Northflank: Sicherheitsvorfall führt zur unbefugten Nutzung von KI-API-Schlüsseln
Die Cloud-Anwendungsplattform Northflank hat am 30. Oktober nach einem Sicherheitsvorfall Kunden aufgefordert, alle auf der Plattform gespeicherten Zugangsdaten, Umgebungsvariablen und Secrets zu rotieren. Mehrere Kunden meldeten danach die unbefugte Nutzung ihrer hinterlegten KI-API-Schlüssel. Dadurch drohen neben weiterem unbefugtem Zugriff auch unerwartete Kosten bei KI-Anbietern.
Northflank teilte den Vorfall nach einem Hinweis des Cloud-Sicherheitsunternehmens Wiz mit. Kurz danach sollten Kunden davon ausgehen, dass ihre Umgebungsvariablen entschlüsselt und die darin enthaltenen Secrets gestohlen worden sein könnten. Diese Variablen können unter anderem Datenbankpasswörter, Cloud-Zugangsdaten, Authentifizierungstoken und API-Schlüssel enthalten.
Welche Maßnahmen Northflank nennt
- Secrets in Workloads, Secret Groups und Global Secrets sofort rotieren.
- Die Nutzungs- und Abrechnungsprotokolle der eigenen KI-Anbieter auf unerwartete Aktivitäten prüfen.
- Verdächtige Nutzung an Northflank und den jeweiligen KI-Anbieter melden.
- Den öffentlichen Zugriff auf Add-ons deaktivieren, sofern er aktiviert ist.
Northflank setzte nach dem Hinweis zunächst eine Netzwerkregel-Korrektur um und nahm anschließend weitere Änderungen an seinen Systemen vor. Zusätzlich aktivierte das Unternehmen die Rotation von Zugangsdaten für PostgreSQL, MongoDB, MySQL und Redis. Audit-Logs wurden für alle Kunden eingeschaltet, auch für kostenlose Konten, damit verdächtige Aktivitäten untersucht werden können.
Für betroffene Unternehmen ist besonders relevant, dass nicht nur KI-Schlüssel als missbraucht gemeldet wurden. Die Plattform riet dazu, sämtliche dort gespeicherten Secrets zu rotieren, weil nach ihrer Einschätzung auch andere Zugangsdaten offengelegt worden sein könnten. Ein kompromittierter Schlüssel kann laut dem Bericht den Zugriff auf weitere Kundendienste ermöglichen oder über API-Nutzung unbefugte Kosten verursachen.
Noch offen sind der anfängliche Zugriffsweg, die Zahl der betroffenen Kunden und die Frage, ob neben KI-API-Schlüsseln weitere Zugangsdaten tatsächlich gestohlen oder missbraucht wurden. Northflank hat diese Angaben bislang nicht veröffentlicht. BleepingComputer berichtete zudem, dass das Unternehmen auf Fragen zum Vorfall und seinem Umfang zunächst nicht geantwortet hatte.
Der Vorfall steht laut Wiz im Zusammenhang mit mehreren Angriffen auf Plattformen für die KI-Entwicklung. Die Sicherheitsfirma beschreibt Umgebungsvariablen mit Zugangsdaten zu KI-Diensten als besonderes Ziel; gestohlene Schlüssel können für die Nutzung fremder KI-Konten und hohe API-Kosten missbraucht werden. Ob dieselben Angreifer hinter allen von Wiz untersuchten Vorfällen stehen, ist jedoch nicht bestätigt.