La plateforme d'hébergement d'applications cloud Northflank a lancé un avertissement urgent à tous ses clients, leur demandant de modifier et de renouveler l'ensemble des identifiants et des données secrètes stockés sur la plateforme, à la suite d'une faille de sécurité ayant entraîné l'utilisation non autorisée de clés d'API d'intelligence artificielle (AI API Keys).
La plateforme constitue un environnement cloud permettant aux développeurs de déployer et de gérer des applications, des conteneurs, des bases de données et des applications d'intelligence artificielle sans avoir à gérer l'infrastructure sous-jacente. L'entreprise a révélé cet incident de sécurité le 30 octobre, après avoir reçu une alerte de sécurité de la part de l'entreprise de cloud computing Wiz, ce qui l'a incitée à appliquer immédiatement des mises à niveau du réseau et des mesures d'intervention rapide.
Qu'est-ce qui a changé concrètement ?
L'entreprise a demandé à tous les abonnés de supposer que leurs variables d'environnement avaient été déchiffrées et que les secrets qui y étaient enregistrés avaient été volés, ce qui inclut généralement les mots de passe de bases de données, les jetons d'authentification et les clés d'API sensibles. Northflank a confirmé que plusieurs utilisateurs avaient déjà signalé une exploitation non autorisée de leurs clés d'API d'intelligence artificielle.
En guise de mesures précautionneuses en réponse à la crise, la plateforme a activé la fonctionnalité de renouvellement des identifiants pour des services de bases de données populaires tels que PostgreSQL, MongoDB, MySQL et Redis. Elle a également rendu les journaux d'audit accessibles à tous les utilisateurs, y compris les détenteurs de comptes gratuits, pour les aider à surveiller et à enquêter sur toute activité suspecte.
Une vague d'attaques plus vaste connue sous le nom « d'octobre noir »
Cette faille s'inscrit dans le cadre d'une série d'attaques de sécurité détectées par Wiz, qui ont ciblé des plateformes de développement d'intelligence artificielle au cours du mois d'octobre, et qu'elle a résumé dans un rapport intitulé « L'octobre noir des plateformes de développement d'intelligence artificielle ». Les attaques ont touché au moins neuf plateformes et fournisseurs tels que Railway, OpenCode et Lightning AI.
Ces attaques ciblent une pratique connue sous le nom de « LLMJacking », par laquelle des attaquants s'emparent d'identifiants valides pour exploiter des modèles d'intelligence artificielle en utilisant les clés et les ressources d'autres organisations, ce qui entraîne des factures d'utilisation exorbitantes ou la revente illégale de l'accès à ces modèles. Dans des cas précédents observés par Wiz, des violations similaires ont entraîné la génération de millions d'appels d'API à un coût prohibitif pour les victimes.
Qu'est-ce que cela signifie pour les utilisateurs ?
L'entreprise conseille aux développeurs et aux entreprises de réagir immédiatement à cet avertissement en suivant les étapes suivantes :
- Modifier et renouveler immédiatement tous les secrets et variables d'environnement stockés sur la plateforme.
- Examiner les journaux d'utilisation et de facturation des fournisseurs d'intelligence artificielle pour détecter toute activité inattendue.
- Révoquer l'accès public aux extensions et services d'assistance le cas échéant.
- Signaler toute utilisation suspecte au support technique de Northflank et aux fournisseurs de services d'intelligence artificielle.