Northflank ist seit Donnerstag der neunte Fall in einem Monat: Bei Entwicklerplattformen für KI-Anwendungen brechen Angreifer ein, entschlüsseln Umgebungsvariablen und ziehen gezielt API-Schlüssel für KI-Modelle ab. Laut Wiz landen die Schlüssel binnen Minuten auf dem Graumarkt, die Rechnung zahlt der Kunde.
Was bei Northflank passiert ist
Die Hosting-Plattform Northflank, auf der Entwickler Container, Datenbanken und KI-Anwendungen betreiben, hat am 30. Oktober einen Sicherheitsvorfall gemeldet. Nach der Zeitleiste, die BleepingComputer zusammengefasst hat, kam der erste Hinweis um 11:43 Uhr UTC von der Cloud-Sicherheitsfirma Wiz. Gut zwei Stunden später stand auf der Statusseite der Satz, den kein Plattformbetreiber gern schreibt: „Assume all environment variables have been decrypted. Disable/rotate all keys.“
Am späten Abend bestätigte Northflank, dass Kunden die unbefugte Nutzung ihrer dort hinterlegten KI-API-Schlüssel gemeldet haben. Der Anbieter rät, alle Geheimnisse beim jeweiligen Aussteller zu widerrufen, neu zu erzeugen und die Abrechnungen der KI-Anbieter auf ungewöhnliche Nutzung zu prüfen. Inzwischen lassen sich Zugangsdaten für PostgreSQL, MongoDB, MySQL und Redis rotieren, Audit-Logs sind für alle Konten freigeschaltet, auch für kostenlose. Wie die Angreifer hineinkamen und wie viele Kunden betroffen sind, hat Northflank bislang nicht gesagt.
Neun Plattformen in einem Monat
Für sich genommen wäre das eine Meldung unter vielen. Wiz hat am selben Tag aber einen Bericht mit dem Titel „Black October“ veröffentlicht, der die Fälle nebeneinanderlegt. Mindestens neun KI-Entwicklerplattformen haben demnach im Oktober Vorfälle offengelegt:
- Fireworks AI (6. Oktober)
- Andromeda (9. Oktober)
- Zeabur (14. Oktober)
- Lightning AI (15. Oktober)
- OpenCode (16. bis 17. Oktober)
- Railway (20. Oktober)
- Warp (23. Oktober)
- CommandCode (28. Oktober)
- Northflank (30. Oktober)
Eine gemeinsame Schwachstelle gibt es nach Wiz-Angaben nicht. Fireworks, Zeabur und Lightning nennen gestohlene Zugangsdaten als Ursache, Warp eine Abhängigkeit bei einem Drittanbieter, OpenCode ein Altsystem. Gemeinsam ist allen öffentlichen Berichten das Ziel: Die Angreifer suchten gespeicherte Umgebungsvariablen, und zwar bevorzugt solche mit Zugang zu KI-Modellen. Fireworks, OpenCode und Warp berichten von Hinweisen auf einen Angriff durch einen „Agenten-Schwarm“, also durch automatisierte KI-Agenten. Wiz schreibt dazu trocken: In jedem anderen Monat wäre das die wichtigste Sicherheitsgeschichte.
Railway: Rechteausweitung im Build-System
Am genauesten dokumentiert ist bisher Railway. Laut dem vorläufigen Bericht erlangten die Angreifer über eine Rechteausweitung in der Build-Infrastruktur Zugriff auf interne Systeme, später auch auf die CI-Umgebung, und entschlüsselten einen Teil der Umgebungsvariablen. Betroffen waren höchstens 1,85 Prozent aller Workspaces, nach Railways Rechnung etwa 100.000. Aus den Logs der Angreifer las Railway ab, nach welchen Schlüsselnamen sie gesucht hatten. Das Unternehmen geht davon aus, dass es um KI- und Plattformschlüssel für sogenannte Destillation ging, also darum, mit fremden Zugängen massenhaft Antworten großer Modelle abzugreifen, um eigene Modelle damit zu trainieren.
Für Kunden enthält der Bericht einen unbequemen Satz: Railway erstattet keine Kosten, die mit gestohlenen API-Schlüsseln bei anderen Anbietern entstanden sind. Betroffene sollen sich an die KI-Anbieter wenden. Bei Zeabur ist die Lage noch drastischer: Der Anbieter stellt nach dem Einbruch den Betrieb ein.
Was belegt ist: Vom Diebstahl zur Flut in Tagen
Den interessantesten Teil des Wiz-Berichts bilden zwei Fälle, in denen das Team den Weg gestohlener Unternehmensschlüssel für Amazon Bedrock nachverfolgen konnte. Beide wurden innerhalb von 30 Minuten nach dem Diebstahl erstmals getestet: ein einzelner Modellaufruf von einer privaten IP-Adresse, als Teil eines einminütigen Durchlaufs, der gestohlene Schlüssel mehrerer Organisationen prüfte. Danach lief tagelang nur ein Prüfjob mit wenigen Dutzend Aufrufen pro Tag, der kontrollierte, ob die Schlüssel noch gültig sind.
Dann kam die Flut. Im ersten Fall setzten die Angreifer über 30 Stunden rund 800.000 Bedrock-Aufrufe ab, etwa 90 Prozent davon erfolgreich, überwiegend an die teuersten Claude-Modelle. Im zweiten Fall waren es in 13 Stunden rund 1,7 Millionen Aufrufe, über eine Million davon erfolgreich. Zu Listenpreisen kommen allein diese beiden Fälle laut Wiz auf wahrscheinlich mehr als 100.000 US-Dollar. Das Nutzungsmuster, viele kurze Anfragen mit Prompt-Caching und ein langer Schwanz sehr großer Kontexte, passt zu weiterverkauftem Coding-Agent-Verkehr: viele Endkunden hinter einem Zwischenhändler.
Wiz hat zwei solcher Händler identifiziert, die Zugriff auf die gestohlenen Schlüssel hatten und sie testeten. Beide bieten offen verbilligten Zugang zu Spitzenmodellen an, einer nimmt Zahlungen in der Kryptowährung USDT. Ob dieselben Akteure auch die Einbrüche begangen haben, kann Wiz nicht belegen. Dass mehrere Gruppen dieselben Schlüssel nutzten, deutet aber auf einen funktionierenden Markt hin. Fachleute nennen das LLMjacking: fremde Modellzugänge kapern und auf Kosten des Besitzers weiterverkaufen.
Der harte Punkt ist die Bequemlichkeit
Plattformen wie Railway oder Northflank verkaufen genau das, was sie jetzt verwundbar macht: Man hinterlegt alle Schlüssel an einer Stelle, und die Plattform reicht sie an die laufenden Dienste weiter. Für Angreifer ist das ein Sammelpunkt. Wer dort einbricht, bekommt nicht ein Konto, sondern Tausende. Und KI-Schlüssel sind derzeit die lukrativste Beute in diesen Speichern, weil sie sich sofort zu Geld machen lassen, ohne Umweg über Erpressung oder Datenverkauf.
Dazu kommt das Tempo. Zwischen Diebstahl und erstem Test lagen in den Wiz-Fällen weniger als 30 Minuten. Northflank brauchte vom ersten Hinweis bis zur Aufforderung, alles zu rotieren, gut zwei Stunden, Railway veröffentlichte seine Hinweise für Kunden erst am Abend des 21. Oktober, gut 30 Stunden nach den ersten Auffälligkeiten. Railway begründet das damit, man habe die Angreifer zuerst aus der Infrastruktur werfen wollen, damit neue Schlüssel nicht sofort wieder abfließen. Das ist nachvollziehbar, ändert aber nichts an der Lücke, in der Kunden nichts tun konnten. Wer hier nur auf die Benachrichtigung der Plattform wartet, ist zu spät.
Auf X hat die Geschichte Fahrt aufgenommen: Beiträge mit dem Stichwort Northflank sind von einer Handvoll pro Tag auf über 400 allein am Samstag gestiegen. In deutschen Fachmedien ist die Serie als Ganzes bislang kaum ein Thema.
Was Entwickler und Firmen jetzt tun sollten
- Bestand prüfen: Klären, ob irgendwo im Team, auch in Nebenprojekten, eine der neun Plattformen genutzt wird.
- Beim Aussteller widerrufen: Schlüssel nicht nur in der Plattform ersetzen, sondern bei OpenAI, Anthropic, AWS, GitHub oder Stripe selbst sperren und neu erzeugen.
- Abrechnungen ansehen: KI-Nutzung und Kosten seit Anfang Oktober auf Ausreißer prüfen, besonders bei Bedrock und Opus-Modellen.
- Limits setzen: Ausgabenobergrenzen und Budget-Alarme bei den KI-Anbietern einrichten, Schlüssel auf einzelne Modelle und Regionen beschränken. In Wiz’ zweitem Fall bremste eine solche Beschränkung die Angreifer zumindest zeitweise aus.
- Angriffsfläche verkleinern: Öffentlichen Zugriff auf Datenbanken abschalten, wie Railway und Northflank es empfehlen.
Einordnung
„Black October“ ist kein einzelner Hack, sondern ein Geschäftsmodell, das gerade sichtbar wird. Solange gestohlene KI-Zugänge sich so leicht verkaufen lassen, bleiben die Orte, an denen viele davon liegen, das bevorzugte Ziel. Für Plattformbetreiber heißt das: Geheimnisse müssen besser getrennt und schneller widerrufbar sein. Für Kunden heißt es: Ein KI-Schlüssel ohne Ausgabenlimit ist eine offene Kreditkarte.
Quellen
