クラウドアプリケーションホスティングプラットフォーム「Northflank」は、AI APIキーの不正使用につながるセキュリティ侵害を受けたことを受け、すべての顧客に対して、プラットフォーム上に保存されているすべての認証情報とシークレットを変更およびローテーションするよう求める緊急の警告を発令しました。
同プラットフォームは、開発者がインフラストラクチャを直接管理することなく、アプリケーション、コンテナ、データベース、AIアプリケーションをデプロイおよび管理できるクラウド環境です。同社は10月30日にクラウドセキュリティ企業「Wiz」からセキュリティアラートを受信した後にこのセキュリティインシデントを検出し、直ちにネットワークのアップグレードと迅速な対応措置を実施しました。
実際に何が変わったのか？
同社はすべての加入者に対し、環境変数内のデータが復号化され、通常データベースのパスワード、認証トークン、機密APIキーを含む保存されたシークレットが盗まれたと仮定するよう要請しました。Northflankは、複数のユーザーがすでに自身のAI APIキーの不正利用について報告していることを確認しました。
危機への対応としての予防措置として、同プラットフォームはPostgreSQL、MongoDB、MySQL、Redisなどの人気のあるデータベースサービス向けの認証情報ローテーション機能を有効にしました。また、無料アカウントの所有者を含むすべてのユーザーに対して監査ログを利用可能にし、不審なアクティビティの監視と調査を支援しています。
「ブラック・オクトーバー」として知られるより広範な攻撃波
この侵害は、Wizが10月中にAI開発プラットフォームを標的として検出し、「AI開発プラットフォームにとってのブラック・オクトーバー」と題したレポートで発表した一連のセキュリティ攻撃の一部です。この攻撃には、Railway、OpenCode、Lightning AIなど、少なくとも9つのプラットフォームとプロバイダーが含まれていました。
これらの攻撃は「LLMJacking」として知られる手法を標的としており、攻撃者は有効な認証情報を獲得して他の組織のキーとリソースを使用してAIモデルを悪用し、多額の使用料金が発生したり、それらのモデルへのアクセス権が違法に再販されたりします。Wizが検出した過去の事例では、同様の侵害により、被害者に多大なコストを伴う数百万ものAPI呼び出しが発生しました。
ユーザーにとってこれが意味するものとは？
同社は、開発者と企業に対し、以下の手順に従って警告に直に対処するよう勧告しています。
- プラットフォームに保存されているすべてのシークレットおよび環境変数を直ちに変更およびローテーションすること。
- AIプロバイダーの使用状況ログと請求書を確認し、予期しないアクティビティがないか監視すること。
- 該当する場合、アドオンおよび補助サービスへのパブリックアクセスを無効にすること。
- 不審な使用状況について、NorthflankのテクニカルサポートおよびAIサービスプロバイダーに報告すること。