Des clients de Northflank signalent une utilisation non autorisée de clés API d’intelligence artificielle stockées sur la plateforme. Dans ses mises à jour des 30 et 31 octobre, le service demande de remplacer les identifiants concernés et de vérifier les journaux d’usage ainsi que les factures des fournisseurs d’IA.
Illustration originale : serveur générique, distinct de l’infrastructure Northflank.
Une clé API peut engager des dépenses sans ouvrir ChatGPT
Une clé API sert à autoriser un logiciel à appeler un service. Dans une application qui utilise un modèle d’IA, elle peut permettre de lancer des requêtes facturées au propriétaire de la clé. Son utilisation ne passe pas nécessairement par l’interface de conversation que connaît le grand public.
C’est pourquoi un incident sur des clés de développement ne signifie pas que tous les comptes ChatGPT sont piratés. Le périmètre décrit ici est celui des identifiants fournis à Northflank. Le point de départ du contrôle est donc votre usage de cette plateforme et les secrets que vous y avez déposés.
Northflank demande de remplacer tous les secrets concernés
Sur sa page officielle de suivi de l’incident, l’entreprise demande de considérer les variables d’environnement comme compromises. La consigne dépasse les seules clés d’IA : elle vise les identifiants présents dans les applications, les groupes de secrets et les secrets globaux.
Pour les clés fournies par un autre service, Northflank recommande de révoquer les anciennes auprès de ce fournisseur, d’en générer de nouvelles, puis de mettre à jour les applications qui les utilisent. Modifier uniquement la valeur stockée dans l’hébergement ne révoque pas l’ancienne clé chez son émetteur.
Regarder les dépenses compte autant que remettre l’application en route
L’avis invite à examiner les journaux d’usage et de facturation des fournisseurs d’IA, puis à signaler toute activité suspecte à leur assistance et à celle de Northflank. Une hausse inexpliquée doit être rapprochée des heures, des services et des clés utilisés, plutôt que déduite du seul total mensuel.
Pourquoi une clé volée peut coûter cher même sans détruire de données
Le problème dépasse le vol de documents. Un accès API utilisable peut servir à consommer un service payant aux frais de son propriétaire. Une application qui continue de fonctionner normalement ne garantit donc pas que ses identifiants ne sont pas employés ailleurs.
Dans son bilan des incidents d’octobre visant les plateformes de développement IA, Wiz décrit deux cas d’abus d’identifiants d’entreprise représentant environ 800 000 et 1,7 million d’appels à Amazon Bedrock. Le chercheur estime leur usage cumulé à plus de 100 000 dollars au tarif catalogue. Ces deux cas ne sont pas présentés comme la facture des clients Northflank.
Cette distinction évite d’attribuer à un incident particulier un montant observé dans une enquête plus large. Elle montre aussi pourquoi la vérification doit porter sur l’utilisation des clés, même si aucun fichier n’a disparu et si le site répond toujours.
Trois vérifications à garder ensemble
- Identifier les clés et autres secrets qui étaient présents dans les environnements concernés.
- Révoquer les anciens accès chez leurs émetteurs et mettre en place leurs remplaçants dans les applications.
- Conserver les relevés d’usage inattendus pour les transmettre aux assistances concernées.
Une rotation rétablit de nouveaux accès ; un relevé d’activité aide à comprendre ce qui s’est passé avant. Ces deux travaux sont complémentaires. Changer les identifiants sans regarder l’historique peut laisser une dépense anormale sans explication.
Les journaux d’audit ont été ouverts aux comptes gratuits
Northflank a annoncé le 31 octobre l’accès aux journaux d’audit pour tous ses clients, y compris gratuits. Le même jour, le service a indiqué que la rotation des secrets MySQL et Redis était disponible pour tous.
L’enquête reste en cours au moment de cette vérification. Ni le nombre définitif de clients touchés ni une facture moyenne attribuable à l’incident ne sont établis dans cet avis. Pour un développeur français concerné, la priorité est de couper les accès anciens et de documenter les usages inattendus, sans attendre un bilan complet.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
