Northflank İhlalinde Müşterilere Anahtarları Yenileme Uyarısı

Bulut platformu Northflank, güvenlik ihlalinin ardından müşterilerine hesaplarında saklanan gizli bilgileri değiştirme çağrısı yaptı. Şirketin açıklamasına göre bazı müşteriler, platformda tuttukları yapay zekâ API anahtarlarının izinsiz kullanıldığını bildirdi. Etkilenen bilgilerin kapsamı henüz netleşmediği için Northflank, müşterilerinden ortam değişkenlerinde bulunan tüm gizli bilgilerin ele geçirilmiş olabileceğini varsayarak hareket etmelerini istiyor.

API anahtarları, uygulamaların dış hizmetlere erişmesini sağlayan kimlik bilgileri arasında yer alıyor. Bir anahtarın yetkisiz kişilerin eline geçmesi, ilgili hizmetin hesap sahibinin erişim yetkileriyle kullanılmasına yol açabilir. Yapay zekâ servislerinde bunun sonucu yalnızca veri güvenliği riskiyle sınırlı kalmıyor; izinsiz kullanım, hesap sahibine beklenmedik maliyetler de çıkarabiliyor. Northflank’ın tüm gizli bilgileri yenileme tavsiyesi, bu nedenle yalnızca bildirilen anahtarlarla sınırlı değil.

Şirket hangi önlemleri aldı?

Northflank’ın paylaştığı zaman çizelgesine göre şirket, Wiz’den 30 Ekim’de saat 11.43 UTC’de tehdit uyarısı aldı. Mühendisler uyarıyı bir dakika içinde incelemeye başladı. Northflank, ilerleyen saatlerde iki yama uyguladığını ve bunlardan birinin ağ politikasıyla ilgili olduğunu açıkladı. Olay müdahalesi sırasında Wiz’den de destek alındı.

Şirket, müşterilerinden ortam değişkenlerinde bulunan bütün anahtarları ve diğer gizli bilgileri iptal etmelerini ya da yenileriyle değiştirmelerini talep ediyor. Ortam değişkenleri, uygulamaların çalışması için gereken şifre, erişim anahtarı ve benzeri ayarların saklandığı alanlar. Bu alanlarda tutulan bir bilginin değiştirilmesi, uygulamanın kullandığı bağlantıların da yeni kimlik bilgileriyle güncellenmesini gerektirebilir.

Northflank ayrıca müşterilerin yapay zekâ sağlayıcılarındaki kullanım ve fatura kayıtlarını kontrol etmesini öneriyor. Bu kayıtlar, beklenmeyen etkinlikleri ve olası izinsiz kullanımları fark etmeye yardımcı olabilir. Platformda PostgreSQL, MongoDB, MySQL ve Redis için kimlik bilgisi yenileme özelliği de açıldı. Şirket, ücretsiz hesaplar dahil tüm müşteriler için denetim kayıtlarını etkinleştirdi. Bu kayıtlar, hesaplarda yapılan işlemleri takip etmeyi sağlıyor. Northflank müşterilerine eklentilere açık erişimi kapatmalarını da tavsiye ediyor.

Etkilenen hesapların kapsamı belirsiz

Northflank’ın açıklamasında saldırganların sisteme hangi yöntemle girdiği ve kaç müşterinin etkilendiği belirtilmedi. Yapay zekâ API anahtarları dışındaki bilgilere erişilip erişilmediği de henüz açıklığa kavuşmadı. Bu belirsizlik nedeniyle platformda veri tabanı hizmetleri kullanan şirketlerin de erişim bilgilerini gözden geçirmesi gerekiyor. Northflank, olayın kapsamına ilişkin bu sorulara henüz ek yanıt vermedi.

Wiz’in ekim ayındaki olayları ele alan raporunda, yapay zekâ geliştirme platformlarını etkileyen en az dokuz vaka yer aldı. Listede Northflank’ın yanı sıra Railway, OpenCode, Warp ve Lightning AI da bulunuyor. Rapora göre bazı saldırılarda amaç, yapay zekâ hizmetlerine erişim sağlayan anahtarları ele geçirmekti. Bu tür erişimlerin kötüye kullanılması LLMJacking olarak adlandırılıyor.

Raporda iki vakada ele geçirilen kurumsal bilgilerle Amazon Bedrock üzerinden yaklaşık 2,5 milyon API çağrısı yapıldığı ve bunun yaklaşık 100 bin dolarlık yapay zekâ kullanımına karşılık geldiği aktarılıyor. Bu örnekler, API anahtarı sızıntısının teknik bir güvenlik sorununun ötesine geçerek hesap sahibinin kullanım maliyetlerini de etkileyebileceğini gösteriyor. Bununla birlikte rapor, dokuz olayın aynı saldırganlar tarafından gerçekleştirildiğini doğrulamıyor.

Northflank müşterileri açısından ilk yapılması gereken, platformda saklanan gizli bilgileri yenilemek ve bağlantılı hizmetlerdeki etkinlikleri kontrol etmek. Olayın kaynağı ve etkilenen hesapların kapsamı netleşene kadar denetim kayıtlarını izlemek, gereksiz erişimleri kapatmak ve sağlayıcı hesaplarındaki kullanım hareketlerini incelemek mevcut riskleri sınırlamaya yardımcı olabilir.