Взлом Northflank привел к несанкционированному использованию клиентских ключей к AI API: 30 октября облачная платформа призвала пользователей считать скомпрометированными все переменные окружения и немедленно заменить секреты. Для российских команд, которые держат в PaaS доступы к моделям, базам и облакам, это напоминание без лишней драматургии: утечка одного набора env-переменных способна превратиться и в счет за чужие запросы, и в входную точку к остальной инфраструктуре.
Northflank предоставляет разработчикам управляемую среду для развертывания приложений, контейнеров, баз данных и AI-нагрузок. Как сообщает BleepingComputer, тревогу компании передала Wiz: уведомление поступило 30 октября в 11:43 UTC, а инженеры начали его разбирать минутой позже. Затем Northflank применила патч сетевых политик и выпустила дополнительные исправления в 12:50 и 13:05 UTC, параллельно запросив помощь у команды реагирования Wiz.
Первоначальная рекомендация была предельно практичной: заменить переменные окружения и API-ключи. Позже формулировка стала жестче — клиентам предложили исходить из того, что все env-переменные были расшифрованы. Именно там обычно лежат пароли к PostgreSQL, MongoDB, MySQL и Redis, токены авторизации, доступы к облачным сервисам и ключи внешних API. Если злоумышленник получает такой набор, компрометация хостинг-платформы перестает быть локальным инцидентом.
Компания подтвердила, что несколько пользователей сообщили о несанкционированном использовании переданных в Northflank ключей AI API. Она не раскрыла способ проникновения, число затронутых клиентов и сведения о возможной краже других учетных данных. Northflank включила ротацию учетных данных для PostgreSQL, MongoDB, MySQL и Redis, а также открыла журналы аудита всем пользователям, включая бесплатные аккаунты. Дополнительно клиентам рекомендовано проверить журналы использования и биллинг у AI-провайдеров, заменить секреты в workloads, secret groups и global secrets, а при необходимости отключить публичный доступ к add-ons.
Почему ключи к моделям стали особенно ценной добычей
Взлом Northflank укладывается в заметный октябрьский тренд атак на инструменты для AI-разработки. Wiz в исследовании Black October for AI Developer Platforms насчитал как минимум девять инцидентов за месяц у платформ, среди которых Northflank, Railway, OpenCode, Warp и Lightning AI. В случае Railway речь также шла о риске раскрытия расшифрованных переменных окружения, OpenCode сообщала об открытых ключах AI API, а Warp — об утечке логов AI-агентов и телеметрии пользователей.
Мотивация здесь проще, чем сложные сценарии кражи данных. Украденный ключ позволяет вызывать дорогие модели за счет другой компании, а иногда — перепродавать доступ к ним. Исследователи называют эту практику LLMJacking. Wiz приводит два расследованных эпизода, где скомпрометированные корпоративные учетные данные использовали примерно для 2,5 млн вызовов Amazon Bedrock API; суммарные расходы на AI-потребление составили около 100 тыс. долларов. Исследователи также нашли инфраструктуру, связанную с перепродажей доступа к моделям, но не установили ее прямую связь с исходными взломами или масштабным злоупотреблением.
При этом было бы преждевременно записывать все эпизоды в одну кампанию. Wiz не утверждает, что все девять инцидентов провела одна группа. Общая черта другая: атакующие системно ищут места, где разработчики складывают секреты для сервисов ИИ. У таких ключей часто широкие лимиты, автоматические платежи и слабый контроль в командах, которые воспринимают их как техническую деталь, а не как платежный инструмент с доступом к вычислительным ресурсам.
Что стоит проверить командам прямо сейчас
Для пользователей Northflank приоритет очевиден: одной замены ключа AI-провайдера недостаточно. Нужно инвентаризировать все секреты, когда-либо сохраненные на платформе, и заменить их у первоисточника — в облаке, базе, системе авторизации или стороннем API. После ротации полезно проверить историю запросов, географию и время обращений, неожиданные модели, скачки токенов и платежей. Отдельно стоит просмотреть журналы аудита Northflank на изменения конфигурации, создание токенов и попытки открыть публичный доступ к дополнениям.
Для остальных команд инцидент полезен как стресс-тест процесса. Секреты должны быть раздельными по окружениям и проектам, иметь минимальные права и понятного владельца. Ключи к AI API стоит ограничивать бюджетами, квотами, разрешенными моделями и, если провайдер это поддерживает, источниками запросов. Алерт о резком росте токенов или стоимости не заменит защиту, но поможет заметить LLMJacking до закрытия расчетного периода. Главный открытый вопрос после взлома Northflank — смогут ли PaaS и AI-платформы сделать проверку, ротацию и ограничение секретов настройкой по умолчанию, а не пунктом в инструкции после инцидента. Подробнее о хронологии и выводах Wiz пишет .
