Osnivač startupa probudio se i zatekao 449 dolara neočekivanih troškova na OpenAI i Anthropic računima. Uzrok je, prema Fox Newsu, bio skup ukradenih API ključeva iskorištenih tijekom takozvanog cyber vala "Crnog listopada". Iznos je malen u usporedbi sa štetom s kojom bi se mogla suočiti velika tvrtka, ali priča pokazuje kako se ukradeni API ključevi iz Crnog listopada mogu pretvoriti u stvarne račune prije nego što se itko probudi i primijeti.

Ovaj tekst pokriva na što se taj naziv odnosi, kako se ukradeni ključevi obično zloupotrebljavaju, zašto napadi uz pomoć AI-a ostavljaju braniteljima manje vremena i što developeri mogu učiniti već danas.

Na što se odnosi "Crni listopad" (i što još nije potvrđeno)

"Crni listopad" naziv je koji se koristi za skup cybernapada povezanih s cloud sustavima i developerskim alatima, pri čemu AI igra ulogu u brzini kojom se napadi odvijaju. Izvještaj Fox Newsa usredotočuje se na jednu konkretnu posljedicu: vjerodajnice uzete iz cloud okruženja i repozitorija koda iskorištene su za stvaranje troškova na AI uslugama.

Vrijedi biti oprezan oko toga što jest, a što nije utvrđeno. Članak nam daje jedan dokumentirani primjer, osnivačevih 449 dolara troškova na OpenAI i Anthropic računima. U materijalu koji smo pregledali ne pruža potpuni tehnički prikaz svakog incidenta pod okriljem Crnog listopada, niti utvrđuje jednog napadača ili jednu metodu iza njih. Drugi tekstovi koji se pojavljuju u rezultatima pretraživanja opisuju više AI developerskih platformi koje su u listopadu objavile povrede sigurnosti te zlonamjerne softverske pakete napravljene za krađu tajni, ali ti se detalji razlikuju od medija do medija i nismo ih neovisno provjerili. Tretirajte taj naziv kao kraticu za obrazac, a ne kao potvrđenu jedinstvenu kampanju.

Kako se ukradeni API ključevi iskorištavaju u roku od nekoliko sati

API ključ je dugačak niz znakova koji funkcionira kao lozinka za softver. Tko ga ima, može slati zahtjeve kao da je on vaš, a pružatelj usluge naplaćuje račun koji posjeduje ključ. U tom trenutku obično nema ni upita za korisničkim imenom ni drugog faktora, zato je procurjeli ključ tako koristan napadaču.

Ključevi završe izloženi na nekoliko uobičajenih načina:

  • Predaju se u repozitorij koda, ponekad u konfiguracijskoj datoteci ili starom commitu.
  • Nalaze se u varijablama okruženja ili postavkama unutar cloud okruženja koje bude kompromitirano.
  • Kopiraju se u alate, skripte ili razvojna računala koja kasnije budu probijena.

Kad napadač ima funkcionalan ključ, najjednostavniji potez je iskoristiti ga za pozive AI modela na trošak žrtve. To odgovara iskustvu osnivača: troškovi su se pojavili na OpenAI i Anthropic računima, a vlasnik je to otkrio tek nakon što se račun nakupio. Napadač ne mora dirati aplikaciju ni podatke žrtve da bi profitirao. Sam ključ je proizvod.

Zato i novčani iznos može zavarati. 449 dolara je skromno, ali odražava koliko malo vremena i truda zloupotreba zahtijeva. Bez ograničenja potrošnje, isti pristup mogao bi nakupiti daleko veći račun.

Zašto napadi uz pomoć AI-a skraćuju vrijeme za odgovor branitelja

"AI" u napadima uz pomoć AI-a važan je zbog brzine. Pretraživanje repozitorija u potrazi za tajnama, provjera je li ključ valjan i odlučivanje što činiti dalje zadaci su koje automatizacija dobro obavlja. Kad se ti koraci povežu, razmak između curenja i zloupotrebe može se smanjiti s dana na sate.

Pratili smo povezani razvoj događaja u Sysdigovu otkriću onoga što opisuju kao potpuno autonomni AI ransomware napad, gdje je AI agent izveo upad uz malo ili nimalo ljudskog usmjeravanja. To je druga vrsta incidenta od krađe API ključeva, ali temeljna je lekcija slična: automatizirani napadači ne čekaju radno vrijeme, a ručni procesi odgovora mogu zaostajati.

Za male timove problem je izraženiji. Startup rijetko ima sigurnosni operativni centar koji cijelu noć promatra nadzorne ploče naplate. Osnivač iz ove priče saznao je provjeravajući troškove naknadno, što je način na koji mnogi otkriju ovakvu vrstu zloupotrebe.

Što to znači za vas

Ako gradite s AI API-jima, čak i na sporednom projektu, vaši su ključevi vrijedne vjerodajnice i s njima treba postupati kao s lozinkama za platni račun. Tri stvari vrijedi imati na umu:

  • Izloženost je često nevidljiva. Možda nećete znati da je ključ procurio sve dok ne stignu troškovi.
  • Vaš pružatelj usluge naplaćuje vama. Ukradeno korištenje općenito se pojavljuje na vašem računu, pa su prevencija i rano otkrivanje na vama.
  • Mali računi su upozorenje. Neočekivani trošak od 449 dolara znači da je ključ radio za nekog drugog. Tretirajte to kao sigurnosni incident, a ne samo kao računovodstveni problem.

Kako zaštititi API ključeve: rotacija, ograničavanje opsega, alarmi, MFA i skeniranje tajni

Nijedan od ovih koraka ne zahtijeva sigurnosni tim. Većina traje manje od sat vremena.

  1. Rotirajte ključeve odmah. Generirajte nove ključeve i opozovite stare, posebno one koji su se pojavili u kodu, chatu, ticketima ili dijeljenim dokumentima. Rotirajte ponovno nakon svake sumnje na izloženost.
  2. Ograničite opseg svakog ključa usko. Koristite zasebne ključeve po projektu ili okruženju i dajte svakome samo dopuštenja koja su mu potrebna, ako vaš pružatelj to podržava. Procurjeli testni ključ ne bi smio otključati produkciju.
  3. Postavite ograničenja potrošnje i alarme. Konfigurirajte gornje granice budžeta i obavijesti o korištenju u postavkama naplate svakog pružatelja kako bi neuobičajena aktivnost pokrenula poruku umjesto iznenađenja.
  4. Uključite višefaktorsku autentifikaciju. Zaštitite račune pružatelja usluga i cloud konzole u kojima se ključevi stvaraju i pregledavaju. MFA neće spriječiti da ukradeni ključ funkcionira, ali otežava krađu ključeva sa samog računa.
  5. Skenirajte u potrazi za tajnama. Pokrenite skener tajni na svojim repozitorijima, uključujući povijest commitova, i provjerite CI postavke i dijeljene konfiguracijske datoteke. Uklonite sve izložene ključeve i rotirajte ih, jer brisanje datoteke ne poništava curenje.
  6. Držite ključeve izvan koda. Pohranite ih u namjenski upravitelj tajni ili zaštićene varijable okruženja, a ne u izvorne datoteke.

Ključni zaključci

Priča o ukradenim API ključevima iz Crnog listopada podsjetnik je da mali, tihi podaci za pristup mogu brzo koštati pravi novac. Ako gradite s AI API-jima, danas pregledajte i rotirajte svoje ključeve, postavite ograničenja potrošnje i alarme te skenirajte svoje repozitorije u potrazi za izloženim tajnama. Za širi kontekst o tome kako autonomni AI napadi ubrzavaju upade, pročitajte naš izvještaj o Sysdigovim nalazima o autonomnom AI ransomwareu, a zatim provedite sat vremena zatežući vlastitu postavku.