2026'den beri19 mesaj
Bulut barındırma platformu Northflank bir güvenlik ihlali açıkladı ve müşterilerine net bir talimat verdi: platformda tuttuğunuz bütün ortam değişkenlerini ele geçirilmiş sayın, tüm anahtarları yenileyin. Uyarı 30 Ekim'de güvenlik firması Wiz'den gelmiş, birden fazla müşteri de yapay zeka API anahtarlarının izinsiz kullanıldığını bildirmiş.
Saldırganların içeri nasıl girdiği ve kaç müşterinin etkilendiği hala açıklanmadı. API anahtarları dışında veri tabanı bilgilerine erişilip erişilmediği de belli değil. Bu kadar bilinmeyen varken "bizi etkilemez" demek için erken.
Olay tek başına da değil. Wiz'in raporuna göre ekim ayında yapay zeka geliştirme platformlarını hedef alan en az dokuz olay yaşanmış; Railway, OpenCode, Warp ve Lightning AI da listede. Ortak nokta anahtar avı: buna LLMJacking deniyor, yani çalınan anahtarla başkasının faturasına dil modeli kullanmak. Raporda iki vakada ele geçirilen kurumsal bilgilerle yaklaşık 2,5 milyon Amazon Bedrock çağrısı yapıldığı, bunun da yaklaşık 100 bin dolarlık kullanıma denk geldiği yazıyor. Wiz bu olayların arkasında aynı grubun olduğunu ise doğrulamış değil.
Kendi projesinde OpenAI, Anthropic ya da benzeri bir servisin anahtarını kullanan herkes için pratik kontrol listesi:
Anahtarı kod deposuna ve paylaşılan dosyalara yazma
Her proje için ayrı anahtar kullan, biri sızarsa diğerleri etkilenmesin
Sağlayıcı panelinden harcama limiti ve kullanım uyarısı tanımla
Kullanmadığın eski anahtarları sil
Fatura ve kullanım kayıtlarına ara sıra bak, gece yarısı fırlayan kullanım genelde ilk işarettir
Sizce bu dalga ne gösteriyor: yapay zeka anahtarları artık kredi kartı numarası kadar değerli bir hedef mi oldu, yoksa sorun platformların gizli bilgileri saklama biçiminde mi?
Saldırganların içeri nasıl girdiği ve kaç müşterinin etkilendiği hala açıklanmadı. API anahtarları dışında veri tabanı bilgilerine erişilip erişilmediği de belli değil. Bu kadar bilinmeyen varken "bizi etkilemez" demek için erken.
Olay tek başına da değil. Wiz'in raporuna göre ekim ayında yapay zeka geliştirme platformlarını hedef alan en az dokuz olay yaşanmış; Railway, OpenCode, Warp ve Lightning AI da listede. Ortak nokta anahtar avı: buna LLMJacking deniyor, yani çalınan anahtarla başkasının faturasına dil modeli kullanmak. Raporda iki vakada ele geçirilen kurumsal bilgilerle yaklaşık 2,5 milyon Amazon Bedrock çağrısı yapıldığı, bunun da yaklaşık 100 bin dolarlık kullanıma denk geldiği yazıyor. Wiz bu olayların arkasında aynı grubun olduğunu ise doğrulamış değil.
Kendi projesinde OpenAI, Anthropic ya da benzeri bir servisin anahtarını kullanan herkes için pratik kontrol listesi:
Anahtarı kod deposuna ve paylaşılan dosyalara yazma
Her proje için ayrı anahtar kullan, biri sızarsa diğerleri etkilenmesin
Sağlayıcı panelinden harcama limiti ve kullanım uyarısı tanımla
Kullanmadığın eski anahtarları sil
Fatura ve kullanım kayıtlarına ara sıra bak, gece yarısı fırlayan kullanım genelde ilk işarettir
Sizce bu dalga ne gösteriyor: yapay zeka anahtarları artık kredi kartı numarası kadar değerli bir hedef mi oldu, yoksa sorun platformların gizli bilgileri saklama biçiminde mi?