靠“AI 云”爆红的 Vercel，栽在一个第三方AI工具手里！IPO前夕遭黑，200万美元赎金谈崩？

154 0 0

文章摘要

云平台 Vercel 近日确认遭受入侵，攻击者通过被攻破的第三方 AI 工具 Context.ai 获取了员工谷歌账号权限，进而访问了内部系统。攻击者利用未被标记为敏感的环境变量获取了更高权限，窃取了访问密钥、源代码及内部部署环境权限。此次安全事件源于谷歌 Workspace OAuth 应用被突破，威胁行为者宣称掌握了包含 580 条员工信息的文件及内部管理后台截图。尽管核心系统与客户数据拥有多层防御，但非敏感变量未进行静态加密成为了突破口。

Vercel 首席执行官指出攻击者技术水平极高，且人工智能可能提升了攻击效率。目前谷歌 Mandiant 团队正协助调查，公司已更新管理后台以优化敏感变量管理。虽然云服务本身未受直接影响，但大量客户面临连锁式暴露风险，尤其是存储了数据库连接字符串和 API 密钥的开发团队。使用企业版套餐的客户风险最高，因为账户包含更敏感的项目数据及第三方服务集成凭证。攻击者若获存储的认证令牌，可能导致源代码仓库暴露。

此次入侵发生在公司准备首次公开募股的关键时刻，且有消息称双方曾就赎金进行谈判。供应链漏洞更难被察觉，因为它依托的是受信任的集成服务，而非明显的系统漏洞。事件引发了对云平台安全措施和监控能力的质疑，特别是入侵发生与被发现之间的间隔不明。所有使用第三方 AI 工具进行代码生成或自动化运营的公司都需重新审视服务商的访问权限及安全验证机制。

安全社区建议开发者检查环境变量是否包含敏感信息，并启用平台敏感变量功能，必要时轮换密钥。对于个人开发者，虽目标较少但仍面临账号被接管风险。平台层面的泄露可能导致敏感信息在初始目标之外广泛暴露，进而篡改构建流程或注入恶意代码。该公司当前迫切需要转入防御姿态向投资者展示其稳定性，以防竞争对手利用此次事件抢占客户资源。调查仍在持续，后续影响范围及是否有客户应用被篡改尚不明确。