Incydent w NVIDIA Brev i fala włamań na platformy AI dla programistów

Co NVIDIA napisała klientom Brev

Brev to chmurowe środowisko dla programistów, w którym można szybko uruchomić maszynę wirtualną z GPU i pracować na niej zdalnie. NVIDIA przejęła platformę w 2024 roku. Dostęp do maszyn odbywa się przez SSH, czyli szyfrowany protokół zdalnego logowania, a klucz SSH pełni w nim rolę hasła.

Według powiadomienia, które opisał 2 listopada Tom's Hardware, NVIDIA wykryła w sieci Brev aktywność nieznanego pochodzenia. Analiza wykazała, że informacje przechowywane na platformie, w tym klucz SSH skonfigurowany przez Brev, mogły zostać ujawnione. Firma napisała, że klucz został wymieniony, a instancje klientów dostały nowy.

NVIDIA nie wyjaśniła, jak napastnicy uzyskali dostęp, ilu klientów objęło powiadomienie ani czy ktoś próbował użyć przejętych kluczy. Deklaruje jedynie, że nie znalazła dowodów na ich niewłaściwe wykorzystanie. Do chwili publikacji nie znaleźliśmy publicznego komunikatu NVIDIA o incydencie, dlatego opieramy się na treści powiadomienia przytoczonej przez Tom's Hardware.

Black October, czyli seria włamań na platformy AI

Firma Wiz, zajmująca się bezpieczeństwem chmury, opublikowała 30 października analizę, w której zestawiła incydenty z całego miesiąca. Co najmniej dziewięć platform dla twórców aplikacji AI ujawniło włamania. Wiz zwraca uwagę, że w każdym publicznym raporcie napastnicy celowo szukali zapisanych zmiennych środowiskowych, a zwłaszcza tych z dostępem do usług AI.

Przyczyny są różne i nie łączy ich jedna luka. Fireworks AI, Zeabur i Lightning AI wskazują na przejęte dane logowania, Railway na eskalację uprawnień w infrastrukturze budowania aplikacji, Warp na zależność od zewnętrznego dostawcy, a OpenCode na starszy system. Fireworks, OpenCode i Warp opisały oznaki ataku prowadzonego przez wiele agentów AI jednocześnie, a OpenCode i CommandCode łączą włamania z próbą destylacji, czyli masowego odpytywania modeli w celu wytrenowania własnego.

Najnowszym przypadkiem przed Brev był Northflank. Według BleepingComputer platforma 30 października, po alercie od Wiz, poleciła klientom założyć, że wszystkie zmienne środowiskowe zostały odszyfrowane, i natychmiast wymienić klucze. Klienci zgłosili potem nieautoryzowane użycie kluczy API do modeli AI. Zeabur po swoim incydencie zamyka działalność.

• OpenCode - starszy system, klucze API OpenAI, Anthropic i Google zapisane w Console, incydent z 16-17 października.
• Railway - eskalacja uprawnień w infrastrukturze budowania, możliwe ujawnienie odszyfrowanych zmiennych środowiskowych.
• Northflank - alert Wiz 30 października, nieautoryzowane użycie kluczy AI klientów.
• Warp - wyciek logów agenta AI i danych telemetrycznych, przyczyna po stronie dostawcy zewnętrznego.
• NVIDIA Brev - aktywność od 4 do 20 października, możliwe ujawnienie kluczy SSH, klucze wymienione.

Jak skradzione klucze zamieniają się w rachunki

Wiz opisał dwa przypadki firmowych kluczy do Amazon Bedrock, które wyciekły z jednej z zaatakowanych platform. Pierwsze próbne wywołanie modelu nastąpiło w ciągu 30 minut od kradzieży. Przez kolejne dni ktoś tylko sprawdzał, czy klucze nadal działają, a potem ruszył masowy ruch.

Z pierwszego klucza w ciągu 30 godzin wykonano ok. 800 tys. wywołań, z drugiego w ciągu 13 godzin ok. 1,7 mln. Większość ruchu trafiała do najdroższych modeli Claude Opus i przypominała odsprzedawany ruch agentów programistycznych. Według Wiz te dwa przypadki kosztowały po cenach katalogowych ponad 100 tys. USD, czyli ok. 394 tys. zł po kursie NBP z 2 listopada 2026 roku (3,9389 zł).

Badacze powiązali testowanie kluczy z serwisami, które otwarcie sprzedają tańszy dostęp do modeli czołowych firm i przyjmują płatności w kryptowalucie. To zjawisko nazywa się LLMjacking. Przejęty dostęp do modelu AI służy komuś innemu, a rachunek płaci właściciel klucza. W mediach społecznościowych pojawiły się też relacje o kradzieży ok. 371 tys. USD w kryptowalutach z kluczy przechowywanych w Railway, ale Wiz traktuje je jako niepotwierdzone.

Co zrobić z kluczami API i SSH

Najważniejszy wniosek z raportu Wiz dotyczy ograniczeń klucza. Drugi z opisanych kluczy miał zawężone uprawnienia do jednego regionu i przez kilka godzin złodzieje nie mogli go użyć, a potem szybko trafiali na limity konta. Zespoły, które korzystają z chmurowych platform do budowania aplikacji AI, mogą wykonać kilka kroków od razu.

1. Jeśli klucze API do OpenAI, Anthropic, Google, AWS lub innych dostawców były zapisane na którejkolwiek z wymienionych platform, unieważnij je w panelu dostawcy i wygeneruj nowe. Samo usunięcie klucza z platformy go nie unieważnia.
2. Przejrzyj logi zużycia i rachunki u dostawców modeli z października i listopada. Szukaj wywołań z nieznanych adresów i nagłych skoków ruchu.
3. Ustaw limity wydatków i alerty budżetowe u każdego dostawcy. Ogranicz klucze do potrzebnych modeli, regionów i projektów.
4. Użytkownicy Brev powinni sprawdzić listę autoryzowanych kluczy na swoich maszynach i usunąć nieznane wpisy, a dostęp do innych systemów, które korzystały z tego samego klucza, zabezpieczyć nowymi danymi.
5. Tam, gdzie to możliwe, zastąp stałe klucze krótkotrwałymi poświadczeniami i menedżerem sekretów zamiast zmiennych środowiskowych w panelu platformy.

Znaczenie dla firm w Polsce

Platformy z listy Wiz to w większości usługi globalne, z których korzystają także polskie zespoły programistyczne i startupy. Żadna z firm nie podała danych o poszkodowanych klientach w poszczególnych krajach. Koszt LLMjackingu spada na właściciela klucza, a zwrot zależy od dobrej woli dostawcy modelu. OpenCode deklarował zwroty, ale nie jest to standard.

Firmy, u których incydent mógł objąć dane osobowe, powinny ocenić obowiązki wynikające z RODO, w tym 72-godzinny termin zgłoszenia naruszenia do UODO. Incydenty można też zgłaszać do CERT Polska. W naszej ocenie seria pokazuje, że klucze do modeli AI stały się towarem tak samo cennym jak dane kart płatniczych, a platformy, które je przechowują, są atrakcyjnym celem.

Czego jeszcze nie wiadomo

Nie wiadomo, czy incydent w Brev ma związek z pozostałymi włamaniami opisanymi przez Wiz. Firma zastrzega, że nie łączy ich jedna podatność, a powiązania z serwisami odsprzedającymi dostęp nie dowodzą, że to te same grupy włamały się do platform. Większość incydentów jest wciąż analizowana, a pełny raport opublikował dotąd tylko Zeabur, wstępny zaś Railway.

Informacje o Brev pochodzą z jednego medium, które przytacza treść powiadomienia do klientów. NVIDIA nie odpowiedziała publicznie na pytania o skalę incydentu. Zaktualizujemy tekst, jeśli firma opublikuje komunikat.