Obserwujemy gwałtowny wzrost cyberataków wymierzonych w platformy deweloperskie i usługi związane ze sztuczną inteligencją. Napastnicy koncentrują się na kradzieży tokenów dostępu oraz kluczy API, które mogą być łatwo zmonetyzowane poprzez tzw. LLM-jacking lub wykorzystywane do trenowania tańszych modeli (distillation). W ostatnim miesiącu ucierpiało co najmniej kilkanaście podmiotów, w tym WorkOS, Northflank, Trigger.dev oraz Chainstack.
Ataki różnią się metodami wejścia – od przejętych poświadczeń, przez podatności, aż po zainfekowane zależności firm trzecich. W przypadku Chainstack hakerzy uzyskali dostęp do środowiska deweloperskiego i części produkcji, co naraziło dane klientów oraz hashe haseł. Z kolei WorkOS padło ofiarą ataku na wewnętrzną aplikację działu sprzedaży, co doprowadziło do wycieku danych kontaktowych i historii komunikacji z klientami.
Eksperci wskazują, że platformy hostingowe i konsole deweloperskie stają się atrakcyjnym celem, ponieważ przechowują one poświadczenia wielu klientów końcowych. Jedno udane włamanie do takiego pośrednika może narazić klucze dostępu do wielu kont inferencyjnych jednocześnie. Co więcej, w niektórych kampaniach, takich jak te przypisywane grupie Storm-0940, napastnicy wykorzystują framework Artex do automatyzacji działań ofensywnych.
