Bulut uygulama barındırma platformu Northflank, olası bir güvenlik ihlalinin ardından müşterilerinden platformda saklanan tüm gizli anahtarları ve kimlik bilgilerini yenilemelerini istedi. Şirket, 30 Ekim’de güvenlik şirketi Wiz’den gelen tehdit uyarısının ardından olayı incelemeye başladı. Birden fazla müşterinin yapay zekâ hizmetlerine ait API anahtarlarının izinsiz kullanıldığını bildirmesi, ihlalin olası etkilerine ilişkin endişeleri artırdı.

API anahtarı, bir uygulamanın OpenAI gibi harici hizmetlerle kimlik doğrulaması yapmasını sağlayan gizli bir erişim bilgisidir. Bu anahtar yetkisiz kişilerin eline geçerse saldırganlar ilgili hizmeti müşteri adına kullanabilir; ortaya çıkan kullanım ücretleri de hesap sahibine yansıyabilir. Bu nedenle olay, yalnızca hesap güvenliği açısından değil, beklenmedik harcamalar ve olası hizmet kesintileri bakımından da önem taşıyor.

Uyarıdan güvenlik önlemlerine uzanan süreç

Northflank’ın açıkladığı zaman çizelgesine göre Wiz, şirketi 30 Ekim’de UTC saatiyle 11.43’te uyardı. Northflank mühendisleri bildirimi bir dakika içinde incelemeye aldı. Şirket, saat 12.50’de ve 13.05’te güvenlik güncellemeleri uyguladığını, bunlardan birinin ağ politikasıyla ilgili olduğunu belirtti. Olayın incelenmesi ve müdahalenin yürütülmesi sırasında Wiz’den de destek alındı.

Bu zaman çizelgesi, şirketin uyarı sonrasında hızlı biçimde harekete geçtiğini gösterse de olayın başlangıç noktası ve saldırının nasıl gerçekleştirildiği konusunda tek başına açıklama sunmuyor. Northflank, saldırganların sisteme hangi yöntemle eriştiğini, ihlalin ne kadar sürdüğünü veya kaç müşterinin etkilendiğini kamuoyuyla paylaşmadı. Bu nedenle müşteriler, kendi hesaplarını ve bağlantılı hizmetlerini ayrıca kontrol etmeli.

Müşterilerin yenilemesi gereken bilgiler

Northflank, müşterilerinden ortam değişkenlerinde saklanan gizli bilgilerin tamamını risk altında kabul etmelerini istedi. Ortam değişkenleri, uygulamaların çalışması için gereken ayarları güvenli biçimde saklamak amacıyla kullanılır; veritabanı parolaları, servis erişim anahtarları ve API anahtarları bunlara örnektir. Şirket, söz konusu bilgilerin devre dışı bırakılmasını veya yeni değerlerle değiştirilmesini tavsiye etti.

Gizli bilgilerini henüz yenilemeyen kullanıcıların bu işlemi gecikmeden yapması gerekiyor. Sadece Northflank hesabındaki bir anahtarı silmek yeterli olmayabilir: Anahtarın kullanıldığı uygulama, sağlayıcı paneli ve dağıtım ayarları da yeni değerle güncellenmeli. Eski anahtarın sağlayıcı tarafında tamamen iptal edildiği doğrulanmalı; aksi hâlde ele geçirilmiş bilgi çalışmaya devam edebilir.

• Northflank’ta saklanan API anahtarlarını ve diğer sırları belirleyip yenileyin.
• Eski anahtarları ilgili yapay zekâ veya bulut hizmetinin yönetim panelinden iptal edin.
• Yeni bilgileri bunları kullanan uygulama ve dağıtım ortamlarında güncelleyin.
• Yapay zekâ sağlayıcılarının kullanım, erişim ve fatura kayıtlarını şüpheli işlemler açısından inceleyin.
• Tanımadığınız eklentileri ve gereksiz erişimleri devre dışı bırakın.

Özellikle yapay zekâ hizmetlerinde kullanım kayıtlarının ve faturaların kontrol edilmesi önemli. Olağan dışı istek sayısı, beklenmeyen modellerin kullanılması veya normalden yüksek ücretler, yetkisiz erişimin işareti olabilir. Şüpheli etkinlik görülürse hem Northflank’a hem de ilgili hizmet sağlayıcısına bildirim yapılması ve sağlayıcının önerdiği hesap koruma adımlarının uygulanması gerekir.

Northflank’ın açıkladığı ek tedbirler

Şirket, PostgreSQL, MongoDB, MySQL ve Redis veritabanları için kimlik bilgisi yenileme özelliğini etkinleştirdi. Bu, müşterilerin söz konusu veritabanlarına erişimde kullanılan bilgileri değiştirmesini kolaylaştırmayı amaçlıyor. Northflank ayrıca ücretsiz hesaplar da dahil olmak üzere tüm müşteriler için denetim kayıtlarını açtığını bildirdi. Bu kayıtlar, platformdaki işlemleri gözden geçirerek olağan dışı hesap hareketlerini araştırmaya yardımcı olabilir.

Northflank, eklentilere açık erişimin kapatılmasını da önerdi. Eklentiler, platformun işlevlerini genişletebilir; ancak kullanılmayan veya gereğinden geniş izinlere sahip bileşenler ek risk oluşturabilir. Müşterilerin etkin eklentileri, erişim izinlerini ve üçüncü taraf bağlantılarını gözden geçirmesi, ihtiyaç duyulmayan erişimleri kaldırması yerinde olacaktır.

Şirketin duyurduğu önlemler müşterilerin risk azaltmasına yardımcı olsa da ihlalin kapsamına dair temel soruları yanıtlamıyor. Hangi veri türlerine erişilmiş olabileceği, yapay zekâ anahtarlarının dışındaki bilgilerin etkilenip etkilenmediği ve kaç hesabın risk altında olduğu henüz net değil. Bu belirsizlik nedeniyle müşterilerin sadece API anahtarlarını değil, Northflank ortamlarında bulunan veritabanı kimlik bilgileri ve diğer gizli değerleri de değerlendirmesi gerekiyor.

Yapay zekâ platformlarına yönelik artan tehditler

Wiz’in “Black October” başlıklı raporu, Northflank olayını yapay zekâ geliştirme platformlarını hedef alan daha geniş bir güvenlik tablosu içinde ele alıyor. Rapora göre ekim ayında Northflank’ın yanı sıra Railway, OpenCode, Warp ve Lightning AI gibi platformlarla bağlantılı olaylar da yaşandı. Raporda toplam en az dokuz olaydan söz ediliyor; ancak bu olayların aynı saldırganlar tarafından gerçekleştirildiği doğrulanmış değil.

Wiz, bazı vakalarda saldırganların özellikle yapay zekâ hizmetlerine erişim sağlayan anahtarları hedef aldığını belirtiyor. Ele geçirilen erişim bilgileri, büyük dil modellerinin yetkisiz biçimde kullanılmasına imkân verebilir. Bu tür bir kötüye kullanım, “LLMJacking” olarak adlandırılıyor. Saldırganlar, kurbanın hesabındaki erişimden yararlanarak yüksek miktarda model isteği oluşturabilir; maliyet ve kullanım yükü ise çoğu zaman anahtarın sahibi olan kuruma kalabilir.

Wiz’in aktardığı iki vakada, ele geçirilen kurumsal bilgiler kullanılarak Amazon Bedrock API’sine yaklaşık 2,5 milyon çağrı yapıldığı ve yaklaşık 100.000 dolarlık yapay zekâ kullanımına yol açıldığı belirtildi. Bu örnekler Northflank müşterilerinin aynı ölçekte etkilendiğini göstermiyor; yalnızca çalınan API anahtarlarının ne kadar hızlı ve yüksek maliyetli biçimde kötüye kullanılabileceğine dair genel bir risk örneği sunuyor.

Northflank kullanıcıları için en öncelikli adımlar, gizli anahtarları iptal edip yenilemek, bağlantılı uygulamaları güncellemek ve kullanım kayıtlarını yakından izlemektir. İhlalin kesin kapsamı ve erişim yöntemi açıklanana kadar hesapların denetim kayıtlarını düzenli kontrol etmek, şüpheli hareketleri belgelemek ve ilgili sağlayıcılara hızlıca bildirmek güvenlik riskini azaltmaya yardımcı olacaktır.