Die Cloud-Anwendungs-Hosting-Plattform Northflank hat eine dringende Warnung an alle ihre Kunden herausgegeben und sie aufgefordert, sämtliche auf der Plattform gespeicherten Anmeldedaten und Geheimnisse zu ändern und zu rotieren. Hintergrund ist ein Sicherheitsvorfall, der zur unbefugten Nutzung von KI-API-Schlüsseln (AI API Keys) führte.
Die Plattform ist eine Cloud-Umgebung, die es Entwicklern ermöglicht, Anwendungen, Container, Datenbanken und KI-Anwendungen bereitzustellen und zu verwalten, ohne die zugrunde liegende Infrastruktur selbst verwalten zu müssen. Das Unternehmen deckte den Sicherheitsvorfall am 30. Oktober auf, nachdem es eine Sicherheitswarnung vom Cloud-Computing-Unternehmen Wiz erhalten hatte, und leitete umgehend Netzwerk-Upgrades sowie Maßnahmen zur schnellen Reaktion ein.
Was hat sich praktisch geändert?
Das Unternehmen forderte alle Abonnenten auf, davon auszugehen, dass ihre Umgebungsvariablen entschlüsselt und die darin gespeicherten Geheimnisse gestohlen wurden. Dazu gehören in der Regel Datenbankpasswörter, Authentifizierungstoken und sensible API-Schlüssel. Northflank bestätigte, dass mehrere Benutzer bereits über eine unbefugte Nutzung ihrer KI-API-Schlüssel berichtet haben.
Als Vorsichtsmaßnahme als Reaktion auf die Krise hat die Plattform eine Funktion zur Rotation von Anmeldedaten für bekannte Datenbankdienste wie PostgreSQL, MongoDB, MySQL und Redis aktiviert. Zudem wurden Audit-Protokolle für alle Benutzer, einschließlich der Inhaber kostenloser Konten, freigeschaltet, um sie bei der Überwachung und Untersuchung verdächtiger Aktivitäten zu unterstützen.
Eine breitere Angriffswelle bekannt als „Black October“
Dieser Einbruch ist Teil einer Reihe von Sicherheitsangriffen, die das Unternehmen Wiz im Oktober beobachtet hat und die auf KI-Entwicklungsplattformen abzielten. Wiz veröffentlichte dazu einen Bericht mit dem Titel „Black October für KI-Entwicklungsplattformen“. Die Angriffe betrafen mindestens neun Plattformen und Anbieter wie Railway, OpenCode und Lightning AI.
Diese Angriffe zielen auf eine Praxis ab, die als „LLMJacking“ bekannt ist, bei der Angreifer gültige Anmeldedaten erbeuten, um KI-Modelle unter Verwendung der Schlüssel und Ressourcen anderer Unternehmen zu nutzen. Dies führt zu hohen Nutzungsrechnungen oder zum illegalen Weiterverkauf des Zugriffs auf diese Modelle. In früheren von Wiz beobachteten Fällen führten ähnliche Einbrüche zu Millionen von API-Aufrufen mit enormen Kosten für die Opfer.
Was bedeutet das für die Benutzer?
Das Unternehmen rät Entwicklern und Unternehmen, umgehend auf die Warnung zu reagieren und folgende Schritte zu unternehmen:
- Ändern und rotieren Sie sofort alle auf der Plattform gespeicherten Geheimnisse und Umgebungsvariablen.
- Überprüfen Sie die Nutzungsprotokolle und Rechnungen Ihrer KI-Anbieter auf unerwartete Aktivitäten.
- Deaktivieren Sie den öffentlichen Zugriff auf Add-ons und Hilfsdienste, wo immer dies möglich ist.
- Melden Sie dem technischen Support von Northflank sowie den KI-Dienstanbietern jede verdächtige Nutzung.