Pelanggaran Keamanan Vercel Meluas hingga Ratusan Pengguna; Pengembang AI Berisiko Lebih Tinggi

Pesan Berita Gate, 23 April — Vercel mengungkap pada 19 April bahwa insiden keamanannya, yang awalnya dijelaskan memengaruhi "sebagian terbatas pelanggan," telah berkembang menjadi komunitas pengembang yang jauh lebih luas, khususnya mereka yang membangun alur kerja agen AI. Serangan tersebut dapat memengaruhi ratusan pengguna di beberapa organisasi, tidak terbatas hanya pada Vercel, tetapi berpotensi berdampak pada industri teknologi yang lebih luas.

Pelanggaran bermula ketika seorang karyawan Context.ai terinfeksi malware Lumma Stealer setelah mengunduh skrip Roblox Auto-farm dan alat eksploit game. Malware tersebut membobol kredensial login Google Workspace karyawan tersebut serta access key ke platform termasuk Supabase, Datadog, dan Authkit. Penyerang kemudian menggunakan token OAuth yang dicuri untuk mengakses akun Google Workspace Vercel, yang telah dibuat menggunakan akun perusahaan Vercel dengan izin "allow all". Setelah masuk, penyerang mendekripsi variabel lingkungan yang tidak sensitif, meskipun data sensitif tetap terlindungi berkat perlindungan penyimpanan Vercel.

Pengembang AI menghadapi risiko yang lebih tinggi karena mereka umumnya menyimpan kredensial penting—seperti kunci API OpenAI atau Anthropic, string koneksi basis data vektor, rahasia webhook, dan token alat pihak ketiga—di variabel lingkungan tanpa secara manual menandainya sebagai sensitif. Kredensial ini tidak otomatis ditandai oleh sistem, sehingga rentan terhadap paparan.

Sebagai respons, Vercel memperbarui platformnya sehingga semua variabel lingkungan yang baru dibuat ditandai sebagai sensitif secara default. Tim keamanan perusahaan membagikan pengidentifikasi unik dari aplikasi OAuth yang dikompromikan, mendesak administrator Google Workspace untuk mengaudit log akses. Context.ai, dengan bantuan CTO Nudge Security Jaime Blasco, mendeteksi pemberian izin OAuth tambahan dengan akses Google Drive dan segera memberi tahu pelanggan yang terdampak dengan langkah-langkah perbaikan.