umgebungsvariablen entschlüsselt wurden. Deaktiviert oder rotiert alle Schlüssel“, hieß es in einem Update. Später bestätigte Northflank, dass mehrere Kunden die unbefugte Nutzung ihrer KI-API-Schlüssel gemeldet hatten.
Was Kunden tun sollen
Kunden sollen alle Secrets in Workloads, Secret Groups und globalen Secrets rotieren, öffentliche Zugänge zu Add-ons deaktivieren und die Nutzungs- und Abrechnungsprotokolle ihrer KI-Anbieter auf ungewöhnliche Aktivität prüfen. Northflank hat eine Rotation der Zugangsdaten für PostgreSQL, MongoDB, MySQL und Redis ermöglicht und Audit-Logs für alle Kunden freigeschaltet, auch für kostenlose Konten.
Offen ist, wie die Angreifer in die Systeme gelangten, wie viele Kunden betroffen sind und ob außer den KI-Schlüsseln weitere Zugangsdaten missbraucht wurden. Auf Fragen von BleepingComputer antwortete Northflank zunächst nicht.
Ein „schwarzer Oktober“ für KI-Plattformen
Der Vorfall steht nicht allein. In einem Bericht mit dem Titel „Black October for AI Developer Platforms“ zählt Wiz mindestens neun Sicherheitsvorfälle bei KI-Entwicklungsplattformen in diesem Monat, darunter Northflank, Railway, OpenCode, Warp und Lightning AI. Solche Plattformen gelten als lohnende Ziele, weil sie API-Schlüssel für teure KI-Dienste speichern, die sich direkt zu Geld machen lassen.
Lehren für Entwicklerteams
API-Schlüssel für KI-Dienste sind bares Geld wert, weil Angreifer damit auf Kosten der Opfer Rechenleistung verbrauchen können. Teams sollten Schlüssel regelmäßig rotieren, Ausgabenlimits setzen und Zugangsdaten nicht in Umgebungsvariablen von Diensten ablegen, auf die viele Personen Zugriff haben. Ein zentrales Secret-Management erleichtert es, im Ernstfall schnell zu reagieren.
