Northflank gehackt: roteer nu je AI-API-sleutels

Hostingplatform Northflank waarschuwt zijn klanten dat ze moeten uitgaan van het slechtste scenario: alle environment variables die op het platform stonden, zijn vermoedelijk ontsleuteld. Inmiddels melden meerdere klanten dat hun AI-API-sleutels daadwerkelijk door anderen zijn gebruikt. Dat staat op de statuspagina van Northflank, die het bedrijf sinds 30 oktober bijhoudt.

Northflank is een platform waarop developers containers, databases en AI-applicaties draaien zonder zelf infrastructuur te beheren. Secrets zoals databasewachtwoorden, cloudcredentials en API-sleutels staan daar in environment variables. Precies die werden het doelwit.

De tijdlijn is kort

Volgens Northflanks eigen overzicht kwam de waarschuwing van cloudsecuritybedrijf Wiz om 11:43 UTC op 30 oktober binnen. Een minuut later keken de engineers ernaar, om 12:02 UTC ging een eerste netwerkpolicy-patch live, gevolgd door extra patches om 12:50 en 13:05 UTC. Om 13:58 UTC was de boodschap aan klanten onomwonden: "Assume all environment variables have been decrypted. Disable/rotate all keys."

Northflank heeft daarna secretrotatie aangezet voor PostgreSQL, MongoDB, MySQL, Redis, MinIO en RabbitMQ, en auditlogs ingeschakeld voor álle klanten, ook die op gratis accounts. Hoe de aanvallers binnenkwamen en hoeveel klanten geraakt zijn, heeft het bedrijf niet bekendgemaakt.

Negen platformen in één maand

Het losse incident is niet het echte verhaal. Wiz publiceerde een overzicht onder de titel "Black October" for AI Developer Platforms en komt daarin op negen AI-ontwikkelplatformen die in oktober een incident meldden: Fireworks AI (6 oktober), Andromeda (9), Zeabur (14), Lightning AI (15), OpenCode (16-17), Railway (20), Warp (23), CommandCode (28) en Northflank (30). Zeabur stopt er door het incident helemaal mee.

Wiz legt nergens vast dat het om één dadergroep gaat, maar ziet wel één patroon: in alle publieke rapporten werd doelgericht gezocht naar environment variables, met voorkeur voor die met AI-toegang. Fireworks, OpenCode en Warp spreken over een "agent swarm"-aanval; Andromeda noemt het een "industry-wide attack".

Waarom AI-sleutels zo aantrekkelijk zijn

De monetisatie heet LLMjacking: met gestolen credentials praten tegen betaalde modellen op kosten van iemand anders, of die toegang doorverkopen. Wiz volgde twee gevallen waarin zakelijke credentials uit zo'n leverancierhack werden misbruikt. Het patroon is herkenbaar: binnen een half uur na de diefstal één testcall vanaf een residentieel IP-adres, daarna dagen van 14 tot 120 calls per dag door een klein Go-clientje dat alleen checkt of de sleutel nog leeft. Pas daarna komt de vloedgolf. In het ene geval ongeveer 800.000 Bedrock-calls in dertig uur, in het andere zo'n 1,7 miljoen in dertien uur.

Die stille periode is het vervelende deel: een gestolen sleutel ziet er dagenlang uit als niets. Volgens Wiz zijn via Railway-sleutels ook cryptomunten gestolen, naar verluidt voor zo'n 371.000 dollar, en liepen OpenCode-gebruikers rekeningen van honderden tot duizenden dollars op.

Wat je nu kunt doen

Northflank en Wiz noemen dit concreet:

• Draai je iets op Northflank, roteer dan alle secrets: in workloads, in secret groups én in global secrets. Trek de oude credentials bij de uitgevende partij in, maak nieuwe aan en werk de workloads bij.
• Zet publieke toegang tot add-ons uit waar die aan staat.
• Loop je gebruiks- en facturatielogs bij je AI-providers na op onverwachte activiteit, niet alleen op pieken. Meld verdacht gebruik bij zowel Northflank als je provider.
• Gebruik je een van de andere acht platformen uit het Wiz-overzicht, controleer dan daar de incidentmelding en roteer op dezelfde manier.
• Beperk waar het kan de rechten op je sleutels. In het tweede geval van Wiz mislukten duizenden calls simpelweg omdat het beleid alleen us.*-inferenceprofielen toestond en de aanvaller global.* vroeg.