Ibinigay ng Vercel ang ulat tungkol sa hindi pinahintulutang pag-access sa pamamagitan ng kompromisong AI tool, walang sensitibong data ang naapektuhan

Ipinahayag ng Vercel ang pagsusuri sa security incident, na ang ilang mga panloob na sistema ay na-access nang walang pahintulot dahil sa pagbuwis ng isang third-party AI tool na Context.ai na ginamit ng isang empleyado, kung saan ang mga attacker ay nakakuha ng kontrol sa kanilang Google Workspace account at nakakontak sa ilang data ng environment configuration. Ang unang epekto ay ang posibleng paglalabas ng kaunting environment variables ng mga customer na hindi nakalabel bilang “sensitive” (tulad ng API Key, Token, atbp.), at naabot na ang mga kaugnay na user at inirerekomenda ang agad na pagbabago ng credentials. Sa kasalukuyan, wala pang ebidensya na ang mga data na nakalabel bilang “sensitive” o ang supply chain (tulad ng npm packages) ay na-modify. Sinabi ng Vercel na may mataas na antas ng teknikal na kasanayan ang mga attacker, at kasama na nila ang Mandiant at iba pang security organizations sa pagsisiyasat, at nareport na rin sa mga awtoridad. Pinapahalagahan din nila na patuloy ang normal na pagpapatakbo ng platform. Ibinigay din nila ang rekomendasyon na i-enable ang multi-factor authentication, buong pagbabago ng mga environment variables na posibleng nalabasan, at pagsusuri sa account activity logs at deployment records upang maiwasan ang karagdagang panganib.