ב-30 באוקטובר, בשעה 11:43 לפי שעון UTC, קיבלה פלטפורמת הענן Northflank התראה מחברת האבטחה הישראלית Wiz. דקה אחר כך מהנדס פתח אותה, וכמה שעות לאחר מכן הופיעה בעמוד הסטטוס של Northflank הנחיה שלא משאירה מקום לפרשנות: הניחו שכל משתני הסביבה שלכם פוענחו ושהסודות שבתוכם נגנבו.

מה קרה

Northflank היא חברה לונדונית שמאחסנת ומריצה תוכנה בשביל מפתחים, בעיקר יישומי בינה מלאכותית. כדי שהתוכנה תעבוד היא צריכה לדעת סיסמאות: למסד הנתונים, לשירותי התשלום, ובמיוחד לשירותי ה-AI שהיא פונה אליהם. הערכים האלה נשמרים במה שנקרא משתני סביבה, תיבה מוצפנת שהפלטפורמה אמורה למסור את תוכנה רק לתוכנה שצריכה אותו.

המפתח לשירות AI הוא בדיוק מה שהוא נשמע: מי שמחזיק בו יכול להריץ מודלים על החשבון של מי שהוציא אותו, והחיוב נופל על בעל החשבון. ב-30 באוקטובר בלילה עדכנה Northflank שלקוחות דיווחו על שימוש לא מורשה במפתחות ה-AI שלהם, וציינה שכתובות IP דומות מופיעות בדוח של Wiz. למחרת היא הפעילה יומני ביקורת לכל הלקוחות, כולל בחשבונות החינמיים, והחלה לשחרר החלפת סודות אוטומטית לשירותי מסד נתונים אחד אחרי השני.

מה שחסר בעמוד הסטטוס בולט לא פחות: Northflank לא אמרה איך התוקפים נכנסו, ולא כמה לקוחות נפגעו.

זאת גם לא פריצה בודדת. Wiz סופרת לפחות תשע פלטפורמות פיתוח AI שנפרצו באוקטובר, ביניהן Railway, OpenCode, Warp ו-Lightning AI, והרשימה משתנה קצת בין הפרסומים. Railway, שדיווחה ב-22 באוקטובר, אמרה שהתוקף פענח משתני סביבה ב-1.85 אחוז מסביבות העבודה שלה, כ-100 אלף, ושביומנים שלה הוא נראה מחפש במפורש מפתחות של ספקי AI מסוימים. התבנית אחידה מדי מכדי להיות מקרית, אם כי אף אחד עדיין לא הראה שמדובר באותו תוקף.

לשימוש במפתח גנוב כדי להריץ מודלים על חשבון של אחר קוראים LLMjacking. בשני מקרים נפרדים שחקרה, מדווחת Wiz על כ-2.5 מיליון קריאות לשירות Amazon Bedrock בשווי של כ-100 אלף דולר. את המקרים האלה היא לא קשרה ל-Northflank.

למה זה חשוב לכם

החלק המעשי כאן מכוון למי שמפתח תוכנה או משלם על שירותי AI עם מפתח משלו, ובישראל זה קהל גדול: סטארט-אפים, פרילנסרים ומי שבנה כלי קטן לעצמו ושכח שהמפתח יושב שם. הרעיון שמאחורי הסיפור נוגע לכולם: סוד שאתם מפקידים בידי שירות מוגן בדיוק כמו אותו שירות, לא יותר, וכשמישהו מנצל אותו החשבון מגיע אליכם.

ויש כאן הבדל מדליפת סיסמאות רגילה: סיסמה שהוחלפה עוצרת את הנזק, אבל מפתח גנוב מייצר חיוב בכל דקה שהוא פעיל. זאת הסיבה שההנחיה הייתה להחליף הכול מיד, בלי לחכות לחקירה.

מה עושים?

מי שאחסן מפתחות או סיסמאות ב-Northflank צריך להחליף אותם אצל הספק שהנפיק אותם, למשל OpenAI, Anthropic, Google או AWS, ולא רק בפלטפורמה עצמה. מפתח שבוטל רק בצד אחד ממשיך לעבוד.

פתחו את דוח השימוש והחיוב של כל ספק AI שאתם עובדים איתו ועברו על אוקטובר. קריאות בשעות שאתם לא עובדים ומודלים שלא ביקשתם הם הסימן.

הגדירו תקרת הוצאה חודשית והתראת חיוב אצל הספק. זה מה שעוצר מפתח שנגנב לפני שהוא מגיע לעשרות אלפי דולרים.

הפעילו את יומני הביקורת בפלטפורמה וסגרו גישה ציבורית לרכיבים שלא חייבים להיות פתוחים לאינטרנט.

ביומנים של Railway התוקף לא חיפש מספרי כרטיסים אלא מפתחות של ספקי AI, בשמם. זמן חישוב של מודל גדול עולה כסף אמיתי, ומפתח פעיל שמחויב לחשבון של מישהו אחר שווה בדיוק את הסכום הזה.